Niveau : Intermédiaire
Durée : 65 – 80 min
Module : Équipements numériques TIP
Malgré les protections mises en place, un poste informatique peut présenter un comportement laissant penser qu’il est infecté ou compromis.
Le technicien informatique de proximité n’a pas forcément pour mission de mener une investigation de cybersécurité complète. En revanche, il doit savoir reconnaître les principaux signes d’alerte, limiter l’impact de l’incident et transmettre les informations utiles.
Une mauvaise réaction peut compliquer l’analyse ou permettre à l’incident de se propager.
🎯 Objectifs
À la fin de ce cours, tu seras capable de :
- identifier les principaux signes d’un poste suspect ;
- distinguer panne classique et suspicion de compromission ;
- interroger correctement l’utilisateur ;
- évaluer rapidement l’étendue de l’incident ;
- comprendre l’intérêt d’isoler un poste ;
- éviter les actions susceptibles d’aggraver l’incident ;
- préserver les informations utiles au diagnostic ;
- vérifier l’état de Microsoft Defender ;
- consulter les détections antivirus ;
- utiliser l’Observateur d’événements ;
- identifier les processus et connexions réseau inhabituels ;
- réagir face à un ransomware ;
- réagir face à un compte potentiellement compromis ;
- prendre en compte une clé USB ou un support suspect ;
- escalader l’incident vers le bon interlocuteur ;
- documenter précisément les actions réalisées.
1. Qu’est-ce qu’un poste compromis ?
Un poste est considéré comme compromis lorsqu’un acteur, un logiciel ou un processus non autorisé a réussi à porter atteinte à sa sécurité.
La compromission peut notamment concerner :
- le système Windows ;
- un compte utilisateur ;
- une application ;
- le navigateur ;
- des données ;
- les accès réseau ;
- des identifiants enregistrés sur le poste.
Le technicien ne doit pas conclure trop rapidement à une compromission : il doit recueillir des indices et appliquer la procédure prévue.
2. Les principaux signes d’alerte
Certains comportements doivent attirer l’attention.
- alerte antivirus ;
- fenêtres publicitaires inhabituelles ;
- redirections du navigateur ;
- logiciel inconnu apparu récemment ;
- protection antivirus désactivée sans raison connue ;
- pare-feu modifié ;
- processus inconnu consommant fortement les ressources ;
- activité réseau inhabituelle ;
- fichiers renommés ou chiffrés ;
- demandes MFA non sollicitées ;
- messages envoyés depuis le compte de l’utilisateur à son insu ;
- création d’un compte inconnu ;
- comportement très différent de l’usage habituel.
🔧 Réflexe technicien
Un comportement inhabituel constitue un indice, pas automatiquement une preuve de compromission.
3. Commencer par questionner l’utilisateur
Le technicien doit déterminer ce qui s’est passé juste avant l’apparition du problème.
Questions utiles
Quand le problème a-t-il commencé ?
Avez-vous ouvert une pièce jointe récemment ?
Avez-vous cliqué sur un lien inhabituel ?
Avez-vous installé un logiciel ?
Avez-vous branché une clé USB ?
Avez-vous reçu une alerte antivirus ?
Avez-vous saisi votre mot de passe sur une page inhabituelle ?
Avez-vous reçu une demande MFA inattendue ?
D’autres collègues rencontrent-ils le même problème ?
4. Noter précisément les symptômes
Il faut conserver des informations factuelles.
Par exemple :
10:17 - Émilie ouvre une pièce jointe reçue par mail.
10:20 - Une fenêtre PowerShell apparaît brièvement.
10:22 - Microsoft Defender affiche une alerte.
10:23 - Le poste devient très lent.Cette chronologie peut être très utile pour les personnes qui analyseront ensuite l’incident.
5. Déterminer l’étendue
Une question importante est :
Un seul poste est-il concerné ou plusieurs équipements présentent-ils les mêmes symptômes ?
Un seul poste
Le problème peut être localisé à :
- la machine ;
- la session ;
- un compte ;
- un fichier ;
- une application.
Plusieurs postes
Il faut envisager un incident plus large concernant éventuellement :
- une messagerie ;
- une application partagée ;
- un fichier diffusé à plusieurs utilisateurs ;
- une infrastructure commune ;
- une campagne de phishing.
6. Première priorité : limiter la propagation
Lorsqu’une compromission active est fortement suspectée, l’organisation peut prévoir l’isolement du poste.
Cela peut consister à :
- débrancher le câble réseau ;
- désactiver la connexion Wi-Fi ;
- utiliser une fonction d’isolation depuis une solution de sécurité centralisée.
L’objectif est de limiter :
- la communication avec un attaquant ;
- la propagation vers d’autres équipements ;
- l’accès à des ressources partagées ;
- une éventuelle exfiltration de données.
⚠ Réflexe technicien
Isoler le poste selon la procédure de l’organisation ne signifie pas nécessairement l’éteindre immédiatement.
7. Pourquoi ne pas systématiquement éteindre le poste ?
Un arrêt brutal peut faire disparaître certaines informations présentes uniquement en mémoire vive.
Selon la gravité de l’incident et les procédures de l’organisation, l’équipe sécurité peut souhaiter conserver :
- les processus actifs ;
- certaines connexions réseau ;
- des informations présentes en mémoire ;
- l’état exact du poste au moment de l’incident.
Le technicien doit donc suivre la procédure prévue et escalader rapidement.
8. Ne pas continuer à utiliser le poste normalement
Une fois le poste suspect :
- éviter la navigation Internet inutile ;
- ne pas consulter davantage de fichiers ;
- ne pas connecter de nouveaux supports ;
- ne pas se connecter à d’autres ressources sensibles ;
- ne pas utiliser le poste pour modifier des mots de passe.
Chaque action supplémentaire peut modifier l’état de la machine.
9. Préserver les informations utiles
Selon la procédure, le technicien peut noter :
- date et heure ;
- nom du poste ;
- utilisateur connecté ;
- adresse IP ;
- message affiché ;
- nom du fichier suspect ;
- chemin du fichier ;
- alerte antivirus ;
- actions déjà réalisées.
Il ne faut pas supprimer les éléments au hasard avant d’avoir déterminé la conduite à tenir.
10. Éviter de « nettoyer » trop vite
La réaction suivante peut sembler logique :
« Je supprime tous les fichiers suspects et je nettoie les journaux. »
C’est justement ce qu’il faut éviter.
Les fichiers, journaux ou détections peuvent être utiles pour comprendre :
- l’origine de l’incident ;
- sa chronologie ;
- les autres machines concernées ;
- les comptes potentiellement compromis.
🔧 Réflexe technicien
Contenir d’abord. Analyser et remédier ensuite selon la procédure.
11. Vérifier l’état de Microsoft Defender
PowerShell :
Get-MpComputerStatusCette commande permet notamment de contrôler l’état :
- de l’antivirus ;
- de la protection en temps réel ;
- des renseignements de sécurité ;
- de certaines fonctions de protection.
12. Consulter les détections Defender
PowerShell permet notamment d’utiliser :
Get-MpThreatDetectionCette commande peut fournir des informations concernant les menaces détectées par Microsoft Defender.
Selon la situation, on peut rechercher :
- le nom de la menace ;
- le chemin concerné ;
- la date de détection ;
- l’action appliquée.
13. Lancer une analyse
Si la procédure le prévoit, une analyse Defender peut être lancée.
Analyse rapide
Start-MpScan -ScanType QuickScanAnalyse complète
Start-MpScan -ScanType FullScanLe choix dépend du contexte et de la procédure.
Sur un incident nécessitant une investigation spécialisée, il peut être préférable de laisser l’équipe sécurité décider des actions à réaliser.
14. Analyse Microsoft Defender hors ligne
Microsoft Defender propose également une analyse hors ligne.
PowerShell :
Start-MpWDOScanCette opération provoque un redémarrage afin d’effectuer l’analyse dans un environnement dédié.
⚠ Attention
Ne pas lancer cette opération sur un poste faisant l’objet d’une investigation sans validation, car elle modifie l’état du système et provoque un redémarrage.
15. Vérifier les processus actifs
PowerShell :
Get-Processou le Gestionnaire des tâches :
Ctrl + Shift + Escpeuvent permettre d’identifier :
- un processus inhabituel ;
- une consommation anormale ;
- une application inconnue ;
- un processus lancé au moment de l’incident.
Un nom inconnu ne signifie cependant pas automatiquement qu’il s’agit d’un malware.
16. Connexions réseau actives
PowerShell peut afficher les connexions TCP :
Get-NetTCPConnectionOn peut notamment y retrouver :
- adresse locale ;
- port local ;
- adresse distante ;
- port distant ;
- état de la connexion.
L’interprétation nécessite toutefois des connaissances supplémentaires.
Le rôle du technicien TIP est surtout de savoir relever l’information et l’escalader si nécessaire.
17. Observateur d’événements
Commande :
eventvwr.mscL’Observateur d’événements peut fournir des informations sur :
- le démarrage du système ;
- les services ;
- les applications ;
- certaines erreurs ;
- certains événements de sécurité selon la configuration.
Il faut rechercher les événements correspondant à la période de l’incident.
18. Moniteur de fiabilité
Commande :
perfmon /relIl permet d’afficher une chronologie des incidents et modifications importantes du poste.
Il peut aider à répondre à une question :
Qu’est-ce qui a changé juste avant l’apparition du problème ?
19. Vérifier les applications récemment installées
Une compromission peut parfois être liée à :
- un logiciel téléchargé depuis une source non fiable ;
- une extension de navigateur ;
- un faux outil ;
- un logiciel piraté ;
- un installateur modifié.
Le technicien peut rechercher les modifications récentes sans désinstaller immédiatement tous les logiciels concernés.
20. Le cas du phishing
Un utilisateur indique :
« J’ai reçu un message Microsoft 365, j’ai cliqué sur le lien et j’ai saisi mon mot de passe. »
Le problème peut alors concerner :
- le poste ;
- le navigateur ;
- mais surtout le compte et ses identifiants.
Il faut donc traiter la compromission potentielle du compte, même si aucun malware n’est détecté sur le poste.
21. Compte potentiellement compromis
Selon les procédures de l’organisation, les actions peuvent notamment comprendre :
- prévenir l’équipe sécurité ou l’administrateur ;
- modifier le mot de passe depuis un poste sain ;
- révoquer certaines sessions actives ;
- contrôler les méthodes MFA ;
- vérifier les connexions inhabituelles ;
- rechercher d’éventuelles règles de messagerie frauduleuses.
Ces opérations peuvent nécessiter des droits que le technicien de proximité ne possède pas.
22. Pourquoi changer le mot de passe depuis un poste sain ?
Si le poste suspect contient un logiciel capable d’intercepter les frappes clavier ou les identifiants, modifier le mot de passe depuis ce même poste peut exposer le nouveau secret.
🔧 Réflexe technicien
Pour un compte potentiellement compromis, utiliser un équipement considéré comme sain et suivre la procédure de l’organisation.
23. Demandes MFA répétées
Un utilisateur reçoit :
8 demandes de validation MFA en quelques minutesalors qu’il n’essaie pas de se connecter.
Il doit :
- refuser les demandes ;
- ne jamais valider pour arrêter les notifications ;
- signaler immédiatement la situation.
Cela peut indiquer que son mot de passe est déjà connu d’un tiers.
24. Le cas du ransomware
Un ransomware peut notamment :
- chiffrer les fichiers ;
- renommer les documents ;
- afficher une demande de rançon ;
- tenter d’atteindre les ressources réseau ;
- perturber le fonctionnement du poste.
Exemple
rapport.docx
↓
rapport.docx.lockedassocié à un message demandant un paiement.
25. Réagir face à un ransomware
La priorité est de limiter la propagation.
Selon la procédure :
- isoler le poste du réseau ;
- ne pas connecter d’autres supports ;
- prévenir immédiatement l’équipe compétente ;
- noter les symptômes et l’heure ;
- ne pas supprimer arbitrairement les éléments ;
- ne pas restaurer immédiatement les sauvegardes sur un système encore compromis.
⚠ Réflexe technicien
Ne pas négocier ou payer une rançon. L’incident doit être traité selon les procédures de l’organisation.
26. Pourquoi les partages réseau sont importants ?
Un ransomware peut tenter d’accéder aux ressources disponibles depuis la session compromise.
Cela montre l’intérêt :
- du moindre privilège ;
- des permissions adaptées ;
- de sauvegardes protégées ;
- de l’isolation rapide du poste ;
- de la segmentation du réseau.
27. Clé USB suspecte
Un utilisateur branche une clé USB inconnue puis constate un comportement inhabituel.
Le technicien doit :
- noter le contexte ;
- ne pas brancher la clé sur un autre ordinateur « pour tester » ;
- isoler le support selon la procédure ;
- prévenir les interlocuteurs prévus ;
- éviter de multiplier les manipulations.
28. Ne pas utiliser son propre poste pour tester un fichier suspect
Un technicien reçoit un fichier potentiellement malveillant.
La mauvaise méthode serait :
« Je vais l’ouvrir sur mon PC pour voir ce qu’il fait. »
L’analyse de fichiers suspects doit être réalisée avec les outils et environnements prévus par l’organisation.
29. Conserver le hash d’un fichier
Lorsqu’un fichier suspect doit être identifié sans nécessairement l’ouvrir, son empreinte peut être utile.
PowerShell :
Get-FileHash "C:\Temp\fichier_suspect.exe" -Algorithm SHA256Le hash peut permettre à l’équipe sécurité d’identifier précisément le fichier concerné.
Il ne faut pas transmettre le fichier lui-même via des canaux non autorisés.
30. Capture d’écran : utile mais prudente
Une capture peut être utile pour conserver :
- un message de rançon ;
- une alerte antivirus ;
- une erreur ;
- un comportement inhabituel.
Mais elle peut également contenir des données personnelles ou confidentielles.
Elle doit être stockée et transmise uniquement via les moyens autorisés.
31. L’escalade
Le technicien de proximité doit savoir reconnaître les limites de son périmètre.
Une escalade est généralement nécessaire lorsque :
- une compromission est confirmée ou fortement suspectée ;
- plusieurs postes sont concernés ;
- un ransomware est suspecté ;
- un compte privilégié est compromis ;
- des données sensibles peuvent avoir été exposées ;
- des actions d’investigation spécialisées sont nécessaires.
32. Que transmettre lors de l’escalade ?
Un bon compte rendu comprend :
Utilisateur concerné
Nom du poste
Date et heure
Symptômes constatés
Actions de l’utilisateur avant l’incident
Alertes affichées
Fichiers ou applications concernés
Actions réalisées par le technicien
État actuel du poste
Isolement réseau effectué ou non
33. Exemple de compte rendu
10:17 – Émilie Moreau signale une alerte après ouverture d’une pièce jointe reçue par messagerie. Poste PC-RH-073. Microsoft Defender détecte une menace à 10:22. Poste isolé du réseau à 10:25 conformément à la procédure. Aucun redémarrage effectué. Nom et chemin du fichier relevés. Incident transmis à l’équipe sécurité.
Ce compte rendu est beaucoup plus utile que :
« PC infecté, merci de voir. »
34. Ce qu’il faut éviter
❌ Continuer à utiliser normalement le poste
❌ Désactiver l’antivirus
❌ Supprimer tous les fichiers suspects sans analyse
❌ Nettoyer les journaux
❌ Brancher un support suspect sur d’autres PC
❌ Modifier les mots de passe depuis le poste compromis
❌ Redémarrer systématiquement sans raison
❌ Réinstaller Windows immédiatement
❌ Restaurer immédiatement une sauvegarde
❌ Masquer l’incident
35. Et la réinstallation de Windows ?
Dans certains incidents, la solution finale peut effectivement être une reconstruction complète du poste.
Mais elle doit intervenir :
- après containment ;
- après collecte des informations nécessaires ;
- selon la décision ou procédure appropriée ;
- avec une source d’installation fiable ;
- avant restauration de données considérées comme sûres.
Réinstaller immédiatement peut supprimer des éléments utiles à l’analyse.
36. Valider le retour en service
Avant de rendre un poste après incident :
☐ Incident traité selon procédure
☐ Système considéré comme sain
☐ Windows et applications à jour
☐ Antivirus opérationnel
☐ Pare-feu opérationnel
☐ Aucun compte inconnu
☐ Identifiants compromis renouvelés si nécessaire
☐ MFA contrôlé
☐ Données restaurées depuis une source considérée comme fiable
☐ Ressources utilisateur testées
☐ Incident documenté
☐ Utilisateur sensibilisé
37. Manipulation pratique – Identifier les bonnes réactions
Situation
Émilie appelle le support.
Elle indique avoir ouvert une pièce jointe nommée :
Facture_octobre.zipUne fenêtre PowerShell s’est ouverte brièvement.
Microsoft Defender affiche ensuite une alerte.
Le poste devient lent.
Un collègue lui propose de redémarrer immédiatement.
1. Faut-il redémarrer immédiatement ?
2. Quelle est ta première priorité ?
3. Quelles informations demandes-tu à Émilie ?
4. Quelle commande permet de consulter l’état de Defender ?
5. Quelle commande permet d’afficher les détections Defender ?
6. Pourquoi ne faut-il pas supprimer immédiatement Facture_octobre.zip ?
✅ Afficher le corrigé
1. Pas automatiquement.
Un redémarrage peut modifier l’état du système. Il faut appliquer la procédure d’incident.
2. Limiter l’impact, notamment en isolant le poste lorsque la situation et la procédure le justifient.
3. Heure d’ouverture, origine du message, actions réalisées, éventuelle saisie d’identifiants et symptômes constatés.
4.
Get-MpComputerStatus5.
Get-MpThreatDetection6. Le fichier peut être utile pour identifier l’incident. Sa gestion doit suivre la procédure de sécurité.
38. TP – Gérer une suspicion de compromission sur PC-RH-073
Situation
À 14 h 15, Émilie contacte le support.
Poste : PC-RH-073
Utilisateur : Émilie Moreau
Symptôme 1 : plusieurs fenêtres apparaissent dans le navigateur.
Symptôme 2 : Defender signale une menace.
Symptôme 3 : elle reçoit trois demandes MFA non sollicitées.
Événement récent : téléchargement d’un fichier depuis un message reçu le matin.
Réseau : poste actuellement connecté en Ethernet.
1. Quels éléments indiquent qu’il ne s’agit peut-être pas d’une simple panne ?
2. Quelle est ta priorité immédiate ?
3. Que fais-tu concernant les demandes MFA ?
4. Que vérifies-tu avec Get-MpComputerStatus ?
5. Quelle commande permet de consulter les détections ?
6. Dois-tu demander à Émilie de changer immédiatement son mot de passe depuis PC-RH-073 ?
7. Pourquoi ne faut-il pas effacer immédiatement le fichier téléchargé ?
8. Quelles informations transmets-tu lors de l’escalade ?
9. Si des fichiers commencent à être chiffrés, quelle est la priorité ?
10. Quand le poste pourra-t-il être remis en service ?
✅ Afficher le corrigé
1. L’alerte Defender, les fenêtres inhabituelles, les demandes MFA et le téléchargement récent constituent plusieurs indices concordants.
2. Contenir l’incident et isoler le poste du réseau conformément à la procédure.
3. Émilie doit les refuser et signaler qu’elle ne les a pas initiées.
4. L’état de l’antivirus, de la protection en temps réel et des renseignements de sécurité notamment.
5.
Get-MpThreatDetection6. Non.
Un changement de mot de passe doit être réalisé depuis un équipement considéré comme sain selon la procédure.
7. Il peut constituer un élément utile pour identifier ou analyser l’incident.
8. Utilisateur, poste, heure, symptômes, actions précédentes, détection, fichier concerné, actions réalisées et état du poste.
9. Limiter immédiatement la propagation, notamment en isolant le poste et en alertant les équipes compétentes.
10. Après traitement complet de l’incident et validation que le système, les comptes, les protections et les données sont dans un état considéré comme sûr.
🎓 Point examen
Face à un poste suspect, le candidat doit éviter les actions improvisées.
Il doit savoir :
- reconnaître les signes d’alerte ;
- questionner l’utilisateur ;
- déterminer l’étendue ;
- contenir l’incident ;
- préserver les informations utiles ;
- utiliser les outils de diagnostic de premier niveau ;
- ne pas détruire les traces inutilement ;
- escalader rapidement ;
- documenter précisément ;
- sensibiliser l’utilisateur après résolution.
La méthode à retenir est :
Identifier → Contenir → Préserver → Alerter → Analyser → Remédier → Valider.
✅ À retenir
Poste suspect → comportement inhabituel nécessitant une vérification.
Containment → limiter la propagation et les conséquences de l’incident.
Isolation réseau → couper les communications du poste selon la procédure lorsque cela est nécessaire.
Ne pas éteindre systématiquement → certaines informations volatiles pourraient disparaître.
Get-MpComputerStatus → vérifie l’état de Microsoft Defender.
Get-MpThreatDetection → permet de consulter des détections Defender.
Get-Process → affiche les processus.
Get-NetTCPConnection → affiche des connexions TCP.
eventvwr.msc → Observateur d’événements.
perfmon /rel → Moniteur de fiabilité.
Get-FileHash → calcule une empreinte permettant d’identifier précisément un fichier.
Demande MFA inattendue → refuser et signaler.
Compte compromis → modifier les identifiants depuis un équipement considéré comme sain.
Ransomware → priorité à l’isolement et à l’alerte.
Clé USB suspecte → ne pas la tester sur un autre poste.
Réinstallation → pas avant les actions de containment et de collecte nécessaires.
Méthode → Identifier → Contenir → Préserver → Alerter → Analyser → Remédier → Valider.
Quiz final
1. Quel est le premier objectif face à une compromission active ?
A. Limiter son impact et sa propagation
B. Réinstaller Windows immédiatement
C. Supprimer les journaux
D. Continuer à utiliser le poste
2. Faut-il toujours éteindre immédiatement un poste suspect ?
A. Non
B. Oui systématiquement
C. Seulement sous Windows 11
D. Toujours si Defender est actif
3. Quelle commande permet de consulter les détections Microsoft Defender ?
A. Get-MpThreatDetection
B. Get-Printer
C. Get-Volume
D. hostname
4. Un utilisateur reçoit une demande MFA qu’il n’a pas initiée. Il doit :
A. La refuser et la signaler
B. L’accepter
C. Accepter pour faire disparaître la notification
D. Donner le code au technicien
5. Un compte est suspecté d’être compromis. Où changer le mot de passe ?
A. Depuis un équipement considéré comme sain
B. Depuis le poste compromis uniquement
C. Il ne faut jamais le changer
D. Sur une clé USB
6. Que faut-il faire d’une clé USB suspecte ?
A. L’isoler selon la procédure
B. La brancher sur plusieurs PC
C. La tester sur son ordinateur personnel
D. L’envoyer par courrier
7. Pourquoi ne faut-il pas supprimer immédiatement tous les éléments suspects ?
A. Ils peuvent être utiles à l’analyse de l’incident
B. Parce qu’ils améliorent Windows
C. Parce qu’ils augmentent la RAM
D. Parce qu’ils configurent le réseau
8. Un ransomware commence à chiffrer des fichiers. Quelle est la priorité ?
A. Isoler et alerter
B. Payer immédiatement
C. Copier les fichiers sur un partage réseau
D. Redémarrer les autres postes
9. À quoi sert Get-FileHash ?
A. Calculer l’empreinte d’un fichier
B. Supprimer un fichier
C. Modifier un mot de passe
D. Ouvrir le pare-feu
10. Quelle démarche est la plus cohérente ?
A. Identifier → Contenir → Préserver → Alerter → Analyser → Remédier → Valider
B. Supprimer → redémarrer → oublier
C. Formater → analyser ensuite
D. Continuer à travailler → signaler plus tard
✅ Afficher le corrigé
1. A – Limiter l’impact et la propagation
La première priorité est de contenir l’incident.
2. A – Non
L’arrêt peut faire perdre des informations utiles. La décision dépend de la procédure et du contexte.
3. A – Get-MpThreatDetection
Cette commande permet de consulter des informations concernant les détections Defender.
4. A – Refuser et signaler
Une demande MFA non sollicitée peut indiquer qu’un tiers tente d’utiliser les identifiants.
5. A – Depuis un équipement sain
Le poste compromis pourrait intercepter le nouveau secret.
6. A – L’isoler
Elle ne doit pas être branchée sur d’autres équipements pour effectuer des tests improvisés.
7. A – Ils peuvent être utiles à l’analyse
Les supprimer trop tôt peut faire disparaître des éléments importants.
8. A – Isoler et alerter
La propagation doit être limitée aussi rapidement que possible.
9. A – Calculer une empreinte
Le hash permet notamment d’identifier précisément un fichier sans se baser uniquement sur son nom.
10. A – Identifier → Contenir → Préserver → Alerter → Analyser → Remédier → Valider
C’est la démarche professionnelle à retenir.
📄 Fiche de révision
Retrouvez l’essentiel de ce cours dans une fiche synthétique à conserver ou à imprimer pour vos révisions.