Analyseur PCAP

Déposez une capture de paquets — .pcap ou .pcapng — et obtenez la vue des dix premières minutes : les conversations qui ont déplacé les octets, chaque question et réponse DNS, les requêtes HTTP en clair, les noms de serveur TLS et les empreintes JA3, et une courte liste d’identifiants qui ont traversé le réseau sans chiffrement. Le fichier ne quitte jamais votre appareil : il est analysé dans cette page, pas téléversé, parce qu’une capture est une preuve et que les preuves ne se publient pas sur les serveurs d’inconnus.

Ou déposez le fichier n’importe où dans ce cadre. L’analyse se fait par morceaux avec un indicateur de progression, pour qu’une capture de plusieurs mégaoctets ne gèle pas l’onglet.

À quoi servent les dix premières minutes

Une capture est d’ordinaire prise à la hâte — quelque chose est lent, quelque chose parle au mauvais endroit, quelque chose est suspect — et ouverte sous pression. L’ordre des questions compte plus que n’importe quelle réponse isolée. Commencez par les conversations : triées par octets, elles disent qui a réellement utilisé le réseau dans cette fenêtre, et la surprise est en général immédiatement visible — un poste de travail en longue conversation avec une adresse que personne ne reconnaît, un serveur qui téléverse bien plus qu’il ne télécharge, un protocole qui ne devrait pas être là du tout. Puis le DNS, parce que les noms sont l’intention : les requêtes qu’un hôte a faites sont ce qu’une capture a de plus proche d’un historique de navigation de ce qu’il essayait d’atteindre, et les réponses épinglent ces noms à des adresses au moment de la capture, pas tels que le DNS les résout aujourd’hui. Puis les métadonnées TLS : le chiffrement masque le contenu, pas l’existence — les noms SNI et les empreintes JA3 disent encore quels services ont été contactés et quel type de logiciel client a établi la connexion. Enfin les surprises en clair : les requêtes HTTP et les avertissements sur les identifiants, parce qu’en 2026 tout mot de passe qui traverse un réseau lisible par un observateur passif est un incident en soi, quelle qu’ait été la question d’origine. Le guide compagnon, les dix premières minutes avec une capture de paquets, parcourt cet ordre comme un flux de travail, y compris le moment où arrêter le triage et ouvrir Wireshark à la place.

Trois limites honnêtes définissent ce que cette page prétend. Elle ne réassemble pas les flux TCP — elle lit les paquets un par un et les agrège en flux, donc une requête HTTP ou un ClientHello que la capture a réparti entre segments peut être manqué ; les captures prises sur un hôte (plutôt que sur un tap) montrent aussi des artefacts de délestage de segmentation, une réserve qu’explique le guide. Elle ne déchiffre rien : il n’y a nulle part où coller un journal de clés, délibérément, parce que les journaux de clés comptent parmi les fichiers les plus sensibles qui existent et qu’ils n’ont pas leur place dans une page web. Et sa liste d’identifiants est un ensemble de motifs reconnus, pas un audit — l’absence d’un avertissement n’est pas une preuve d’absence. Ce qu’elle garantit, c’est le sens du flux de données : votre capture est lue par du code qui s’exécute dans l’onglet de votre navigateur et n’est jamais téléversée, journalisée ni partagée, de sorte que le triage lui-même ne peut pas devenir la fuite. Pour les captures qui commencent sur un serveur en production, le scanner de ports montre ce que l’hôte expose et l’analyseur d’en-têtes d’e-mail couvre l’autre fichier qui arrive pendant un incident — le message suspect lui-même.

Questions fréquentes

Où va mon fichier de capture ?

Nulle part. Le fichier est lu et analysé dans cette page, sur votre appareil, et rien n’est téléversé, transmis ni stocké — la page ne fait aucune requête réseau quand elle analyse un fichier. C’est un choix délibéré, parce qu’une capture de paquets est l’un des fichiers les plus sensibles d’un réseau : elle contient des adresses internes, des noms d’hôte et — dans les protocoles en clair — des identifiants littéraux. Elle fonctionne aussi hors ligne une fois la page chargée, ce qui est de toute façon l’endroit où une capture se lit d’ordinaire : sur la machine qui l’a prise, souvent pendant un incident.

Quels formats de capture et types de liaison sont pris en charge ?

Le PCAP classique dans les deux sens d’octets, avec des horodatages en microsecondes ou nanosecondes, et le PCAPNG — blocs de section, d’interface, de paquets améliorés et simples, plus les blocs de résolution de noms, dont les noms enregistrés sont affichés dans le résumé. Types de liaison : Ethernet (y compris les trames étiquetées VLAN), IP brut, bouclage BSD, et Linux cooked SLL et SLL2. IPv4 et IPv6, TCP, UDP et ICMP sont décodés. Les autres types de liaison sont comptés dans le mélange de protocoles mais pas décodés, et le résumé le dit au lieu de se taire.

Que ne peut-elle pas faire ?

Trois limites, dites clairement. Elle ne réassemble pas les flux TCP — l’analyse se fait par paquet plus agrégation par flux, donc un ClientHello ou une requête HTTP répartie entre segments peut être manquée. Elle ne peut rien déchiffrer : TLS et le reste du trafic chiffré ne produisent que des métadonnées (nom de serveur, ALPN, JA3), jamais de contenu. Et ses constats d’identifiants sont des observations, pas un certificat de bonne santé — elle signale les motifs en clair qu’elle reconnaît (HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, telnet), et l’absence de signal ne prouve rien sur les protocoles qu’elle n’inspecte pas. Pour le travail en profondeur — suivi de flux, dissecteurs de protocoles, déchiffrement avec journaux de clés — utilisez Wireshark ; cette page, ce sont les dix premières minutes, pas toute l’enquête. Le guide compagnon, les dix premières minutes avec une capture de paquets, expose cet ordre de triage.

Qu’est-ce que l’empreinte JA3 affichée pour les connexions TLS ?

JA3 est une manière standard d’identifier un client TLS à partir de son ClientHello : la version TLS, les suites de chiffrement, les extensions, les courbes elliptiques et les formats de point, énumérés dans l’ordre en nombres décimaux (les valeurs GREASE retirées), réunis en une chaîne et hachés avec MD5. Deux clients avec la même bibliothèque et les mêmes réglages produisent le même JA3 ; un scanner ou une famille de logiciels malveillants en a souvent un caractéristique. Elle identifie les habitudes du logiciel client, pas l’utilisateur, et elle change quand les bibliothèques se mettent à jour — traitez-la comme un indice de regroupement, pas comme une identité.

Quelle taille de capture puis-je ouvrir ?

Des fichiers jusqu’à 25 Mo. Ce plafond est délibéré : tout le fichier plus les structures d’analyse vivent dans la mémoire de votre onglet, et un navigateur de bureau gère cela confortablement, alors qu’un téléphone peut-être pas. Lors des tests, une capture de 10 Mo avec environ 90 000 paquets a été analysée en une seconde environ. Pour plus gros, filtrez d’abord au moment de la capture ou avec editcap/tcpdump sur votre propre machine — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — et apportez ici la tranche.