Votre site web n’est qu’un point de départ
La surface d’attaque externe d’une entreprise comprend ses sites web, portails et autres services accessibles publiquement. Après la migration d’un site, d’anciennes adresses de campagne ou des portails de test peuvent subsister. Un inventaire permet de savoir quels services restent utiles et qui décide de leur maintien.
Les domaines et certificats numériques font aussi partie de l’inventaire. Le NCSC britannique recommande de tenir les données à jour et de les recouper avec plusieurs sources. Pour quelques services, une liste régulièrement actualisée peut suffire. [1]
Découvrir un élément ne prouve pas sa vulnérabilité
Un sous-domaine découvert constitue d’abord un élément à clarifier. L’adresse peut désigner un service nécessaire, une redirection ou une ancienne référence. Pour l’évaluer, il faut relier son attribution, la date d’observation et des éléments techniques précis. Le nombre d’adresses découvertes renseigne peu sur les actions à mener.
Séparez les observations des décisions. « Adresse trouvée dans une source publique » décrit la preuve. « Le prestataire confirme que le service relève de notre contrat » précise l’attribution. « Le responsable doit décider de sa mise hors service » définit la prochaine étape. Aucune de ces affirmations ne prouve, à elle seule, une vulnérabilité exploitable.
Une fiche permettant de passer à l’action
Pour une petite structure, nous proposons une courte liste de travail. Commencez par les services connus, puis ajoutez les découvertes à clarifier. Une personne de l’entreprise coordonne les réponses, qui peuvent venir de l’agence, du prestataire informatique ou du fournisseur du service.
Pour chaque entrée, renseignez au minimum les points suivants. Si une réponse manque, attribuez la question à quelqu’un avec une échéance. La mention « inconnu » vaut mieux qu’une supposition qui finira par être considérée comme un fait établi.
- Système : adresse exacte, service associé et utilité pour l’entreprise.
- Responsable : personne de l’entreprise qui décide de l’utilisation et des changements.
- Prestataire : fournisseur, référence du compte client et interlocuteur ; aucun mot de passe.
- Preuve : source, date et élément effectivement observé ou confirmé.
- Prochaine étape : conserver, clarifier ou autoriser la mise hors service, avec une échéance.
- Clôture : personne ayant vérifié le changement et emplacement de la confirmation.
Résilier un contrat ne nettoie pas le DNS
Le DNS est l’annuaire qui associe les noms à leurs destinations techniques. Lors d’un changement de prestataire, demandez précisément quels enregistrements concernent l’ancienne solution. La résiliation du contrat ne répond pas à cette question technique.
Microsoft décrit un risque précis dans Azure : si le DNS désigne encore une ressource supprimée, une prise de contrôle du sous-domaine peut devenir possible sous certaines conditions. Examinez ensemble la référence DNS et sa destination ; une ancienne référence ne prouve pas une prise de contrôle. [3]
Ce que permet une vue extérieure
Une analyse externe peut organiser utilement les services observables et les anomalies de configuration. Il faut distinguer les informations publiques existantes des requêtes directes à faible impact en DNS, TLS ou HTTP, dans la mission comme dans les résultats. « Externe » ne signifie pas automatiquement « entièrement passif ».
Le périmètre de niveau 1 décrit ici fournit une base documentée sans authentification dans les applications. Vérifier la séparation des rôles ou les droits après connexion nécessite une mission distincte et des comptes de test adaptés.
Le NCSC distingue également l’observation des ressources accessibles depuis Internet de l’examen des risques internes. Ce qui est visible de l’extérieur détermine les questions auxquelles cette approche peut répondre. [2]
Clore la tâche et reprendre la fiche
Pour la prochaine revue, nous proposons trois tâches concrètes : clarifier les responsabilités, soumettre les services inutilisés à une décision et suivre les changements convenus. Reprenez aussi la liste après un changement d’agence, une nouvelle campagne ou la fin d’un projet.
Pour une mise hors service, le NCSC recommande d’anticiper les dépendances, de vérifier le résultat et d’en conserver les preuves. Demandez une confirmation de l’achèvement technique, puis actualisez la fiche. [4]
À lire aussi
Sources et approfondissements
Publié le:
Sources primaires vérifiées le 29.09.2026.
Les sources et les limites sont indiquées dans l’article.