Trois choses. D'abord, EAS hiérarchise par chemin armé par la mesure plutôt que par volume de constats. Ensuite, il ne s'arrête pas à la façade : le périmètre interne (annuaire, posture d'identité) est mesuré avec la même discipline. Enfin, il prouve les conditions d'autorisation de son exécution et laisse une trace de décision vérifiable par un auditeur — la gouvernance est une propriété démontrée, pas une convention d'architecture.

Oui — votre périmètre, en lecture seule, derrière une porte d'autorisation fail-closed formellement vérifiée : un collecteur fautif ne peut pas émettre vers une infrastructure tierce. Quatre mesures sous mandat : négociation TLS, sondage HTTPS en HEAD, sonde TCP sur les seuls ports du mandat (connexion puis lecture de la bannière présentée spontanément par le serveur, zéro octet client envoyé), et sondage HEAD d'un catalogue de 16 chemins usuels dont la liste complète est consultable dans le produit. S'y ajoute l'enrichissement passif : DNS, Certificate Transparency, WHOIS / RDAP, ASN, archives Web, index de code public. Jamais de test d'authentification, de brute force, de fuzzing, d'exploitation ni de tentative d'intrusion ; aucun compte utilisé sur la cible. Jamais d'action sur un système qui n'est pas le vôtre.

Un compte de service en lecture seule sur l'annuaire, et rien d'autre — aucun agent n'est installé sur vos systèmes. Le mot de passe est saisi au lancement de chaque collecte, gardé en mémoire le temps de l'exécution et effacé ensuite : il n'a aucune colonne en base et n'est jamais journalisé. Le connecteur n'émet que des recherches, jamais de création, de modification ou de suppression. Chaque collecte laisse une entrée dans un registre chaîné par hachage — un accès qui échoue n'écrit rien, parce que le registre prouve une collecte réelle et jamais une tentative.

C'est une preuve de couverture, pas un feu vert : le moteur a examiné 37 objets et n'a rien trouvé à signaler. Vous savez ce qui a été regardé et combien. C'est très différent d'un moteur qui ne dit rien parce qu'il n'a pas tourné — ce cas-là s'affiche « en attente de sa source » et nomme précisément ce qui manque. Nous ne fabriquons jamais un dénominateur pour combler un trou, et rien n'est peint en vert.

La remédiation guidée — version corrigée, advisory, procédure — est disponible aujourd'hui. La génération automatique de correctifs de configuration (TLS, en-têtes, règles) est sur la feuille de route. Le code applicatif (injection, logique métier) reste au développeur : on alerte, on ne prétend pas tout corriger seul.

Non, et c'est délibéré. Nous rattachons chaque écart mesuré au texte applicable — NIS2 art. 21(2)(e), RTS DORA art. 10, hygiène ANSSI, CIS Controls — avec la justification et le périmètre hors couverture. Ces correspondances sont établies par CORTEX, non certifiées par un tiers. Un écart se prouve depuis l'extérieur ; une conformité, non — NIS2 pose une obligation de moyens contextuelle, pas une liste à cocher. Et la directive nomme la fourniture d'informations inexactes sur les mesures de gestion des risques parmi les circonstances aggravantes : un pourcentage injustifiable est un risque pour le dirigeant, pas un argument.

Capitaux européens, sans dépendance étrangère, et un cœur formellement vérifié. Pour un acteur régalien ou soumis à un cadre strict, la souveraineté et la garantie formelle d'exécution sont souvent décisives — d'autant que la trace de décision se vérifie hors de notre infrastructure.

Non. Le score hiérarchise des expositions par risque, de façon entière et explicable. Il ne nomme aucun adversaire et n'est jamais agrégé aux preuves formelles du noyau. C'est un repère de priorisation, pas un verdict d'identité — et il n'est jamais fondu avec la criticité métier que vous déclarez.