PenScope

Ce que c'est

PenScope est une extension Chrome. Installez-la, naviguez sur un site que vous avez l'autorisation de tester, et elle cartographie silencieusement toute la surface d'attaque — chaque point de terminaison, chaque secret, chaque en-tête mal configuré, chaque paramètre caché. Quand vous donnez le signal, elle envoie 36 attaques de sonde différentes en utilisant vos véritables cookies de session et rapporte lesquelles ont touché.

Ou vous définissez le périmètre, cliquez sur Chasse, et PenScope fait tout le travail de manière autonome pendant que vous faites autre chose — rédigeant des rapports de prime complets au format HackerOne pour chaque constat Critique et Élevé qu'elle atterrit. Vous vous réveillez avec une file de brouillons soumis.

C'est l'outil quotidien pour les chasseurs de primes qui veulent sauter la routine « configurer un proxy, cliquer dans trois fenêtres, alt-tab vers une liste de payloads » et simplement regarder un site. Ou arrêter complètement de regarder et laisser l'outil chasser à leur place.

Lit tout, n'envoie rien — jusqu'à ce que vous le lui demandiez. Définissez le périmètre, lancez Chasse, fermez l'ordinateur. Réveillez-vous avec des critiques rédigés.

Quoi de neuf dans v6.3

Refonte pilotée par audit sur 8 phases. Ajouts principaux :

• Moteur de sonde : 36 → 45 attaques. Sondage de paramètres SSRF, injection d'opérateur NoSQL, DoS par alias/lot GraphQL, tromperie de cache, heuristique de prise de contrôle de sous-domaine, TabNabbing, corrélation d'origine postMessage, abus de périmètre Service Worker.
• Le contrat de niveau est appliqué, non décrit. Prudent = GET uniquement, séquentiel, espacement de 200ms. Moyen = +POST pour les opérations de forme de lecture. Complet = tout, y compris les rafales de condition de course. Survolez n'importe quel niveau dans le menu Sonde pour le contrat complet.
• Couverture : 31 nouveaux motifs de secrets + 9 nouveaux motifs de corps de réponse. Clés secrètes Mapbox, Datadog (format réel), admin Algolia, jeton d'authentification Twilio, Postmark, jetons API Cloudflare, Heroku, Linear, Notion, Figma, paire Plaid, Snyk, Terraform Cloud, Pinata, clés publiques SSH, attributions .env, préfixes s./b. de Vault — plus des détecteurs de corps de réponse Spring Boot / Rails ActiveRecord / Django DEBUG / ASP.NET YSOD / Express / Apollo / MSSQL.
• 17 nouvelles empreintes technologiques. Qwik, SolidStart, Tauri, Strapi, Sanity, Contentful, Hygraph, Clerk, Cognito, Okta, PingIdentity, Workday, ServiceNow, Salesforce Lightning, Adobe AEM, Electron renderer.
• Enrichissement JWT. Chaque JWT détecté se décode automatiquement (alg, iss, sub, aud, exp, iat, role, scope...). Augmentation de la sévérité lorsque exp est dans le futur et que le rôle est en forme d'admin.
• Ajouts CDP. Accessibility.getFullAXTree expose les aria-labels sensibles (boutons admin/sudo/delete/destroy). Storage.getCookies expose les cookies partitionnés CHIPS que chrome.cookies.getAll ne fait pas.
• Analyseur d'îlot JSON. Les blocs <script type="application/json"> (Next __NEXT_DATA__, Nuxt __NUXT__, Remix __remixContext, Apollo __APOLLO_STATE__) sont analysés pour les points de terminaison + champs ID, pas seulement scannés par regex.
• Nouvelle UX d'onglet de point de terminaison. Bouton curl par ligne, bouton unauth par ligne (rejoue la requête sans cookies, montre le verdict côte à côte). Vue de table de routage qui réduit /users/123, /users/124 en /users/{id} avec des comptages. Rail de pivot automatique pour les sous-domaines admin.*, api.*, internal.*.
• Export HAR + liste de mots ffuf. Exports miroirs de l'import HAR existant + liste de mots Burp. Déposez directement dans ffuf -w.
• Boutons 📸 Snap / ↔ Diff dans l'en-tête de la fenêtre contextuelle. Enregistrez un instantané maintenant, comparez à tout moment ultérieur. Même mécanisme que celui utilisé par le mode Bleu.
• Diff IndexedDB. Capturez l'état côté client, modifiez l'application, capturez à nouveau, diff. Attrape les bogues de fuite d'état que la capture HTTP pure manque.
• Correctifs de sécurité critiques. La sonde window.__ps_ctx ne fuit plus les en-têtes d'autorisation de l'utilisateur dans le contexte de la page après la fin de la sonde. Les commandes de reproduction de chaîne masquent les cookies de session par défaut (le mode Rouge a un bouton d'activation pour les valeurs réelles). L'IIFE de la sonde capture fetch/JSON/Promise/atob/btoa/etc. au démarrage afin que les pages instrumentées par analytics ne puissent pas intercepter la sonde en remplaçant les globaux. Approvisionnement local de polices - zéro requête sortante à l'ouverture de la fenêtre contextuelle.
• Migration vers les modules ES. Le SW se charge maintenant en tant que "type":"module". L'arborescence du répertoire src/ est en place ; STACK_ATTACK_PACKS extrait vers src/probe/stack-packs.js. Les modules restants sont des stubs documentant le chemin d'extraction.

Répartition complète par phase dans CHANGES.md. Notes de migration dans MIGRATION.md.

Démarrage rapide```

1. Download the latest release zip from the Releases page
2. Unzip it
3. Open chrome://extensions, enable Developer mode (top right)
4. Click "Load unpacked" and pick the unzipped folder

Épinglez l'extension. Visitez n'importe quel site. Cliquez sur l'icône **P**. PenScope observait déjà.

---

## Ce que vous pouvez faire

PenScope capture plus de 60 champs de données par onglet. Voici ce que cela signifie concrètement :

**Visualisez l'ensemble de la surface d'attaque.** Chaque point de terminaison, y compris ceux référencés en JavaScript mais jamais appelés. Les chemins d'API enfouis dans les source maps, les opérations GraphQL reconstituées à partir des corps POST, les routes admin cachées déduites de l'introspection du framework.

**Trouvez des secrets que personne n'aurait dû expédier.** Clés API codées en dur dans des bundles `.js`. JWT dans `localStorage`. Identifiants AWS dans des dumps d'environnement. Identifiants internes dans les corps de réponse. Le genre de choses qui finissent dans un rapport de criticité P1.