Ce que les sondes cherchent

Sondes de plugins et thèmes de CMS obsolètes

Une part importante des requêtes automatisées qui atteignent solivram cherche des fichiers précis appartenant à des extensions ou des thèmes connus de systèmes de gestion de contenu très répandus — un fichier readme.txt d'un module de commerce en ligne, un chemin de plugin daté, une ressource oubliée dans une installation par défaut. Ce type de sonde ne vise jamais solivram en particulier : le même robot interroge, à la chaîne, des millions d'adresses au hasard, en espérant tomber sur l'une des innombrables installations réellement vulnérables qui existent ailleurs sur Internet.

solivram n'exécute aucun de ces systèmes — ces chemins n'ont simplement aucune correspondance. La requête reçoit une réponse générique de ressource introuvable, sans qu'aucune information supplémentaire ne soit renvoyée sur ce qui existe réellement derrière l'adresse interrogée.

Sondes de panneaux d'administration d'appareils réseau

Un autre type de requête récurrent cible les chemins d'administration typiques de certains appareils de stockage en réseau ou équipements connectés grand public — des pages de connexion à des interfaces de gestion qui n'ont, ici non plus, aucun rapport avec ce que solivram héberge.

Ce schéma de sonde correspond à des campagnes automatisées qui balaient des plages d'adresses IP entières à la recherche d'appareils mal configurés exposés directement sur Internet — un scénario fréquent pour ce type de matériel, sans lien avec un site web comme solivram. La requête ne trouve, là non plus, rien à quoi correspondre.

Sondes de frameworks applicatifs anciens

Certaines requêtes ciblent des chemins associés à d'anciens frameworks d'applications web — des extensions d'URL et des pages de démonstration qui ont, par le passé, été associées à des failles largement documentées et exploitées sur d'autres sites, parfois à grande échelle.

Ces sondes recherchent une version précise d'un logiciel qui, ici, n'existe simplement pas : solivram est un logiciel souverain distinct, qui ne repose sur aucun de ces frameworks. La requête n'aboutit à rien de plus qu'une ressource introuvable — la recherche du robot reste sans objet.

Sondes de portails et CMS d'entreprise génériques

D'autres requêtes cherchent des fichiers de configuration ou des points d'entrée typiques de portails d'entreprise ou de systèmes de gestion de contenu génériques — un fichier de personnalisation de marque, un point de diagnostic d'environnement, autant d'éléments qui appartiennent à des produits que solivram ne fait pas tourner.

Ce type de sonde fait partie du même fond de bruit permanent que reçoit toute adresse exposée sur Internet, quel que soit le logiciel réellement installé derrière. Chaque requête de ce type se termine par une réponse générique de ressource absente.

Rafales de requêtes depuis une même origine

Il arrive qu'une même origine envoie un grand nombre de requêtes en très peu de temps — parfois plusieurs dizaines en l'espace d'une seule seconde. Ce schéma correspond typiquement à un script automatisé qui teste des chemins en boucle, plutôt qu'à un visiteur humain naviguant normalement sur le site.

Lorsque ce rythme devient excessif, les requêtes suivantes de cette même origine cessent temporairement d'être traitées, le temps qu'il redevienne normal. Cette limitation s'applique à l'origine concernée uniquement — elle ne concerne jamais les autres visiteurs, dont l'expérience reste inchangée.

Connexions chiffrées jamais abouties

Certaines connexions s'ouvrent sans jamais aller au bout de l'établissement du canal chiffré qui protège les échanges avec le site — la partie distante interrompt l'échange avant qu'il ne soit complet, ou ne répond simplement plus. Ce comportement est caractéristique d'outils de balayage automatisés, qui sondent une adresse sans intention réelle d'obtenir une vraie page.

Une connexion qui n'aboutit pas dans un délai raisonnable est abandonnée d'elle-même. Aucune donnée n'a, à ce stade, été échangée au-delà de l'amorce du canal chiffré.

Corps de requête hors gabarit

Une requête peut aussi être rejetée parce que son corps — les données envoyées après l'adresse elle-même — ne correspond pas à ce qui est attendu : une taille excessive, un format illisible, une structure incohérente. Ce type de requête n'est jamais lié à un usage normal du site.

Une requête hors gabarit est rejetée avant même d'être examinée plus avant. La connexion se referme, sans qu'aucun traitement supplémentaire ne soit engagé sur son contenu.

Scan direct d'une adresse IP, sans nom de domaine

solivram, comme tout service exposé sur Internet, reçoit aussi des connexions qui ciblent directement son adresse plutôt que son nom de domaine — un outil de balayage à grande échelle qui teste des plages entières d'adresses, sans jamais passer par la résolution de nom habituelle d'un visiteur réel.

Ce type de connexion se distingue par la manière dont elle s'identifie auprès du serveur : une adresse IP y figure à la place d'un nom d'hôte, ce qui ne correspond à aucun usage normal d'un navigateur. Ce trait suffit à la distinguer d'une vraie requête, sans qu'aucun détail supplémentaire ne soit nécessaire ici.