bpi.frDernier scan : 2026-06-17 à 15:58 · Confiance : forte
NextHop analyse les dépendances technologiques de votre site et évalue leur souveraineté sur la base de signaux publics et de déductions techniques.
Score de souveraineté
Dépendances à réduire
Vitrine FR, briques critiques hors UE
Facteurs principaux de dépendance : messagerie, fournisseur d'identité, transport mail (SMTP), éditeur logiciel mail, certificat TLS.
Hygiène technique (intégrité DNS, anti-usurpation mail). N'entre PAS dans la note de souveraineté.
Capture d'écran de l'accueil au moment du scan (consentement cookies accepté).
Méthode : chargement de la page d'accueil dans Chromium headless, consentement cookies accepté (y compris dans les iframes CMP), puis classification des domaines tiers contactés (Google Analytics, Meta, etc.). Porte sur l'accueil, pas sur l'ensemble du site.
Détectés publiquement mais sans ressource hébergée sur ce fournisseur — non comptabilisés comme dépendance ni dans le score (ex. compte API/facturation, SSO d'administration).
Ces aspects ne sont pas vérifiables à distance et restent hors du périmètre de l'audit.
Services applicatifs hébergés sur du cloud souverain · 18 sous-domaines classés
Méthode : chaque sous-domaine actif est résolu (DNS → IP → ASN), puis l'opérateur est classé « cloud US » (soumis au CLOUD Act / FISA 702 : AWS, Google, Microsoft, Cloudflare, Fastly, Akamai…) ou « souverain/autre ». Le pourcentage = part des sous-domaines (18 classés sur 31 détectés) rattachés à un cloud US. Classification agrégée par opérateur, sans pondération.
Cette fiche mesure une exposition souveraineté observable publiquement. Elle ne constitue pas un audit contractuel, juridique ou technique complet de l'organisation. Les informations sont issues de signaux publics (DNS, IP, ASN, certificats, messagerie, CDN, headers HTTP, scripts tiers, sources ouvertes). Des éléments critiques — contrats, accès support, clés de chiffrement, sauvegardes, localisation exacte des bases de données — ne sont pas observables publiquement.
Souveraineté observable limitée selon les signaux publics · confiance globale : forte · 5 inconnue(s) critique(s) · facteurs : messagerie, fournisseur d'identité, transport mail (SMTP), éditeur logiciel mail, certificat TLS
Les sous-scores « opérationnel » et « réversibilité » dépendent d'éléments non observables publiquement (contrats, accès support, gouvernance) : ils restent volontairement marqués « non observable ».
Les inconnues sont affichées telles quelles : elles ne sont pas masquées.
Aucune certification renseignée pour le moment (saisie via le back-office).
Une certification de sécurité ou de conformité (ISO 27001, SOC 2, HDS) ne garantit pas à elle seule une souveraineté juridique, opérationnelle ou complète. Elle doit être interprétée selon son périmètre exact.
Chiffrement en transit/au repos, BYOK/HYOK, localisation et gestion des clés, accès administrateur : non observables publiquement. Ces éléments peuvent être fournis et vérifiés par l'organisation.
Cette analyse ne permet pas de confirmer la localisation exacte des bases de données internes, les clauses contractuelles, la localisation des sauvegardes, les accès support et administrateur, la gestion des clés de chiffrement, les sous-traitants non exposés publiquement, ni les mesures internes de segmentation ou de chiffrement.
L'organisation peut transmettre des éléments vérifiables pour corriger ou compléter cette fiche : certifications, localisation des données, sous-traitants critiques, politique de chiffrement, gestion des clés, clauses de support, architecture de réversibilité ou documentation publique.
Signaler une correction ou fournir des informations vérifiablesL'absence de preuve publique de souveraineté n'est pas une preuve de non-souveraineté complète, mais elle réduit le niveau de confiance attribuable depuis une analyse externe.
→ Méthodologie complète de l'observatoireTous les enregistrements (A/AAAA/NS/MX/TXT/SOA/CAA) + expansion SPF + sous-domaines applicatifs (lignes A·sous-dom, énumérés via Certificate Transparency), avec reverse DNS (PTR) et opérateur (ASN) / pays résolus sur chaque IP. C'est la preuve vérifiable derrière la classification « cloud applicatif » du score.
Note : l'environnement (admin, auth, api, staging, dev…) est déduit du nom du sous-domaine et reste indicatif. La résolution IP est horodatée au dernier scan.
Un relevé par jour de scan. Les changements d'hébergeur, de pays ou de DNSSEC sont signalés.
• Hébergement : résolution DNS → IP → ASN (base GeoIP/ASN hors-ligne), classification de l'opérateur. • Sous-domaines : Certificate Transparency (CertSpotter), puis résolution des actifs. • Cloud applicatif : ASN de chaque sous-domaine → souverain vs cloud US (CLOUD Act).
• Trackers : Chromium headless, consentement accepté, domaines tiers classés. • DNS/mail : NS, DNSSEC, SPF, DMARC, CAA lus en DNS public. • Horodatage : dernier scan 2026-06-17 à 15:58. Données ré-auditées périodiquement.