CRASH TEST — RAPPORT RÉEL DU LABORATOIRE LOCAL

Cible : http://127.0.0.1:8080, application de démonstration possédée et volontairement imparfaite.
Aucune mairie ni aucun site externe n'a été scanné.

Exécution : 2026-10-28T13:01:06.761612+00:00 à 2026-10-28T13:01:26.766962+00:00 (UTC).
ZAP 2.17.0, OpenJDK 17.0.20, Node v24.22.1.
Archive Linux officielle vérifiée par SHA-256 avant exécution.
SHA-256 archive : efe799aaa3627db683b43f00c9c210aea0b75c00cc8f0a0f0434d12bb3ddde5a
Source : https://github.com/zaproxy/zaproxy/releases/tag/v2.17.0

BASELINE (analyse passive via Automation Framework, sans le wrapper Docker zap-baseline.py)
4 URL explorées. 6 types d'alertes, 19 occurrences :
- 0 élevée
- 2 moyennes (CSP absente, protection anti-clic détourné absente)
- 3 faibles (cookie sans HttpOnly, cookie sans SameSite, en-tête nosniff absent)
- 1 information (réponse associée à une gestion de session, ici cookie fictif)
Fichiers ZAP natifs : baseline.json et baseline.html.

APRÈS LE TEST ACTIF
4 nœuds analysés, 2 requêtes actives envoyées, 1 alerte XSS réfléchie 40012 ajoutée.
Le rapport final CUMULE les résultats passifs et actifs : 7 types d'alertes,
20 occurrences, dont 1 élevée, 2 moyennes, 3 faibles et 1 information.
L'alerte XSS a un risque High et une confiance Medium selon ZAP.
Fichiers ZAP natifs : active.json et active.html.
Ne pas additionner les totaux baseline et actif, car le second les inclut.

BORNES DU TEST
La phase active n'active que la règle40012, intensité Low, un thread,
100ms entre requêtes, une minute maximum par règle et deux minutes maximum
pour l'ensemble de cette phase. Pas de navigateur, test AJAX/DOM, authentification,
audit de configuration serveur, réseau, disponibilité ou charge.
Les appels spontanés ZAP sont coupés avec -silent et -notel.
Les services ZAP sont configurés sur 127.0.0.1 ; le journal confirme l'écoute
de rappel sur 127.0.0.1. Les processus ZAP et laboratoire ont été arrêtés.

VÉRIFICATION ET LIMITES
Code de sortie ZAP :0 ; Automation plan succeeded.
Les journaux conservés contiennent les avertissements de lancement root,
d'extensions stables livrées sans contrôle de mise à jour en ligne depuis
plus de trois mois et d'absence de Firefox/geckodriver. Les fonctions
nécessaires au plan (spider traditionnel, analyse passive, règle active XSS,
rapports) ont terminé ; aucun scan de navigateur n'a été effectué.
L'absence d'autres alertes ne démontre pas l'absence d'autres failles.
Il s'agit d'une démonstration technique locale, pas d'un audit exhaustif.

TRACE
execution.json : dates UTC, versions, paramètres, empreintes, comptages,
messages actifs envoyés, avertissements et preuve d'arrêt des processus.
local-plan.yaml : plan effectivement exécuté.
zap-console.log et zap.log : journaux de l'exécution.
download-verification.json : source officielle et SHA-256 attendu/mesuré.

Un premier essai a été conservé séparément dans attempt-1-root-only :
la baseline y était réelle, mais la phase active était limitée au nœud racine
sans paramètre et n'avait envoyé aucune requête. La configuration a été
corrigée avant ce passage final ; seuls les fichiers à la racine du présent
dossier constituent le résultat final.
