Question 1

Comment fonctionne le bac à sable ?

Accepted Answer

La page et ses scripts sont récupérés par notre proxy, analysés statiquement, puis exécutés dans une iframe isolée (origine opaque, sans accès à votre session) avec un script d'instrumentation : code dynamique (eval, atob), presse-papiers, fichiers générés, WebSocket, géolocalisation, caméra, empreinte du navigateur, formulaires d'identifiants… Les liens, formulaires et fenêtres sont interceptés et jamais suivis hors du proxy.

Question 2

Comment le verdict est-il calculé ?

Accepted Answer

Chaque signature (statique ou observée à l'exécution) apporte des points selon sa gravité ; les signaux fréquents sur des sites légitimes (champ mot de passe, Service Worker, empreinte du navigateur…) sont plafonnés à 15 points au total. Le barème est celui de l'API : une page de connexion légitime reste propre, une page de connexion à l'effigie d'une marque hors de ses domaines est malveillante.

Question 3

Comment détecter le cloaking ?

Accepted Answer

Activez le mode Multi-UA : la même URL est chargée en parallèle avec cinq navigateurs (desktop et mobile) et Googlebot, chacun exécutant la page avec son propre User-Agent. Une destination finale, un statut HTTP ou un formulaire d'identifiants qui diffère selon le profil est signalé comme cloaking.

Question 4

Quelles URLs peut-on analyser ?

Accepted Answer

Uniquement des pages publiques. Les domaines locaux, TLD internes et adresses IP privées sont refusés, et l'outil ne permet pas d'injecter des cookies ou des en-têtes d'authentification.

Question 5

Quels IOC peut-on récupérer ?

Accepted Answer

Les e-mails, adresses IP, URLs et blobs Base64 présents dans le code source, la chaîne de redirections, les domaines contactés et les technologies détectées. Le rapport complet s'exporte en JSON pour votre TIP ou votre ticket d'incident.

Question 6

Peut-on analyser des URL par API ?

Accepted Answer

Oui. Avec une clé API personnelle (scope sandbox:analyze, créée depuis le portail), POST /v1/sandbox/analyze récupère l'URL avec jusqu'à six profils (navigateurs, mobiles, Googlebot), suit les redirections en refusant les réseaux internes, analyse statiquement la page et les scripts du site (phishing, exfiltration, ClickFix, HTML smuggling, évasion) et signale le cloaking. Aucun JavaScript n'est exécuté : pour observer l'exécution et obtenir une capture, utilisez l'outil web. Documentation : forenshield.com/developpeurs/api.

Analyseur URL Suspecte en Ligne

Configuration de l'Analyse

Analyse Multi User-Agent