Preuve de reproductibilité

L'extension SYAGA Audit est écrite en JavaScript lisible, non minifié, non bundlé : le code exécuté est inclus en clair dans le paquet installé et se lit tel quel dans le dossier de l'extension sur votre poste. Une seule étape d'emballage précède la boutique ; elle ne modifie que deux fichiers, manifest.json et mode_paquet.mjs. Tous les autres fichiers livrés sont, octet pour octet, ceux de notre dépôt source, qui n'est pas public à ce jour : ce que nous publions, ce sont leurs empreintes, ci-dessous. Le paquet n'est pas encore téléchargeable : la boutique n'est pas ouverte ; cette vérification sera possible à son ouverture.

Ce que vous pouvez vérifier vous-même

1. Téléchargez le fichier d'empreintes SHA256SUMS, ailleurs que dans le dossier de l'extension, qu'il est inutile de modifier.
2. Quand la boutique sera ouverte, placez-vous dans le dossier du paquet décompressé (celui de l'extension installée sur votre poste) et lancez sha256sum -c SHA256SUMS (donnez le chemin du fichier téléchargé s'il est ailleurs) : toutes les lignes affichent OK, sauf une, manifest.json (l'empreinte publiée de mode_paquet.mjs est déjà celle de sa forme livrée). Avant la boutique, nous retirons de manifest.json la clé de développement et toute origine en http:// qui n'est pas nommément assumée ; une seule l'est et reste dans le paquet, http://localhost/*, pour le retour de la connexion Exchange. Ces transformations sont décrites dans REPRODUCIBLE.md. Toute autre différence signifierait que le code livré n'est pas celui de notre dépôt.
3. Observez les envois : ils partent du service worker de l'extension, pas d'une page, donc l'onglet Réseau d'une page ne les montre pas. Dans edge://extensions (Chrome : chrome://extensions), activez le mode développeur, cliquez sur service worker sur la carte SYAGA Audit, ouvrez l'onglet Réseau, puis lancez le scan. Vers syaga.eu sortent des jetons et des valeurs de configuration non personnelles, jamais vos vrais noms ; seule exception, vos noms de domaine partent en clair vers le DNS public de Google (dns.google) pour lire vos enregistrements SPF, DMARC et DKIM, sans passer par SYAGA. Limite connue et non fermée : un identifiant numérique court qui se trouverait sous un champ de configuration non répertorié resterait lisible ; nous la publions ici plutôt que de la taire.
4. Relisez votre journal d'audit Microsoft après le scan. Il enregistre les modifications et seulement quelques lectures : certaines lectures de l'audit (par exemple les réglages Fabric/Power BI, ou la liste de vos sauvegardes si Microsoft 365 Backup est activé) peuvent y apparaître au nom du compte utilisé pour le scan, mais aucune ne porte sur un courriel ou un fichier, que l'audit n'ouvre pas. Vous y vérifiez qu'aucune modification n'est attribuée à nos applications ni à ce compte.

Retour à SYAGA Audit