$ cat README.md
Scanner de sécurité web pour auditer ses propres sites, vérification de propriété par DNS obligatoire avant tout scan. Pensé QA/sécu : la note ne ment jamais, plafonnée par la pire sévérité (CRITICAL → E) et par l’incomplétude de couverture.
Audit en trois phases
- Passif, en-têtes HTTP avec jugement de valeur (CSP permissive, HSTS
max-age=0), robustesse TLS, qualité DNS (SPF / DMARC / DKIM / DNSSEC). - Actif-léger, fichiers sensibles exposés, reflet CORS, mixed content, subdomain takeover.
- Pentest, nuclei filtré par tag + OWASP ZAP baseline.
Fonctionnalités
- Dashboard temps réel, findings streamés en SSE, score par pilier façon Lighthouse (transport, navigateur, exposition, DNS et e-mail, vulnérabilités connues) avec le maillon faible mis en avant.
- Historique par site, trié par pire note, avec recherche.
- Risque accepté, une note par finding, reportée de scan en scan, sans jamais toucher à la note du site.
- Remédiation FR/EN, snippets par serveur web et proxy + prompts prêts pour l’IA.
- Connexion par le SSO GotYeah (OpenID Connect), commun à mes autres outils, à côté du lien magique d’origine, qui peut être désactivé.
Pilotage par l’IA
- Hub MCP commun à mes outils, pour piloter Sonar depuis Claude : lister domaines et scans, lire un rapport, lancer un scan, comparer deux scans et obtenir le correctif d’un finding, de quoi boucler scanner, corriger, vérifier.
- Serveur MCP local, en lecture seule, pour Claude Code.
Auto-hébergé, tests et couverture en CI, tests d’intégration réseau chaque nuit. Dépôt public.
Web security scanner to audit your own sites, with mandatory DNS ownership verification before any scan. Built with a QA/security mindset: the score never lies, capped by the worst severity (CRITICAL → E) and by incomplete coverage.
Three-phase audit
- Passive, HTTP headers with value judgment (permissive CSP, HSTS
max-age=0), TLS robustness, DNS quality (SPF / DMARC / DKIM / DNSSEC). - Active-light, exposed sensitive files, CORS reflection, mixed content, subdomain takeover.
- Pentest, nuclei filtered by tag + OWASP ZAP baseline.
Features
- Real-time dashboard, findings streamed over SSE, Lighthouse-style score per pillar (transport, browser, exposure, DNS and email, known vulnerabilities) with the weakest link highlighted.
- Per-site history, sorted by worst grade, with search.
- Accepted risk, a note per finding, carried over from scan to scan, without ever changing the site’s grade.
- FR/EN remediation, snippets per web server and proxy + AI-ready prompts.
- Sign-in through the GotYeah SSO (OpenID Connect), shared with my other tools, next to the original magic link, which can be turned off.
AI control
- MCP hub shared by my tools, to drive Sonar from Claude: list domains and scans, read a report, run a scan, compare two scans and get the fix for a finding, closing the scan, fix, verify loop.
- Local MCP server, read-only, for Claude Code.
Self-hosted, tests and coverage in CI, network integration tests every night. Public repo.