À propos du moniteur Vitrina Engine

Vitrina Engine vérifie si un site répond, en combien de temps, et si son certificat approche de l’expiration. Une vérification est une seule requête selon un horaire fixe — le plus souvent une fois par minute, jamais plus. Il n’explore pas : il demande exactement l’URL qu’on lui a donnée, ne suit aucun lien et n’indexe rien.

Le même identifiant sert quand nous livrons un webhook à un point de terminaison configuré par un client : un seul POST au moment où l’état de quelque chose qu’il surveille change.

Chaque requête porte cet User-Agent :

VitrinaEngine/1.0 (+https://vitrinaengine.com/bot)

Un User-Agent n’est qu’une affirmation, et n’importe qui peut le copier. Ne vous y fiez donc pas seul : il y a deux façons de vérifier réellement qu’une requête vient de nous.

Signatures — la méthode fiable

Chaque requête est signée cryptographiquement, au moyen des HTTP Message Signatures (RFC 9421) telles que Web Bot Auth les définit. Trois en-têtes la portent :

Signature-Agent: "https://vitrinaengine.com"
Signature-Input: sig1=("@authority" "signature-agent");…;tag="web-bot-auth"
Signature: sig1=:…:

Nos clés publiques sont publiées sous forme de JSON Web Key Set à /.well-known/http-message-signatures-directory. C’est la vérification à privilégier. Une signature ne peut pas être rejouée contre un autre hôte, ne peut pas être falsifiée sans notre clé privée, et ne dépend du DNS à jour de personne.

DNS inversé — une vérification secondaire

Nos sondes se résolvent en inverse vers des noms sous infinitycurve.com. Pour en vérifier une, résolvez l’adresse qui se connecte vers un nom, vérifiez que le nom se termine par ce suffixe, puis résolvez ce nom en sens inverse pour confirmer qu’il renvoie la même adresse. C’est l’aller-retour qui fait la preuve : un enregistrement inverse seul est défini par qui contrôle le bloc d’adresses.

$ dig +short -x 203.0.113.10
host1234.infinitycurve.com.

$ dig +short host1234.infinitycurve.com
203.0.113.10

À utiliser si votre périphérie ne peut pas vérifier les signatures. C’est une corroboration et non une preuve, et cela dépend d’enregistrements publiés par l’exploitant de chaque bloc d’adresses — ce n’est pas notre système, et ce n’est pas toujours en place.

Nous ne publions pas de liste d’adresses, et nous préférerions que vous n’en constituiez pas une. Les sondes changent d’hôte, de fournisseur et d’emplacement selon où nous les plaçons ; tout ce que vous rattachez à une adresse ou à un centre de données précis finira par ne plus correspondre, sans explication. Vérifiez plutôt la signature : elle reste vraie d’où que vienne la requête.

Si votre robots.txt nous nomme, nous le respectons. Ceci arrête nos vérifications sur ce chemin en moins d’une heure :

User-agent: VitrinaEngine
Disallow: /

Nous ne considérons délibérément pas qu’une règle générique s’applique à nous. Un moniteur n’est pas un robot d’exploration — il demande une URL que quelqu’un a enregistrée, ne découvre rien et ne conserve rien — et les sites qui publient une interdiction générale sont le plus souvent des environnements de test, des panneaux d’administration et des outils internes, précisément ce qu’on nous demande de surveiller. Une règle qui nous nomme est sans ambiguïté ; une règle visant les moteurs de recherche ne l’est pas.

Demandez à la personne qui l’a configuré. Un moniteur existe parce que quelqu’un a saisi votre URL, et c’est cette personne qui peut le retirer — le plus souvent un collègue, une agence ou un hébergeur agissant pour vous. C’est de loin la voie la plus rapide.

Si vous ne la trouvez pas, écrivez à support@vitrinaengine.com en indiquant l’URL vérifiée et nous arrêterons. Vous n’avez pas à prouver que le domaine vous appartient ; nous préférons arrêter et qu’on nous demande de reprendre.

Bloquer l’User-Agent, la règle robots.txt ci-dessus ou les noms d’hôtes fonctionne aussi et ne demande rien de notre part. Sachez ce que cela implique : le moniteur signalera le site comme injoignable, et la personne qui l’a configuré s’en apercevra.

• Il n’explore pas, ne parcourt pas et ne suit aucun lien.
• Il ne collecte pas de contenu, n’entraîne rien et ne conserve pas les corps de réponse.
• Il ne tente pas de s’authentifier, n’envoie pas de formulaires et ne cherche pas de vulnérabilités.
• Il n’ignore pas un blocage. Un refus est un résultat, et il est enregistré comme tel.