--- title: "Toutes vos questions, une seule page" description: "Toutes les questions que l’on nous pose sur KrakenShield : audits SSL, confidentialité, code, test d’intrusion, post-quantique, Kredits, NIS2, données et…" url: https://krakenshield.eu/fr/faq/ lang: fr publisher: KrakenShield (KRAKEN HOLDING SAS) overview: https://krakenshield.eu/llms.txt --- # Toutes vos questions, une seule page > Toutes les questions que l’on nous pose sur KrakenShield : audits SSL, confidentialité, code, test d’intrusion, post-quantique, Kredits, NIS2, données et… Questions fréquentes Ce que l’on nous demande sur la plateforme KrakenShield, ses cinq audits, ses tarifs en Kredits, la directive NIS2 et les vérifications gratuites. Chaque réponse est courte et se suffit à elle-même ; les pages liées entrent dans le détail. ## La plateforme **Qu’est-ce que KrakenShield ?** KrakenShield, aussi écrit Kraken Shield, est une plateforme européenne de cybersécurité en ligne, éditée par la société française KRAKEN HOLDING. Elle propose aux professionnels cinq audits (surface et SSL/TLS, confidentialité, code, test d’intrusion non destructif, préparation post-quantique), des formations de sensibilisation et des certifications, sur krakenshield.eu. **Est-il légal de scanner mon système avec KrakenShield ?** Oui. Les audits SSL et de confidentialité n’observent que ce qu’un site montre à tout visiteur : ils sont possibles sur n’importe quel site public. Le test d’intrusion exige d’en avoir le droit : vous prouvez d’abord que vous contrôlez le domaine (enregistrement DNS, fichier ou balise) et vous acceptez un mandat d’autorisation, vérifiés et consignés avant tout test. **Faut-il parler à un commercial ou réserver une démo ?** Non. Créez votre compte, vérifiez votre domaine et lancez votre audit : tout se fait en libre-service, en quelques minutes. **Où sont hébergées mes données ?** Exclusivement en Europe (IONOS), dans le respect du RGPD. Vos données sont chiffrées au repos et en transit, et ne sont jamais revendues ni transférées hors de l’UE. **L’analyse de code envoie-t-elle mon code source ?** Non. L’agent scanne votre code là où il se trouve et ne remonte que les résultats (vulnérabilités, dépendances, secrets). Votre code source ne quitte pas votre infrastructure. **Le test d’intrusion peut-il casser ma production ?** Il est conçu pour limiter l’impact : aucun test de déni de service, débits limités et arrêt à tout moment. La détection d’injections SQL, la découverte de contenus et la simulation de brute force sont désactivées par défaut et nécessitent une activation explicite dans l’autorisation. Ces phases peuvent déclencher vos protections, notamment un blocage IP ou le verrouillage du compte de test. **Qu’est-ce que le chiffrement post-quantique ?** Des algorithmes conçus pour résister aux futurs ordinateurs quantiques. KrakenShield évalue la préparation de votre site et, s’il est servi par Cloudflare, vous aide à activer via son API une posture TLS moderne, avec des modifications tracées et réversibles. ## Audit de surface et SSL/TLS [Voir la page](https://krakenshield.eu/fr/surface-audit/) **Faut-il prouver que le site m’appartient ?** Non. L’audit de surface n’utilise que des informations publiques et des requêtes ordinaires : vous pouvez auditer n’importe quel site public, par exemple celui d’un fournisseur. **Combien de temps dure l’audit ?** En général quelques minutes. La console affiche la progression et vous pouvez quitter la page : le résultat vous attend dans l’historique. **La note est-elle la même que celle de SSL Labs ?** La note suit la méthode publiée par SSL Labs (protocoles, échange de clés, chiffrement, plafonds). Les deux outils peuvent différer à la marge selon la date de l’analyse et les tests disponibles. **L’audit peut-il perturber mon site ?** Non. Il envoie quelques connexions TLS et requêtes HTTP, comme un navigateur. Aucune charge particulière, aucune tentative d’intrusion. ## Audit de confidentialité [Voir la page](https://krakenshield.eu/fr/privacy-audit/) **L’audit me rend-il conforme au RGPD ?** Non, aucun outil ne le peut. Il montre ce que le site fait réellement, ce qui permet de corriger les écarts techniques et de documenter votre démarche. **Comment l’outil répond-il au bandeau de cookies ?** Il reconnaît les principaux gestionnaires de consentement et clique sur « Refuser » puis sur « Accepter » lors de visites séparées. Si le bandeau n’est pas reconnu, le rapport le signale. **Puis-je auditer le site d’un concurrent ou d’un fournisseur ?** Oui, l’audit porte sur une page publique, comme le ferait un visiteur. Utilisez les résultats avec discernement. ## Analyse de code [Voir la page](https://krakenshield.eu/fr/code-analysis/) **Mon code est-il envoyé à KrakenShield ?** Non. L’agent s’exécute sur votre machine et n’envoie que des résultats : noms et versions de composants, règles déclenchées, fichiers concernés. Les extraits de code signalés restent dans un rapport local, lisible par vous seul. **Que faut-il pour lancer l’agent ?** Un terminal bash sous Linux ou macOS, ou PowerShell sous Windows avec Git for Windows. L’agent vérifie son intégrité avant de démarrer. **Combien de temps dure l’analyse ?** De quelques secondes à quelques minutes selon la taille du projet. La progression s’affiche dans le terminal et dans la console. **Quelles technologies sont prises en charge ?** Les principaux écosystèmes (JavaScript, PHP, Python et d’autres) pour les dépendances, et la détection des bibliothèques copiées à la main dans le projet. ## Test d’intrusion [Voir la page](https://krakenshield.eu/fr/penetration-test/) **Est-ce légal ?** Oui, dans le cadre que vous autorisez. Tester un système sans l’accord de son propriétaire est un délit (article 323-1 du Code pénal) : c’est pourquoi la propriété du domaine et une autorisation signée sont exigées avant tout lancement. **Le test peut-il faire tomber mon site ?** Il est conçu pour l’éviter : débits limités, aucune attaque par déni de service, phases intrusives désactivées par défaut et arrêt immédiat possible. Prévenez tout de même votre hébergeur, dont le pare-feu peut bloquer les adresses de test. **Depuis quelles adresses viennent les tests ?** Depuis les serveurs KrakenShield en Europe. Leurs adresses IP sont indiquées dans la console pour que vous puissiez les autoriser ou les reconnaître dans vos journaux. **Combien de temps dure un test ?** De quelques minutes à environ une heure selon le périmètre et les phases choisies. Vous suivez l’avancement en direct. ## Audit post-quantique [Voir la page](https://krakenshield.eu/fr/post-quantum-audit/) **Le scan est-il vraiment gratuit et sans compte ?** Oui. Saisissez un domaine sur cette page : ni compte, ni e-mail, ni carte. Le résultat n’est rattaché à personne et le rapport PDF se télécharge directement. Un compte gratuit ajoute l’historique de vos scans et les corrections sur Cloudflare. **Pourquoi agir avant que les ordinateurs quantiques existent ?** Parce que le risque commence à l’enregistrement. Un trafic capté aujourd’hui peut être conservé et déchiffré plus tard. L’authentification peut attendre que ces ordinateurs existent ; la confidentialité de ce que vous envoyez aujourd’hui, non. **Que mesure exactement le score ?** La moitié des points revient à l’acceptation de l’échange hybride, le reste à son choix pour un navigateur, à TLS 1.3, au refus des anciennes versions, à HSTS et à la redirection HTTPS. Sans échange hybride, un site reste sous 50, même si tout le reste est propre. **Dois-je prouver que le site m’appartient ?** Pas pour l’audit, qui fonctionne sur tout site public. Pour modifier quoi que ce soit sur Cloudflare, vous fournissez votre propre jeton d’API : s’il ne donne pas accès à la zone, rien n’est possible. **Quelles permissions pour le jeton Cloudflare ?** Zone Read et Zone Settings Edit, limitées à la zone concernée. Nous conseillons un jeton à durée de vie courte. Les clés d’API globales ne sont pas acceptées. **Puis-je vraiment annuler une modification ?** Oui, depuis le journal, qui remet la valeur précédente et refuse si quelqu’un a changé le réglage depuis, sauf confirmation de votre part. Une limite est indiquée avant d’appliquer : les navigateurs qui ont vu HSTS le retiennent jusqu’à son terme, six mois au plus. **Mon site n’est pas sur Cloudflare. L’audit est-il utile ?** Oui. Le score et les conseils valent pour tout serveur : l’échange hybride dépend surtout d’une bibliothèque TLS récente comme OpenSSL 3.5, et de l’ordre des groupes réglé sur le serveur. ## Tarifs [Voir la page](https://krakenshield.eu/fr/pricing/) **Y a-t-il un abonnement ?** Non. Vous achetez un pack quand vous en avez besoin, sans engagement ni renouvellement automatique. **Que se passe-t-il si un audit échoue ?** Les Kredits réservés vous sont rendus. Seul un audit qui aboutit est décompté. **Puis-je partager mes Kredits avec mon équipe ?** Oui, les Kredits appartiennent à votre organisation : tous ses membres peuvent les utiliser selon leur rôle. **Proposez-vous des tarifs pour les revendeurs et les agences ?** Écrivez-nous depuis le formulaire de contact : nous étudions les volumes importants et les partenariats. ## Tester la sécurité de son site web [Voir la page](https://krakenshield.eu/fr/website-security-check/) **Comment vérifier gratuitement le certificat SSL de mon site ?** Saisissez le domaine dans le test gratuit en haut de cette page : en quelques secondes, sans compte, vous obtenez le certificat (émetteur, date d’expiration, chaîne de confiance, nom couvert), la version TLS négociée, la redirection HTTPS et les en-têtes de sécurité, avec un verdict. Pour la note de A+ à F, les protocoles acceptés, les suites de chiffrement et les vulnérabilités connues, créez un compte gratuit et lancez l’audit SSL/TLS complet depuis la console ; lorsque son tarif est à 0 Kredit, il est gratuit lui aussi. **Quelle différence entre un audit SSL et un test d’intrusion ?** L’audit SSL/TLS examine le certificat et la configuration de chiffrement accessibles sur Internet. Un test d’intrusion cherche des faiblesses sur un périmètre autorisé plus large. Une bonne note SSL ne garantit pas que le site ou son code est exempt de failles. **Le test SSL est-il gratuit ?** L’inscription est gratuite et sans carte bancaire. Le tarif SSL est configurable et affiché sur la page Tarifs : à 0 Kredit, le scan est gratuit pour les utilisateurs connectés. Un tarif positif nécessite les Kredits indiqués, sans abonnement. **Puis-je tester un site qui ne m’appartient pas ?** Oui pour l’audit SSL/TLS et l’audit de confidentialité : ils n’utilisent que des informations publiques et des connexions comparables à celles d’un navigateur, sans vérification de propriété. Le test d’intrusion, lui, n’est possible que sur un domaine vérifié et avec un mandat signé. **L’audit peut-il perturber mon site ?** Non. L’audit établit des connexions TLS et envoie des requêtes HTTP ordinaires pour observer la configuration. Il ne tente aucune intrusion et ne modifie rien sur le serveur. **Que veut dire la note A+ ?** C’est la meilleure note de la méthode SSL Labs : protocoles récents seulement, chiffrement solide, certificat valide et HSTS activé. La note baisse avec les protocoles obsolètes (plafond à B pour TLS 1.0 et 1.1) et tombe à F en cas de faille grave. **Quelle différence avec un test SSL en ligne classique ?** La notation suit la même méthode que SSL Labs. KrakenShield y ajoute les en-têtes de sécurité, l’empreinte DNS et e-mail (SPF, DMARC), les sous-domaines visibles, des corrections expliquées en français et un rapport PDF, avec l’historique de vos audits. **Mon site est sur un hébergement mutualisé : puis-je corriger moi-même ?** En partie. Les en-têtes de sécurité et HSTS se règlent souvent dans le fichier .htaccess. Les protocoles TLS et le certificat dépendent en général de l’hébergeur : le rapport PDF vous donne les éléments précis à lui transmettre. **Combien de temps prend l’audit ?** Quelques minutes pour l’audit SSL/TLS. Le rapport est disponible dans votre console et exportable en PDF dès la fin de l’analyse. ## NIS2 pour les PME [Voir la page](https://krakenshield.eu/fr/nis2/) **Comment savoir si mon entreprise est concernée par NIS2 ?** Croisez votre secteur (18 secteurs listés aux annexes I et II de la directive) et votre taille : en règle générale, au moins 50 salariés, ou plus de 10 M€ de chiffre d’affaires et de total de bilan. Certaines activités sont visées quelle que soit la taille, comme les fournisseurs de services DNS. L’ANSSI propose un simulateur sur MonEspaceNIS2. **NIS2 s’applique-t-elle déjà en France ?** Pas encore. Au 6 octobre 2026, le projet de loi de transposition, adopté par le Sénat le 12 mars 2025, attend son examen en séance à l’Assemblée nationale : celui prévu le 7 octobre a été reporté sans nouvelle date. Les obligations s’appliqueront après la promulgation de la loi et la publication de ses décrets. **Une PME de moins de 50 salariés doit-elle se conformer à NIS2 ?** En principe non, sauf exceptions (fournisseurs DNS, prestataires de services de confiance, entités désignées par l’État). Mais si vos clients sont soumis à NIS2, ils exigeront des garanties de sécurité de leurs fournisseurs : dans les faits, beaucoup de petites entreprises devront appliquer une partie des mesures. **Quels sont les délais de notification d’un incident NIS2 ?** Pour un incident important : une alerte précoce dans les 24 heures, une notification avec une première évaluation dans les 72 heures, puis un rapport final dans le mois qui suit la notification. En France, l’ANSSI est désignée comme autorité nationale par le projet de loi. **Quelles sanctions prévoit NIS2 ?** La directive impose des amendes maximales d’au moins 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 M€ ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. La loi française fixera les montants applicables. **Les dirigeants sont-ils personnellement responsables ?** Oui, l’article 20 prévoit que les organes de direction approuvent les mesures de cybersécurité, en supervisent la mise en œuvre et peuvent être tenus responsables des manquements. Ils doivent aussi suivre une formation à la cybersécurité. **KrakenShield suffit-il pour être conforme à NIS2 ?** Non, aucun outil ne rend conforme à lui seul : NIS2 exige aussi une gouvernance, des procédures et des contrats. KrakenShield couvre des mesures techniques et de preuve (audits SSL/TLS et de confidentialité, analyse de code, test d’intrusion non destructif) et la formation du personnel avec l’Academy, avec des rapports PDF à présenter à vos clients ou à l’autorité. ## Test PHP2Shell [Voir la page](https://krakenshield.eu/fr/php2shell-check/) **Le test est-il vraiment gratuit ?** Oui, sans compte et sans limite autre qu’un nombre raisonnable de vérifications par quart d’heure. **Le test peut-il casser mon site ?** Non. Nous faisons une seule visite de la page d’accueil et lisons les en-têtes, comme un navigateur. Rien n’est envoyé pour exploiter la faille. **Mon site masque sa version de PHP, suis-je protégé ?** Non, masquer la version ne corrige rien : les attaquants testent la faille à l’aveugle. Vérifiez la version dans votre panneau d’hébergement ou avec la commande php -v du serveur web. **Mon hébergeur s’en occupe-t-il ?** Les hébergeurs mutualisés mettent généralement PHP à jour, mais vous devez souvent choisir vous-même la nouvelle version. Sur un serveur dédié ou un VPS, c’est à vous de le faire. ## Test eMudhra [Voir la page](https://krakenshield.eu/fr/emudhra-check/) **Le test est-il vraiment gratuit ?** Oui, sans compte et sans limite autre qu’un nombre raisonnable de vérifications par quart d’heure. **Comment reconnaissez-vous un intermédiaire compromis ?** Par l’identifiant de clé et le nom des six intermédiaires TLS publiés lors de la divulgation (EM DV, OV et EV TLS CA - G3B et G3C), y compris leurs versions contresignées par Sectigo. **Mon certificat eMudhra n’est pas compromis, dois-je quand même le changer ?** Oui, à court terme. eMudhra quitte le marché mondial des certificats TLS et Chrome retire sa racine ECC : un certificat qui en dépend ne sera bientôt plus reconnu. **Le test lit-il mes données ?** Non. Il ouvre une connexion TLS, lit le certificat public que votre serveur présente à tout visiteur, puis la ferme. ## Test HTTP2Shell [Voir la page](https://krakenshield.eu/fr/http2shell-check/) **Le test est-il vraiment gratuit ?** Oui, sans compte et sans limite autre qu’un nombre raisonnable de vérifications par quart d’heure. **Le test peut-il casser mon site ?** Non. Nous faisons une seule visite de la page d’accueil et lisons les en-têtes, comme un navigateur. Aucune donnée compressée piégée n’est envoyée. **Pourquoi le test ne peut-il pas être certain ?** La seule preuve directe serait d’envoyer un flux Brotli piégé, ce qui peut faire planter le serveur. Nous nous en tenons à ce que le site annonce : la technologie, et sa version quand elle est visible. **Mon site est en PHP ou WordPress, suis-je concerné ?** Le site lui-même rarement, mais les outils qui tournent à côté peuvent l’être : scripts Node.js, robots en Python, proxy Envoy ou bibliothèques qui lisent des polices ou des images. Relevez les versions sur le serveur. Aller plus loin ## Les autres audits de la plateforme [TarifsPacks de Kredits et coût de chaque audit.Lire](https://krakenshield.eu/fr/pricing/) [Démo vidéoLa plateforme en vidéo, en 40 secondes.Lire](https://krakenshield.eu/fr/demo/) [Cyber AcademyFormations de sensibilisation et certifications KrakenShield.Lire](https://krakenshield.eu/fr/academy/) Passer à l’action ## Lancez votre premier audit aujourd’hui Inscription gratuite, sans carte bancaire. Achetez des Kredits quand vous en avez besoin pour lancer vos premiers audits. Votre console est prête : lancez un audit ou suivez vos analyses en cours. Inscription gratuite, sans carte bancaire. Hébergé en Europe.