Qui est derrière Ruvalin

Tom Gernez, consultant français indépendant en sécurité informatique. Ruvalin est une entreprise individuelle immatriculée en France, dont l’identité complète, l’adresse et le numéro SIRET figurent dans les mentions légales de ce site. Ce n’est pas une formalité : c’est la différence entre un prestataire que vous pouvez situer et un formulaire de contact.

Les missions qui comportent des tests d’intrusion sont menées avec des ingénieurs partenaires seniors, sous ma responsabilité. Tout le reste, je le fais moi-même : le relevé, la configuration, la lecture des rapports, la sensibilisation.

La méthode est la même sur chaque mission, et elle est publiée en entier sur ce site. Il n’y a rien à découvrir en cours de route.

1. 01

   Un appel de quinze minutes

   Nous regardons votre nom de domaine ensemble, pendant l’appel. Au bout de quinze minutes vous savez si vous êtes exposé, et vous le savez que nous travaillions ensemble ou non.

2. 02

   Le relevé

   Une heure. Il ne s’appuie que sur les enregistrements DNS publics de votre domaine, ceux que n’importe qui peut consulter. Aucun accès à vos systèmes n’est nécessaire, et le même relevé est disponible en libre-service sur ce site.

3. 03

   La correction

   Une demi-journée. Je vous transmets les valeurs exactes à saisir chez votre hébergeur. Vous pouvez les appliquer vous-même ou m’ouvrir un accès limité à la zone DNS. Jamais à vos boîtes aux lettres.

4. 04

   La montée en charge

   Deux à trois semaines, presque entièrement de mon côté. Nous restons en observation jusqu’à avoir identifié chaque service qui envoie légitimement en votre nom, puis nous durcissons par paliers. La procédure complète est publiée dans le guide sur le passage en rejet.

5. 05

   La surveillance

   Ensuite, une synthèse mensuelle en français : qui a tenté d’usurper votre domaine, ce qui a été rejeté, et ce qu’il faut ajuster quand vous changez d’outil.

1. Pas de boîte noire. L’enregistrement que je publie sur votre domaine est écrit en entier sur la page d’accueil, avec la traduction de chacune de ses parties. Ce que je fais est vérifiable par un tiers, et devrait l’être.
2. Pas d’accès dont je n’ai pas besoin. Le relevé initial ne lit que du DNS public. La mise en œuvre demande la zone DNS, et rien d’autre. Une messagerie ne se sécurise pas en s’y connectant.
3. Pas de chiffre invérifiable. Vous ne trouverez ici ni logo de client, ni témoignage, ni pourcentage. La discrétion fait partie du métier, et je préfère qu’on juge ce que je dis au téléphone.

Une liste courte, parce qu’elle vous fera gagner un appel si votre besoin est ailleurs.

• Je ne vends pas de logiciel, et je ne revends pas la plateforme d’un tiers avec une marge. Les outils publiés sur ce site sont gratuits et le restent.
• Je ne fais pas d’infogérance, ni de support informatique général, ni de sauvegarde. Si votre problème est un poste de travail, ce n’est pas moi qu’il faut appeler.
• Je ne prends pas de mission de test d’intrusion sans mandat écrit et sans périmètre défini. C’est une exigence légale autant que professionnelle.
• Je ne promets pas qu’une configuration arrête toute la fraude. Ce que l’authentification du domaine arrête, et ce qu’elle laisse passer, est écrit noir sur blanc dans les guides.