Autoriser l'IP du scanner

Un scan fait beaucoup de requêtes en peu de temps depuis une seule IP, exactement le pattern qu'un WAF, un rate limiter ou une CDN (Cloudflare, Vercel...) est conçu pour bloquer. Si votre app en a un, le scan peut revenir marqué "bloqué" avant d'avoir fini.

detektd sort toujours depuis la même adresse IP fixe (jamais de rotation) : c'est elle qu'il faut autoriser une bonne fois pour toutes. Elle est visible dans le dashboard, dans le panneau qui apparaît avant votre premier scan ou dès qu'un scan revient bloqué.

• Cloudflare : Tableau de bord → Sécurité → WAF → IP Access Rules → « Create » : IP = l'IP affichée dans votre dashboard, Action = « Allow ». Disponible même en plan gratuit.
• Vercel : Projet → Settings → Firewall → ajoutez une règle « Allow » (ou « Bypass ») sur cette IP. Les règles personnalisées peuvent nécessiter un plan payant.

Pour nginx, excluez notre IP de votre zone limit_req : une clé vide désactive la limite pour cette IP.

geo $detektd_ip {
    default 0;
    <IP detektd> 1;
}
map $detektd_ip $rl_key {
    0 $binary_remote_addr;   # everyone else: limited by IP
    1 "";                    # detektd: empty key = no limit
}
limit_req_zone $rl_key zone=app:10m rate=10r/s;

Le panneau "Autoriser notre IP" (dashboard, avant le premier scan ou après un scan bloqué) fournit un prompt tout prêt (votre URL et notre IP déjà dedans) à coller dans Cursor, Copilot, Claude ou l'assistant que vous utilisez pour configurer votre infra. C'est le chemin le plus rapide si vous ne gérez pas ça à la main ; les étapes manuelles ci-dessus restent sous un menu dépliant du même panneau pour qui préfère les suivre soi-même.