Surface Watch
Suivez l'évolution de la surface d'attaque côté client d'une app web d'un build à l'autre
Capturez chaque cible d'une mission de pentest avec REA et voyez sa surface d'attaque : endpoints, paramètres, statuts, en-têtes de sécurité et tiers. Comparez deux builds sans le bruit des chunks renommés ni des temps de réponse, transformez ce qui compte en findings appuyés par des preuves, et relancez un test pour savoir si chacun est corrigé. Tout tourne en local, avec une ligne de commande pour les surveillances planifiées.
Gratuit pour un usage personnel, de recherche ou non lucratif, avec une mission et tous les onglets, la ligne de commande et les surveillances planifiées. L'usage commercial, y compris un consultant sur une mission client, nécessite Surface Watch Pro, qui garde aussi un nombre illimité de missions. Chaque build est produit par la CI de release et servi depuis mayorana.ch.
Le build macOS est signé avec un Apple Developer ID et notarisé : il s'ouvre d'un double-clic normal.
Lire les notes de versionCette app est en beta. Le flux principal est stable ; certains panneaux sont encore en cours d'affinage.
Achat unique, avec un an de mises à jour. Paiement sécurisé par Stripe ; votre clé de licence s'affiche juste après et vous est envoyée par e-mail.
Vue d'ensemble
Une app web en test change à chaque sprint. Comparer deux builds à la main, c'est trier des chunks de scripts renommés, des images et des écarts de temps pour trouver le seul nouvel endpoint qui compte, et se souvenir des findings corrigés depuis la dernière visite.
Surface Watch capture chaque cible d'une mission avec REA et transforme le trafic en surface : chaque endpoint avec ses paramètres et ses statuts, les en-têtes de sécurité, les scripts et les tiers contactés par la page. Les entrées qui méritent un coup d'œil, comme les erreurs serveur, les chemins d'administration accessibles sans connexion ou les pages sans Content-Security-Policy, sont signalées en premier.
Comparez deux captures et ne voyez que ce qui a changé, chaque changement accompagné de ce qu'il implique pour vos tests. Les findings citent les preuves brutes de REA sur lesquelles ils reposent, et un retest indique si chacun est corrigé. Tout tourne sur votre ordinateur, sans aucun LLM.
Ce que fait l'app
La surface, pas le trafic
Les endpoints avec leurs paramètres, statuts et en-têtes de sécurité, plus les scripts et les origines tierces. Les entrées suspectes sont signalées et listées en premier.
Des diffs sans bruit
Les chunks renommés, les images et les temps de réponse n'apparaissent jamais comme des changements. Un contrôle de stabilité capture le build deux fois et met de côté les endpoints qui vont et viennent.
Des findings avec preuves
Transformez n'importe quelle entrée ou changement en finding. Chacun cite les preuves REA sur lesquelles il repose, et un retest enregistre s'il est corrigé.
Des missions qui restent dans le périmètre
Chaque mission enregistre le client, qui a autorisé le test et sa fenêtre de test. Les captures hors fenêtre sont refusées, et les origines sont vérifiées à la saisie.
Bureau et ligne de commande
La CLI surfacewatch partage le même cœur, pour les surveillances planifiées depuis cron ou la CI, les imports HAR et les vérifications par SSH.
Prérequis
- macOS (Apple Silicon), Windows 10 ou 11, ou Linux x86_64
- Node.js 22.19+, 24.11+ ou 26+
- REA : un rea global s'il est installé, sinon il est lancé via npx
- Google Chrome, Chromium ou Edge
- Une autorisation écrite pour chaque cible capturée
Conçu avec
Rust · Dioxus · REA · Node.js · Chrome
Nouveautés
Version 0.1.6, publiée le 19 octobre 2026. Surface Watch évolue souvent : chaque version et ce qu’elle a changé sont listés sur la page des notes de version.
Lire les notes de versionLicence
Source disponible sous la licence PolyForm Noncommercial 1.0.0 : gratuit pour un usage personnel, l'apprentissage, la recherche et les projets de loisir, ainsi que pour les associations, écoles, universités et institutions publiques, avec une mission et toutes les fonctionnalités. L'usage commercial, y compris un consultant sur une mission client et un employé qui l'utilise dans son travail, nécessite Surface Watch Pro, qui garde aussi un nombre illimité de missions. Pro est la licence commerciale : il n'y a rien d'autre à acheter.
Code source
Le code est public et lisible. Forkez-le et rebrandez-le — le nom et le logo sont des marques et ne sont pas couverts par la licence.
Voir sur GitHubQuestions
Qu'est-ce que REA ?
REA est l'outil open source que Surface Watch pilote pour ouvrir chaque cible dans un navigateur et enregistrer ce qu'elle fait. Surface Watch conserve les preuves brutes de REA telles quelles et construit la surface et les diffs par-dessus.
Quelque chose quitte-t-il mon ordinateur ?
Non. Captures, surfaces, findings et missions sont gardés dans des fichiers privés sur votre ordinateur. Surface Watch ne communique qu'avec les cibles que vous capturez, et aucun modèle d'IA n'intervient.
Puis-je capturer n'importe quel site ?
Uniquement les cibles que vous êtes autorisé à tester. Chaque mission exige une note d'autorisation et une fenêtre de test, et les captures hors de cette fenêtre sont refusées.
Une question sur cet outil ?
Renseignez-vous sur une licence commerciale pour votre équipe, signalez un problème ou dites-nous ce qui manque. Nous lisons chaque message.
Nous contacter