RDEM Systems / Notes d'opérateur Stratum 1 · GNSS · NTS EN FR
Boîte à outils test & audit NTP · Sans compte · Sans télémétrie

Validateur NTP en ligne — Testez vos serveurs NTP : ce que la mesure montre pour vos contrôles.

Saisissez le nom d'un serveur : nous l'interrogeons de chez nous — NTP en IPv4 et IPv6, puis NTS avec heure authentifiée — et nous vous disons ce que la mesure établit pour ISO 27001, PCI-DSS, MiFID II, NIS 2 et DORA, et ce qu'elle n'établit pas.

Construit et opéré par Richard Demongeot — infrastructure NTP en production depuis 2005, à Pontoise, France.

Valider un serveur NTP ou NTS

Un nom d'hôte ou une adresse IP publique. La mesure s'exécute sur notre serveur, avec le code de notre sonde de production, et compare la cible à notre serveur de référence dans le même instant. Si vous exploitez le serveur, prouvez-le par un défi curl unique depuis lui : nous lançons alors un test de réflexion (amplification) sur cette adresse.

Essayez :

Ce que l'outil ne fait pas : tester votre horloge (ntp-tester.eu), diagnostiquer votre démon (check-ntp.net), suivre un serveur dans le temps, ni certifier quoi que ce soit. Une mesure, depuis un seul point d'observation.

Tester la sécurité de votre serveur NTP

Le validateur ci-dessus est un contrôle de sécurité NTP/NTS. Depuis notre côté, il rend trois choses sur n'importe quel serveur public, et une quatrième sur le vôtre :

  • NTP non authentifié — le serveur donne-t-il l'heure en clair, avec la strate, l'indicateur de seconde intercalaire et l'aller-retour qui vont avec.
  • NTS (RFC 8915) — le canal authentifié fonctionne-t-il : la poignée d'établissement de clés, l'identité TLS attestée ou non pour le nom demandé, et le nombre de jours restants sur son certificat.
  • Traçabilité — l'identifiant de référence (refid) annoncé par le serveur, sa strate, et son écart à notre référence, chacun avec son incertitude.
  • Durcissement / réflexion — le serveur renvoie-t-il une réponse amplifiée à une requête de contrôle héritée, le schéma exploité dans les attaques par amplification NTP. Celui-ci n'est lancé qu'après que vous avez prouvé que vous exploitez l'adresse.

Pourquoi nous demandons une preuve de possession

Le contrôle de réflexion est le seul intrusif : nous ne le lançons donc que contre une adresse dont l'exploitant a prouvé le contrôle — un défi curl unique depuis le serveur lui-même, comme un défi HTTP Let's Encrypt. Nous ne le lançons jamais contre une adresse à la demande d'un tiers. C'est ce qui distingue cet outil d'un scanner, et c'est pourquoi le résultat vous revient directement, dans votre propre terminal.

À quoi ressemble le rapport en terminal

$ curl -4 --interface 203.0.113.10 https://ntp.rdem-systems.com/verify/<jeton>
NTP validation for 203.0.113.10  (2026-09-21 10:20 UTC)
--------------------------------------------------------
ownership: proven for this address (source of your request matched)
NTS-KE: present (identity attested) - cert 56 d left
stratum 2 (refid 192.53.103.108) - offset vs our server +0.619 ms - leap 0
hardening: closed - no amplifying reply to a legacy control query (good)
--------------------------------------------------------
NTP works iff unauthenticated time is obtained; NTS iff authenticated time is.
The two verdicts are independent. Refid is the raw value the server announces.
One measurement from one vantage point - not an audit, not a certification.

Validez un serveur ci-dessus, puis choisissez Prouver la possession de l'IP pour obtenir la commande exacte pour votre serveur.

Pour aller plus loin : sécurité d'un serveur NTP — menaces, durcissement et comment le tester, et ce que signifie chaque champ du test, et ses limites.

Autres modes de test

Pour ce que le validateur ci-dessus ne peut pas atteindre : l'horloge de votre propre système, des serveurs internes sur réseau privé, ou un script à lancer sur le serveur lui-même.

Test Temporel de Base

Test navigateur de l'horloge de votre système contre notre serveur de référence, par HTTPS (±10 à 30 ms).

Test Bridge NTP (RFC 1918)

Test des serveurs NTP internes en plages privées (10/8, 172.16/12, 192.168/16).

Script de Test CLI

Script bash pour vérifications côté serveur et collecte de preuves.

Test Temporel de Base

Testez l'horloge de votre système contre notre serveur de référence, par HTTPS : de quoi savoir si votre machine est à l'heure, pas de quoi caractériser un serveur — c'est le rôle du validateur ci-dessus. (Nous exploitons aussi un Stratum 1 discipliné par GNSS/PPS, que ce test navigateur n'atteint pas.)

04 — CHECKLIST DE RÉFÉRENCE

15 points de contrôle recommandés.

Ce que nous recommandons de revoir dans votre stack NTP avant un audit ISO 27001 ou NIS 2. Le PDF est imprimable, daté, et produit depuis le même journal d'opérateur.

Infrastructure
  • Sources NTP multiples configurées (≥4, notre recommandation)
  • Serveurs Stratum 1 ou 2 utilisés (notre recommandation)
  • Diversité géographique des sources
  • Hiérarchie NTP interne définie
  • Mécanismes de failover en place
Sécurité
  • Règles pare-feu UDP 123 documentées
  • Protection contre l'amplification NTP
  • Listes de contrôle d'accès configurées
  • Monitoring et alertes actifs
  • Logs conservés selon la politique
Validation
  • Décalage dans la plage acceptable
  • Aucun false ticker détecté
  • Valeur reach à 377
  • Vérification régulière de la sync
  • Documentation à jour
Télécharger la checklist PDF

Format imprimable, idéal pour les pièces de preuve d'audit

En téléchargeant, vous acceptez de recevoir des informations sur nos services NTP. Désabonnement possible à tout moment.

05 — AUTRE ANGLE ?

Choisissez l'outil adapté.

Ce site teste les serveurs NTP avec un angle audit et conformité. Pour d'autres angles, nos sites frères font mieux :

Mesurer jitter, offset, latence ntp-tester.eu →
Diagnostiquer firewall / port 123 / démon NTP check-ntp.net →
Architecture de référence entreprise ntp.rdem-systems.com →

Questions fréquentes

Quelles sont les exigences NTP imposées par NIS 2 ?

NIS 2 (directive (UE) 2022/2555, art. 21) impose des mesures de gestion des risques en matière de cybersécurité (dont le traitement des incidents), mais ne nomme pas le NTP. Son règlement d'exécution (UE) 2024/2690, qui vise les fournisseurs numériques et les prestataires de services de confiance listés à son article 1, demande des sources de temps synchronisées sur les systèmes (annexe, point 3.2.6). Aucun des deux textes ne fixe de précision, de strate, de méthode d'authentification ni de durée de conservation : plusieurs sources diversifiées, l'authentification NTS et la supervision du décalage relèvent des bonnes pratiques, pas des exigences. Notre checklist d'audit couvre ce que les auditeurs demandent habituellement.

Comment la conformité NTP s'articule-t-elle avec la mesure 8.17 d'ISO 27001 ?

La mesure 8.17 d'ISO/IEC 27001:2022 (Synchronisation des horloges — A.12.4.4 dans l'édition 2013) exige que les horloges des systèmes de traitement de l'information soient synchronisées sur des sources de temps approuvées. Les auditeurs demandent couramment une hiérarchie NTP documentée, la supervision du décalage et des alertes sur stratum-16 et false-ticker ; l'authentification des sources est une bonne pratique plutôt qu'une exigence de la mesure. Le validateur indique, pour chaque source, ce qu'une mesure distante établit pour cette mesure — et ce qu'elle n'établit pas.

Puis-je auditer des serveurs NTP internes (RFC 1918) sans exposition publique ?

Oui — c'est précisément l'objet du mode Bridge RFC 1918. Un relais Node.js léger, exécuté sur votre poste d'audit, relaie les paquets NTPv4 vers les serveurs en plage privée (10/8, 172.16/12, 192.168/16). Aucune donnée ne sort de votre réseau. Les résultats incluent strate, offset, délai aller-retour, identifiant de référence et indicateur de seconde intercalaire — les mesures qu'un auditeur demandera généralement pour ISO 27001 8.17 ou NIS 2.

DORA impose-t-il des exigences NTP spécifiques aux entités financières ?

Le règlement DORA (UE 2022/2554) ne nomme pas le NTP et ne fixe aucun seuil d'horloge. Son RTS (UE) 2024/1774, art. 12(2)(f), exige la synchronisation des horloges de chacun des systèmes de TIC de l’entité financière avec une horloge de référence fiable et documentée. Une synchronisation authentifiée, redondée et supervisée est notre recommandation pour rendre ces horodatages défendables.

Quelles preuves un auditeur attend-il lors d'une revue de conformité NTP ?

Un auditeur demande typiquement : (1) liste des sources NTP configurées avec leur strate, (2) mesures d'offset et de jitter sur une fenêtre représentative, (3) configuration de l'authentification (NTS / clé symétrique), (4) règles de supervision et d'alerte sur stratum-16 et false-ticker, (5) traçabilité des changements de configuration NTP. Notre checklist d'audit NTP passe ces points en revue.