Auditer sa surface d'attaque externe en 7 etapes — guide pratique pour les entreprises francaises en 2026

Chaque semaine, les bulletins de securite rapportent des compromissions dont le point de depart est le meme : un actif expose sur Internet que l'entreprise avait oublie. Un serveur de staging avec des credentials par defaut. Un sous-domaine de test pointant vers une ancienne application non patchee. Une API interne accessible depuis Internet suite a une erreur de configuration cloud. Ces actifs oublies sont la porte d'entree preferee des attaquants — et ils constituent ce que l'on appelle la surface d'attaque externe.

L'External Attack Surface Management (EASM) n'est plus un luxe reserve aux grands groupes du CAC 40. C'est une necesssite operationnelle pour toute entreprise connectee a Internet, quelle que soit sa taille. La directive NIS2, applicable en France depuis 2025, impose explicitement aux entites essentielles et importantes une gestion proactive des risques cyber, incluant l'identification et la protection des actifs exposes. Ce guide vous donne les 7 etapes concretes pour realiser cet audit.

— Etape 1 : Inventorier tous vos domaines et sous-domaines

La premiere etape de tout audit de surface d'attaque est la cartographie DNS. L'objectif : decouvrir tous les domaines et sous-domaines rattaches a votre organisation, y compris ceux que vous avez oublies. Un groupe industriel francais du secteur agroalimentaire a decouvert lors de son premier audit EASM qu'il possedait 340 sous-domaines actifs — alors que son equipe IT n'en connaissait que 85. Les 255 sous-domaines manquants incluaient des environnements de test abandonnes, des sites de campagnes marketing passees, et des portails de filiales acquises il y a plusieurs annees.

Methodologie concrete : Commencez par lister tous les noms de domaine enregistres par votre entreprise via votre registrar (OVH, Gandi, etc.). Puis utilisez des outils d'enumeration passive de sous-domaines : les enregistrements Certificate Transparency Logs (crt.sh) revelent tous les certificats TLS emis pour vos domaines, exposant les sous-domaines associes. Croisez avec les resultats de moteurs de recherche DNS passifs (SecurityTrails, DNSDumpster) et les archives historiques (Wayback Machine). Verifiez les enregistrements MX, TXT (SPF) et NS pour identifier les services tiers utilisant vos domaines.

Exemple terrain : Une ETI de la logistique basee a Lyon a decouvert lors de cette etape qu'un sous-domaine staging-api.transport-xxx.fr pointait vers un serveur AWS EC2 encore actif, hebergeant une version obsolete de leur API de suivi de colis. Le serveur n'avait pas ete patche depuis 14 mois et exposait une interface Swagger avec des endpoints d'administration accessibles sans authentification.

— Etape 2 : Scanner les adresses IP publiques et les ports ouverts

Une fois vos domaines inventories, l'etape suivante consiste a identifier toutes les adresses IP publiques associees et a scanner les ports ouverts sur ces adresses. Chaque port ouvert est un point d'entree potentiel que les attaquants scrutent systematiquement avec des outils comme Nmap, Masscan ou Shodan.

Methodologie concrete : Resolvez les adresses IP de tous vos domaines et sous-domaines. Identifiez vos plages d'adresses IP publiques (blocs ASN) via les bases RIPE NCC. Lancez un scan de ports TCP complet (ports 1-65535) sur l'ensemble de vos IP publiques. Pour chaque port ouvert, relevez la banniere de service (nom du logiciel, version). Documentez les services inattendus : un port SSH ouvert sur un serveur web, un service RDP expose sur Internet, une base de donnees accessible sans VPN.

Exemple terrain : Un cabinet d'avocats parisien a decouvert lors de cette etape que son NAS Synology de sauvegarde etait directement accessible depuis Internet sur le port 5001 (interface d'administration HTTPS). L'appareil n'avait pas ete mis a jour depuis 2 ans et etait vulnerable a plusieurs CVE critiques. Le prestataire IT externe avait active l'acces distant "pour faciliter la maintenance" sans en informer la direction.

— Etape 3 : Analyser les applications web et les API exposees

Les applications web et les API sont la surface d'attaque la plus exploitee. Chaque application expose des fonctionnalites, des formulaires, des points d'authentification et des interfaces d'administration qui constituent autant de vecteurs d'attaque. En 2026, avec la proliferation des architectures microservices et des API REST/GraphQL, cette surface a explose.

Methodologie concrete : Pour chaque application web decouverte, identifiez la technologie sous-jacente (CMS, framework, langage) et sa version. Recherchez les pages d'administration exposees (/admin, /wp-admin, /phpmyadmin, /console). Testez les en-tetes de securite HTTP (HSTS, CSP, X-Frame-Options). Scannez les API pour detecter les endpoints de documentation exposes (Swagger/OpenAPI, GraphQL Playground). Verifiez les configurations CORS. Recherchez les fichiers sensibles accessibles : .env, .git/config, web.config, phpinfo.php.

Exemple terrain : Un groupe de distribution alimentaire du nord de la France a decouvert que 12 de ses boutiques en ligne (sous des sous-domaines differents) utilisaient des versions de PrestaShop anterieures a la 8.1.3, vulnerables a des injections SQL connues. Ces boutiques avaient ete deployes par differentes agences web au fil des annees, sans politique de mise a jour centralisee. Le groupe n'avait pas realise d'audit de cybersecurite incluant ces actifs depuis leur mise en production.

— Etape 4 : Detecter le shadow IT et les actifs non repertories

Le shadow IT represente tous les actifs numeriques deployes en dehors du perimetre gere par la DSI : instances cloud creees par des equipes metier, applications SaaS souscrites par des departements individuels, serveurs de test deployes par des developpeurs et jamais decommissionnes. En 2026, avec la democratisation du cloud et du no-code, le shadow IT est devenu le premier vecteur d'exposition involontaire.

Methodologie concrete : Recherchez dans les enregistrements DNS les CNAME qui pointent vers des services cloud (*.amazonaws.com, *.azurewebsites.net, *.herokuapp.com, *.vercel.app). Identifiez les services cloud associes a votre organisation via les moteurs de recherche de buckets publics (GrayhatWarfare). Recherchez les mentions de vos domaines dans les resultats Shodan et Censys pour decouvrir des services que vous ne connaissiez pas. Interrogez les equipes metier : marketing, RH, finance ont souvent souscrit des outils SaaS avec des integrations API qui creent des expositions non documentees.

Exemple terrain : Une entreprise du secteur pharmaceutique basee a Strasbourg a decouvert lors de cette etape que son equipe marketing avait deploye un outil de landing pages sur Vercel, en utilisant un sous-domaine de l'entreprise. L'outil avait ete configure avec des variables d'environnement contenant des cles API de leur CRM HubSpot et de leur plateforme de paiement Stripe, visibles dans le code source de la page. Un attaquant aurait pu les utiliser pour acceder a la totalite de la base clients et effectuer des operations financieres.

— Etape 5 : Verifier les configurations email et les fuites de donnees

La securite email est une composante souvent negligee de la surface d'attaque externe. Des enregistrements SPF, DKIM et DMARC mal configures permettent l'usurpation d'identite par email (spoofing), facilitant les campagnes de phishing ciblees contre vos employes, partenaires et clients. Parallelement, les fuites de donnees dans les bases publiques (data breaches) exposent les identifiants de vos collaborateurs, ouvrant la porte aux attaques par credential stuffing.

Methodologie concrete : Verifiez les enregistrements SPF de tous vos domaines : ils doivent lister uniquement les serveurs autorises a envoyer des emails en votre nom, et se terminer par -all (rejet strict). Validez la presence et la configuration de DKIM pour chaque service email. Verifiez que DMARC est configure en mode p=reject ou au minimum p=quarantine. Recherchez les emails de vos collaborateurs dans les bases de fuites connues (Have I Been Pwned, DeHashed). Croisez avec votre annuaire pour identifier les comptes compromis necessitant une reinitialisation de mot de passe.

Exemple terrain : Un groupe immobilier base a Bordeaux a decouvert que 47 comptes email de ses collaborateurs figuraient dans des fuites de donnees recentes, dont 12 avec des mots de passe encore valides (identiques au mot de passe professionnel). Trois de ces comptes appartenaient a des managers avec des acces au SI financier. La politique de DMARC du groupe etait configuree en p=none (monitoring uniquement, pas de blocage), permettant a n'importe qui d'envoyer des emails en usurpant leur domaine.

— Etape 6 : Prioriser les risques et remedier

Un audit de surface d'attaque produit generalement une liste de dizaines, parfois de centaines de trouvailles. L'etape de priorisation est cruciale : toutes les expositions ne presentent pas le meme niveau de risque. Un port SSH expose avec authentification par cle est bien moins critique qu'une interface phpMyAdmin accessible sans mot de passe sur un serveur de production.

Methodologie concrete : Classez chaque trouvaille selon une matrice combinant deux axes : la probabilite d'exploitation (facilite d'acces, existence d'exploits publics, visibilite sur Shodan/Censys) et l'impact potentiel (sensibilite des donnees accessibles, criticite du systeme pour l'activite). Utilisez une echelle a quatre niveaux : critique (remediation sous 24h), haut (sous 7 jours), moyen (sous 30 jours), faible (prochain cycle de maintenance). Les trouvailles critiques typiques incluent : vulnerabilites CVSS 9+ sur des services exposes, credentials par defaut, interfaces d'administration sans authentification, bases de donnees accessibles depuis Internet.

Exemple terrain : Une PME industrielle de la region Auvergne-Rhone-Alpes a classe ses 78 trouvailles en 4 critiques (dont un serveur FTP anonyme contenant des plans industriels), 12 hautes, 31 moyennes et 31 faibles. Les 4 trouvailles critiques ont ete remediees en 48h. Le plan de remediation complet a ete execute sur 6 semaines, integre dans leur processus de gestion des vulnerabilites.

— Etape 7 : Mettre en place un monitoring continu de la surface d'attaque

Un audit ponctuel est necessaire mais insuffisant. La surface d'attaque d'une entreprise evolue en permanence : nouveau sous-domaine cree par le marketing, nouvelle instance cloud deployee par un developpeur, nouveau certificat TLS emis, nouveau service SaaS integre. Chaque changement peut creer une nouvelle exposition. C'est pourquoi l'audit initial doit deboucher sur un monitoring continu — ce que l'industrie appelle l'EASM (External Attack Surface Management).

Methodologie concrete : Mettez en place une surveillance automatisee des Certificate Transparency Logs pour detecter immediatement tout nouveau certificat emis pour vos domaines. Configurez des scans de ports recurrents (hebdomadaires au minimum) sur vos plages IP. Deployer un scanner de vulnerabilites integre a votre SOC pour detecter les nouvelles vulnerabilites sur vos actifs exposes. Abonnez-vous aux alertes de fuites de donnees pour vos domaines. Integrez les alertes EASM dans votre workflow de patch management.

Exemple terrain : Un groupe bancaire francais a deploye un monitoring EASM continu qui a detecte, en seulement 3 mois, 14 nouveaux sous-domaines crees sans validation securite, dont 3 exposaient des services non securises. Le temps moyen de detection est passe de "jamais" (avant le monitoring) a 4 heures apres la creation de l'actif. L'integration avec leur SIEM permet de generer automatiquement un ticket de securite pour chaque nouvelle exposition detectee.

— Les erreurs les plus frequentes des entreprises francaises

Apres avoir accompagne des dizaines d'entreprises francaises dans leurs audits de surface d'attaque, nous observons des patterns d'erreur recurrents qu'il est utile de connaitre pour les eviter.

Erreur 1 : Se limiter au perimetre "officiel". Beaucoup d'entreprises ne scannent que les domaines et IP qu'elles connaissent. Or, le shadow IT represente en moyenne 30 a 40% de la surface d'attaque reelle. Sans enumeration active, vous passez a cote des actifs les plus risques — ceux que personne ne surveille.

Erreur 2 : Oublier les filiales et acquisitions. Lors d'une fusion-acquisition, les systemes IT de la societe acquise sont souvent integres tardivement, voire jamais completement. Ces systemes peuvent continuer a exposer des services sur Internet sous des domaines que le groupe ne surveille pas. Nous avons observe des cas ou des filiales acquises 5 ans plus tot avaient encore des serveurs non patche exposes sous leur ancien nom de domaine.

Erreur 3 : Ne pas inclure les sous-traitants. Vos sous-traitants IT, hebergeurs et prestataires cloud font partie de votre surface d'attaque. Si un prestataire gere un serveur en votre nom avec un sous-domaine de votre entreprise, sa securite est votre securite. La directive NIS2 inclut explicitement la securite de la chaine d'approvisionnement dans les obligations des entites regulees.

Erreur 4 : Confondre scan de vulnerabilites et audit de surface d'attaque. Un scan de vulnerabilites teste les actifs connus pour des failles connues. Un audit de surface d'attaque commence par decouvrir les actifs que vous ne connaissiez pas. Les deux sont complementaires mais repondent a des questions differentes.

Conclusion

Auditer sa surface d'attaque externe n'est plus une option en 2026 — c'est un prerequis operationnel et reglementaire. Les 7 etapes detaillees dans ce guide fournissent un cadre methodologique reproductible pour toute entreprise, de la PME a l'ETI jusqu'au grand groupe. L'inventaire des domaines, le scan des ports, l'analyse des applications web, la detection du shadow IT, la verification des configurations email, la priorisation des risques et la mise en place d'un monitoring continu constituent ensemble une demarche coherente qui transforme la surface d'attaque d'un angle mort en un perimetre maitrise.

La cle du succes reside dans la continuite : un audit ponctuel est un bon debut, mais seul un monitoring continu permet de maintenir une visibilite permanente sur les expositions. Les attaquants ne font pas d'audit annuel — ils scannent en continu. Votre defense doit s'aligner sur cette realite.