Ajoutez votre Trust Badge
en deux minutes.

Prévisualisez & installez votre badge

Essayez les styles ci-dessous pour voir exactement ce que verront vos visiteurs. Quand vous êtes prêt, votre code personnalisé vous attend dans votre tableau de bord - aucune compétence en code requise.

<div class="pcrisk-badge"
     data-style="shield"
     data-size="medium"
     data-theme="light"
     style="min-width:214px;min-height:141px;font-size:0;line-height:0"></div>
<script src="https://scanner.pcrisk.com/badge/trust-badge.js" defer></script>

Guides par plateforme

Deux façons d’ajouter le badge : installez notre plugin ou collez l’extrait depuis votre tableau de bord. Choisissez votre plateforme ci-dessous : dans les deux cas, cela prend quelques minutes.

Personnalisez votre badge

Vos choix sont enregistrés comme data-* attributs sur l’emplacement de l’extrait <div> - le concepteur du tableau de bord les définit tous lors de la génération de votre code. Pour modifier le style plus tard, choisissez-y un nouveau look et collez l’extrait mis à jour sur l’ancien. Voici ce que contrôle chaque attribut.

Le badge ne s’affiche pas ?

Suivez ces étapes dans l’ordre - les deux premières résolvent la grande majorité des cas.

script-src  https://scanner.pcrisk.com
connect-src https://scanner.pcrisk.com
style-src   'unsafe-inline'

Comment vos visiteurs le vérifient

Un badge que n’importe qui peut falsifier n’inspire aucune confiance. Le nôtre est vérifiable indépendamment - c’est ce qui le rend utile à afficher.

Que se passe-t-il si une menace est détectée

Vous n’afficherez jamais un sceau “vérifié” sur un site compromis.

Alertes Slack & webhook

Recevez les mêmes alertes que par e-mail - menace détectée, tout est OK, scan impossible à terminer - envoyées vers Slack ou votre propre endpoint, aux mêmes moments. Configurez les deux dans votre tableau de bord sous Paramètres → Intégrations d’alertes.

Slack

Dans Slack, créez un Incoming Webhook pour le canal souhaité (Slack : Apps → Incoming Webhooks → Ajouter à un canal), collez l’ hooks.slack.com URL dans votre tableau de bord, puis appuyez sur Envoyer un test Slack. C’est toute la configuration - aucun code nécessaire.

Webhooks

Nous envoyons du JSON par POST à votre endpoint HTTPS. Quatre types d’événements :

• alert.opened - une analyse a signalé le site (score inférieur à 70) ; le badge est suspendu.
• alert.resolved - une analyse ultérieure est revenue propre ; le badge est rétabli.
• scan.failed - l’analyse quotidienne n’a pas pu se terminer (site inaccessible) ; envoyé une fois par panne.
• test - le Envoyer un test webhook bouton.

{
  "event": "alert.opened",
  "domain": "example.com",
  "trust_score": 55,
  "threat_type": "suspicious",
  "severity": "medium",
  "occurred_at": "2026-07-07T08:28:36.874Z"
}

Chaque requête comporte trois en-têtes : Content-Type: application/json, X-PCrisk-Event (type d’événement), et X-PCrisk-Signature - sha256= suivi du HMAC SHA-256 hexadécimal du corps brut de la requête, signé avec le secret de signature affiché dans votre tableau de bord. Vérifiez-le avant de faire confiance à une livraison.

Sémantique de livraison : nous attendons jusqu’à 5 secondes une réponse et comptons tout 2xx comme accepté ; une livraison échouée est retentée une fois, ~15 secondes plus tard, puis abandonnée. Traitez les webhooks comme des notifications, pas comme un registre - votre tableau de bord fait foi.

const crypto = require('crypto');
const express = require('express');
const app = express();

// express.raw keeps the body as the exact bytes we signed
app.post('/hooks/pcrisk', express.raw({ type: 'application/json' }), (req, res) => {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', process.env.PCRISK_WEBHOOK_SECRET)
    .update(req.body) // Buffer
    .digest('hex');
  const given = req.get('X-PCrisk-Signature') || '';
  const ok = given.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(given), Buffer.from(expected));
  if (!ok) return res.status(401).end();

  const event = JSON.parse(req.body);
  console.log(event.event, event.domain, event.trust_score);
  res.status(200).end(); // any 2xx marks the delivery as accepted
});

app.listen(3000);

<?php
$secret   = getenv('PCRISK_WEBHOOK_SECRET');
$raw      = file_get_contents('php://input'); // raw body, before any parsing
$given    = $_SERVER['HTTP_X_PCRISK_SIGNATURE'] ?? '';
$expected = 'sha256=' . hash_hmac('sha256', $raw, $secret);

if (!hash_equals($expected, $given)) {
    http_response_code(401);
    exit;
}

$event = json_decode($raw, true);
// $event['event'], $event['domain'], $event['trust_score'], ...
http_response_code(200); // any 2xx marks the delivery as accepted

import hashlib, hmac, os
from flask import Flask, request, abort

app = Flask(__name__)
SECRET = os.environ["PCRISK_WEBHOOK_SECRET"].encode()

@app.post("/hooks/pcrisk")
def pcrisk_hook():
    raw = request.get_data()  # raw body, before parsing
    expected = "sha256=" + hmac.new(SECRET, raw, hashlib.sha256).hexdigest()
    given = request.headers.get("X-PCrisk-Signature", "")
    if not hmac.compare_digest(expected, given):
        abort(401)

    event = request.get_json()
    # event["event"], event["domain"], event["trust_score"], ...
    return "", 200  # any 2xx marks the delivery as accepted

# run with: flask --app hook run --port 3000

Vous changez d’endpoint ? Enregistrez la nouvelle URL dans le tableau de bord et envoyez un test - le secret de signature reste le même pour votre compte. Les alertes sont par incident (une alert.opened par épisode sous 70, pas une par analyse), donc votre canal ne sera pas inondé par un site qui reste signalé.

API REST

Intégrez vos domaines, scores, historique d’analyse et alertes dans vos propres tableaux de bord, rapports et outils de surveillance. Accès en lecture sur Pro ; le forfait Business ajoute la gestion des domaines. L’API n’expose jamais que les vôtres domaines surveillés.

Authentification

Créez une clé dans votre tableau de bord sous Paramètres → Clés API (elle n’est affichée qu’une fois - nous ne stockons qu’un hash) et envoyez-la comme jeton Bearer. Les clés héritent de leurs autorisations de votre offre actuelle, et leur révocation dans le tableau de bord les désactive immédiatement.

curl https://scanner.pcrisk.com/api/v1/domains   -H "Authorization: Bearer pcrisk_live_YOUR_KEY"

{
  "success": true,
  "data": [
    {
      "domain": "example.com",
      "status": "verified",
      "trust_score": 92,
      "threat_type": "clean",
      "last_scanned": "2026-07-07T06:12:04.000Z",
      "open_alerts": 0,
      "badge_visible": true,
      "badge_live": true
    }
  ]
}

Endpoints

GET /api/v1 - découverte : votre offre et niveau.
GET /api/v1/domains - tous vos domaines avec score actuel, type de menace et état du badge.
GET /api/v1/domains/{domain} - un domaine.
GET /api/v1/domains/{domain}/history - historique du score d’analyse (profondeur selon votre offre).
GET /api/v1/alerts - dernières alertes de menace sur tous les domaines, ouvertes et résolues.
POST /api/v1/domains (Business) - ajoute un domaine ; la surveillance démarre immédiatement. Corps : {"domain": "example.com"}.
DELETE /api/v1/domains/{domain} (Business) - supprime un domaine ; les analyses s’arrêtent, le badge ne s’affiche plus.

Essayer

Collez une clé API depuis votre tableau de bord (Paramètres → Clés API) et appelez ici n’importe quel endpoint en lecture. La clé n’est utilisée que pour cette requête, vers ce site - rien n’est stocké, et la requête compte dans votre limite de débit comme les autres.

Conventions : chaque réponse est du JSON avec success et soit data ou code.erreur + message.erreur (401 clé invalide, 403 plan/niveau, 404 pas à vous, 429 limite atteinte). La limite est de 60 requêtes/minute par clé - surveillez les en-têtes X-RateLimit-Remaining et Retry-After .