Vérificateur de référentiel de sécurité Windows
Collez un export secedit pour vérifier la politique de mots de passe, les paramètres d’audit et les valeurs de sécurité du registre par rapport aux recommandations connues.
S’exécute dans votre navigateur · rien n’est envoyéActive DirectoryNouveau
Tout s’exécute dans votre navigateur. Rien n’est envoyé, y compris les noms de compte et les identifiants de sécurité (SID) de votre export.
Augmente la gravité des résultats qui comptent davantage sur un contrôleur de domaine, comme l’énumération anonyme.
Mode d’emploi
- Ouvrez une invite PowerShell ou une invite de commandes élevée sur l’ordinateur à vérifier.
- Exécutez "secedit /export /cfg C:\baseline.cfg".
- Ouvrez le fichier et collez son contenu dans l’outil.
- Examinez les résultats, puis exportez le rapport si besoin.
Cas courants
Exportez la politique de sécurité locale juste après l’installation pour confirmer que la politique de mots de passe, les paramètres d’audit et le niveau d’authentification LAN Manager respectent les recommandations avant la mise en production du serveur.
Exportez secedit sur une machine concernée pour voir la politique telle qu’elle s’applique réellement, pas seulement telle que configurée dans la GPO, car des politiques en conflit ou non liées peuvent produire un résultat effectif différent.
Explication
Exécutez "secedit /export /cfg C:\baseline.cfg" en tant qu’administrateur sur l’ordinateur à vérifier (politique locale, ou politique effective après application de la stratégie de groupe), et collez le contenu du fichier ici. L’outil vérifie la politique de mots de passe et de verrouillage, les paramètres d’audit, un ensemble de valeurs de registre liées à la sécurité (niveau d’authentification LAN Manager, accès anonyme, UAC, connexion automatique) et les attributions de droits utilisateur (qui peut se connecter par le réseau, qui détient le privilège de débogage) par rapport à des recommandations de référence documentées issues des conseils de sécurité de Microsoft. Tout s’exécute localement ; l’export ne quitte jamais votre navigateur.
🔒 Votre saisie reste dans votre navigateur et n’est envoyée nulle part.
Questions fréquentes
Cela se connecte-t-il à mon domaine ou à mon ordinateur ?
Non. Aucun identifiant ni connexion réseau. Vous exécutez vous-même "secedit /export" et collez ici le fichier texte obtenu.
Pourquoi secedit plutôt qu’un rapport GPO ?
L’export au format INI de secedit est un format simple, stable et officiellement documenté pour la politique de sécurité effective. Un rapport GPO complet (XML) couvre chaque paramètre de stratégie de groupe, mais son schéma est bien plus complexe et varie selon le domaine de politique, ce qui le rend bien plus volumineux et risqué à analyser correctement.
Cela vérifie-t-il par rapport à la référence d’une version spécifique de Windows ?
Non. Chaque résultat repose sur une recommandation Microsoft documentée (par exemple le niveau d’authentification LAN Manager, ou la longueur minimale de mot de passe recommandée) plutôt que sur une version précise de référentiel, donc cela s’applique largement plutôt que de correspondre exactement à une version CIS ou Microsoft donnée.
Qu’est-ce que « contrôleur de domaine » change dans les résultats ?
Quelques résultats, comme l’autorisation de l’énumération anonyme, sont signalés avec une gravité plus élevée sur un contrôleur de domaine, car une compromission y affecte tout le domaine plutôt qu’une seule machine.
Et ensuite ?
Un problème ou une suggestion ? Dites-le-nous