312 applications SaaS que personne n’avait déclarées — les 7 étapes qui ont rendu le shadow IT visible en 3 semaines

« On doit avoir une quarantaine d’outils, tout est passé par la DSI. » C’est ce que nous a dit le directeur des systèmes d’information d’un groupe industriel de 240 salariés, en février, au moment de cadrer la mission. Il était de bonne foi et il avait tort d’un facteur huit.

Trois semaines plus tard, l’inventaire consolidé comptait 312 applications SaaS distinctes ayant reçu au moins une authentification avec une adresse professionnelle du domaine. Parmi elles, un outil de transcription automatique de réunions ayant accès en lecture à l’ensemble des agendas de la direction, souscrit en version gratuite par une assistante pour se simplifier la vie. Personne n’avait rien fait de mal. C’est exactement le problème.

Voici la méthode que nous avons stabilisée depuis, en sept étapes. Elle ne suppose aucun outil spécialisé pour démarrer, et elle est conçue pour produire un résultat exploitable plutôt qu’une liste de 300 lignes que personne ne traitera.

Étape 1 : Annoncer une amnistie avant de chercher quoi que ce soit

C’est l’étape que tout le monde saute, et c’est celle qui détermine la qualité de tout le reste. Si les équipes comprennent que l’inventaire va servir à identifier des coupables, elles cesseront de coopérer, et vous perdrez la seule source d’information que la technique ne vous donnera jamais : pourquoi l’outil est utilisé.

Le message doit être écrit, envoyé par la direction et non par la DSI, et dire trois choses : aucun reproche ne sera fait pour un outil déclaré pendant la période, l’objectif est de sécuriser et non d’interdire, et les outils réellement utiles seront pris en charge et payés par l’entreprise. Cette dernière promesse est essentielle — et elle vous engage.

Chez notre client, cette annonce a produit 67 déclarations spontanées en dix jours, dont onze applications que nos moyens techniques n’auraient jamais détectées parce qu’elles étaient utilisées depuis des appareils personnels sur des données exportées manuellement. C’est le meilleur retour sur une heure de rédaction que je connaisse.

Étape 2 : Extraire les autorisations OAuth de votre annuaire

C’est votre source de premier rang. Chaque fois qu’un collaborateur a cliqué sur « se connecter avec son compte professionnel », une autorisation a été enregistrée côté annuaire, avec la liste des permissions accordées.

Cette source a trois qualités que rien d’autre ne combine : elle est exhaustive sur tout ce qui est passé par l’authentification unique, elle est gratuite et déjà en votre possession, et surtout elle documente le niveau d’accès — lecture des courriels, accès aux fichiers, écriture dans l’agenda. C’est cette dernière information qui vous permettra de trier par risque réel à l’étape 6.

Exportez la liste complète des applications tierces autorisées, avec pour chacune : le nom, l’éditeur, les permissions, le nombre d’utilisateurs et la date de première autorisation. Ne filtrez rien à ce stade.

Étape 3 : Croiser avec les dépenses par carte bancaire

Les abonnements payés hors processus d’achat ne laissent aucune trace technique si l’outil ne se connecte pas à votre annuaire. Ils laissent en revanche une trace comptable.

Demandez au service financier les relevés des cartes d’entreprise et les notes de frais sur douze mois, et filtrez les libellés récurrents de faible montant. Les abonnements SaaS non déclarés se situent presque toujours entre 9 et 80 € par mois — un montant trop faible pour déclencher une validation hiérarchique, ce qui est précisément la raison pour laquelle ils passent.

Chez notre client, cette source a révélé 34 abonnements dont 9 pour des outils dont plus personne ne se servait — dont deux résiliés seulement après notre passage, pour un gain annuel de 4 100 €. L’inventaire s’est autofinancé sur ce seul poste.

Étape 4 : Analyser 30 jours de journaux DNS sortants

Cette source rattrape ce qui a échappé aux deux précédentes : les outils utilisés sans connexion au compte professionnel et sans paiement d’entreprise. Typiquement, les versions gratuites créées avec une adresse professionnelle mais un mot de passe local.

Extrayez les résolutions DNS sortantes sur trente jours, agrégez par domaine de second niveau, et éliminez le bruit — régies publicitaires, réseaux de diffusion de contenu, télémétrie système. Ce qui reste, trié par nombre de postes distincts ayant résolu le domaine, constitue votre liste de candidats.

Un conseil pratique : ne travaillez pas sur le volume de requêtes mais sur le nombre de postes distincts. Un domaine résolu par quarante postes différents signale un usage établi ; un domaine résolu dix mille fois par un seul poste est presque toujours un processus automatique sans intérêt pour l’inventaire.

Étape 5 : Dédupliquer et rattacher chaque application à un propriétaire

Vos quatre sources se recouvrent partiellement et nomment les mêmes produits différemment. La déduplication demande un vrai travail manuel : un même éditeur apparaît sous son nom commercial dans OAuth, sous sa raison sociale dans les relevés bancaires, et sous un domaine technique dans les journaux DNS.

Une fois la liste consolidée, chaque ligne doit recevoir un nom de personne — pas un service, une personne. C’est la partie la plus longue et la plus utile de la mission. Sans propriétaire identifié, une application ne sera jamais ni régularisée ni fermée : elle restera sur la liste jusqu’au prochain inventaire.

Comptez environ quatre jours-homme pour cette étape sur un périmètre de 300 applications. C’est là que se concentre l’effort, et c’est ce que les outils de découverte automatique ne feront pas à votre place quoi qu’en dise leur documentation commerciale.

Étape 6 : Trier par risque réel, pas par ordre alphabétique

Trois cents lignes non triées, c’est un document que personne n’ouvrira deux fois. Le tri doit produire une liste courte d’actions urgentes et un reste traitable en fond de tâche.

Nous croisons deux axes. Le premier est le niveau d’accès accordé : une application autorisée à lire l’ensemble d’une boîte aux lettres est dans une autre catégorie qu’un convertisseur de fichiers sans authentification. Le second est la nature des données traitées : données personnelles de clients, données de santé, données financières, secrets industriels.

Le croisement donne quatre quadrants. Le seul qui exige une action immédiate est celui qui combine accès étendu et données sensibles — chez notre client, 14 applications sur 312, soit 4,5 %. Ces quatorze-là ont été traitées en une semaine. Les 298 autres ont suivi un rythme normal sur le trimestre.

Cette proportion est stable d’une mission à l’autre : entre 3 et 7 % des applications découvertes justifient une réaction rapide. Passer d’une liste de 312 problèmes à une liste de 14 est ce qui rend le projet réalisable, et c’est le principal apport du tri.

Étape 7 : Régulariser, migrer ou fermer — et fermer vraiment

Chaque application reçoit une décision parmi trois, et une seule.

Régulariser : l’outil est utile et sans équivalent interne. Il entre dans le contrat cadre, passe par l’authentification unique, et son propriétaire est formalisé. C’est la décision majoritaire — chez notre client, 41 % des applications actives.

Migrer : un outil déjà sous contrat couvre le besoin. La migration demande un accompagnement réel, faute de quoi l’ancien outil continue d’être utilisé en parallèle. Prévoyez une date de bascule annoncée et une personne référente.

Fermer : l’outil est inutilisé ou son risque est disproportionné. Et fermer signifie révoquer l’autorisation OAuth et supprimer le compte côté éditeur, pas seulement désinstaller le client ou dire aux gens d’arrêter. Une autorisation OAuth non révoquée continue de donner accès à vos données même si plus personne n’ouvre l’application — c’est le point que nous voyons manquer le plus souvent lors des vérifications à trois mois.

Prévoyez une revue à 90 jours. Sur nos missions, entre 12 et 20 % des fermetures décidées n’ont pas été réellement exécutées, généralement parce que la révocation côté éditeur a été oubliée. Sans cette revue, l’inventaire produit un document juste et une réalité inchangée.

Ce que ça coûte, et ce que ça évite

Pour 200 à 400 personnes : 8 à 12 jours-homme sur trois semaines calendaires, soit 6 000 à 10 000 € HT si la mission est externalisée. La collecte technique représente moins d’un tiers ; le rattachement et le tri constituent l’essentiel.

En face, deux gains concrets. Le premier est financier et immédiat : la résiliation des abonnements dormants couvre couramment 30 à 60 % du coût de la mission. Le second est la réduction d’une surface d’exposition que vous ne pouviez pas mesurer — et qui, en cas de contrôle ou d’incident, se traduit par une question à laquelle il faut savoir répondre : quelles applications tierces avaient accès à ces données ?

Cette question est au cœur des obligations de maîtrise du périmètre imposées par les cadres de conformité actuels. Si votre organisation est concernée, notre page sur l’audit de périmètre NIS2 détaille la façon dont cet inventaire s’articule avec le reste du dispositif.

Deux remarques pour finir. D’abord, une part croissante du shadow IT est aujourd’hui constituée d’outils d’IA — transcription, rédaction, analyse de documents — qui accèdent par construction à des contenus sensibles ; les précautions d’exposition de données décrites par Plug-Tech pour les intégrations d’assistants s’appliquent mot pour mot à ces cas. Ensuite, la cause profonde du shadow IT est presque toujours un manque de moyens internes : les équipes contournent parce qu’attendre n’est pas une option. Renforcer l’équipe technique coûte souvent moins cher que de gérer les conséquences, un arbitrage que les recruteurs de D-Open voient revenir régulièrement dans les PME françaises.

Questions fréquentes

Combien d’applications non déclarées trouve-t-on typiquement dans une PME ?

Le rapport entre applications réellement utilisées et applications déclarées se situe entre 4 et 9 pour 1. Une organisation de 200 à 300 personnes qui pense utiliser une quarantaine d’outils en découvre couramment entre 150 et 350. La majorité sont des comptes gratuits ou à faible coût, souscrits pour un besoin ponctuel et jamais fermés.

Quelle source de découverte est la plus efficace ?

Les autorisations OAuth accordées depuis votre annuaire d’identité : exhaustives sur tout ce qui est passé par l’authentification unique, exploitables sans outil payant, et surtout elles indiquent les permissions accordées — donc le risque réel. Les journaux DNS arrivent en deuxième et couvrent ce qui a échappé à l’authentification unique.

Faut-il bloquer les applications découvertes ?

Pas immédiatement, et rarement en masse. Le shadow IT existe parce qu’un besoin réel n’était pas couvert ; bloquer sans alternative déplace l’usage vers des canaux encore moins visibles, souvent les comptes personnels. Régularisez ce qui est utile, migrez ce qui a un équivalent sous contrat, et ne fermez que l’inutilisé ou le disproportionné.

Combien de temps prend un inventaire complet ?

Pour 200 à 400 personnes, comptez trois semaines calendaires et 8 à 12 jours-homme. La collecte technique représente moins d’un tiers de l’effort. Le reste est du rattachement : qui utilise quoi, pourquoi, avec quelles données. C’est la partie qui produit la valeur, et celle que les outils automatisés ne font pas à votre place.