EASM : qu'est-ce que la gestion de surface d'attaque
externe ?

Le site officiel d'une société du SBF 120 tient en un ou deux noms d'hôte : le domaine et son www. Sur les douze derniers mois, les journaux publics de certificats en ont pourtant enregistré 106 sous ce seul domaine, en médiane. Et 95 sociétés sur 119 laissent répondre depuis Internet au moins un nom qui annonce une préproduction ou un outil interne : dev, uat, staging, admin, jenkins.

Ces chiffres viennent d'une mesure que j'ai menée les 9 et 10 octobre 2026 sur 704 organisations françaises, sans scan de ports ni requête HTTP (méthode, limites et résultats complets plus bas). Ils racontent ce que montre n'importe quel premier inventaire externe : la surface qu'on déclare et celle qui existe ne se recouvrent pas. Les confronter, en continu, c'est le travail d'un EASM : External Attack Surface Management, la gestion de la surface d'attaque externe. Le terme est récent, la pratique moins : les attaquants cartographient les surfaces exposées depuis toujours. L'EASM outille le même travail, côté défense.

L'EASM, c'est quoi ? La définition

L'EASM (External Attack Surface Management) est la discipline qui consiste à découvrir, inventorier et surveiller en continu tout ce qu'une organisation expose sur Internet, du point de vue de l'attaquant. Pas depuis votre réseau interne, pas depuis un fichier Excel d'actifs : depuis l'extérieur, comme le ferait quelqu'un qui prépare une intrusion et n'a pour seul point de départ que votre nom.

En français, on parle de gestion de la surface d'attaque externe. Vous croiserez aussi "cartographie de la surface d'exposition" ou, plus vaguement, "attack surface management". Peu importe l'étiquette, l'idée tient en une phrase : on ne protège pas ce qu'on ne voit pas, et la première étape de toute défense sérieuse, c'est de voir sa propre surface comme l'adversaire la voit. Un EASM n'a besoin d'aucun agent installé, d'aucun accès à votre réseau. Il travaille depuis Internet, avec les mêmes données publiques que n'importe qui.

Deux de ces angles morts pèsent particulièrement lourd et méritent leur propre traitement : les secrets exposés (clés d'API et tokens oubliés dans un dépôt public), et les attaques sur la chaîne d'approvisionnement logicielle, où c'est une dépendance tierce, et non votre code, qui ouvre la brèche.

Comment fonctionne un EASM, étape par étape

Un EASM ne se contente pas d'une liste d'IP à scanner. Il part de presque rien (votre nom, votre domaine) et remonte, de proche en proche, jusqu'à reconstituer votre exposition réelle. Cinq temps s'enchaînent.

1. Découverte. Tout part de quelques graines : un domaine racine, une marque, une plage IP. La plateforme moissonne ensuite des sources publiques pour faire apparaître des actifs que personne ne lui a donnés. L'énumération passive de sous-domaines s'appuie sur les journaux de Certificate Transparency (chaque certificat TLS émis y laisse une trace publique, qu'on ratisse avec crt.sh, subfinder ou amass), puis on résout et on sonde ce qui répond avec dnsx et httpx.

Certaines pistes ne passent pas par le DNS. Un même favicon, hashé et cherché sur Shodan ou Censys, fait parfois tomber une IP directe planquée derrière un CDN. Ces moteurs répondent depuis un index constitué en amont, donc sans envoyer un paquet vers la cible, et savoir les interroger sur son propre périmètre vaut d'être connu avant de payer pour un outil qui les appelle à votre place. Ils ne se valent pas non plus, ni en couverture ni en fraîcheur : on a comparé Censys, Onyphe et Shodan sur les ports balayés, la fraîcheur et le modèle de données, avec un éditeur français dans le lot.

L'attribution par ASN, elle, ne rend service que si l'organisation possède ses propres plages RIR : une minorité. La plupart des cibles vivent dans les ASN d'un cloud (AWS 16509, OVH 16276), où le numéro d'AS ne rattache plus rien d'exploitable. Notre mesure le confirme : côté SBF 120, 82,1 % des noms qui résolvent vers une IPv4 pointent vers un cloud, un CDN ou un hébergeur identifié. Pour ces cibles, le fil conducteur reste le DNS et les certificats. C'est là que ressortent les sous-domaines fantômes qui pointent dans le vide, mûrs pour un subdomain takeover, et le shadow IT que personne ne gère. Ce premier temps, le plus technique, mérite son propre mode d'emploi : on détaille les outils et les commandes dans la découverte d'actifs, étape par étape.

2. Inventaire et attribution. Découvrir un actif ne suffit pas : encore faut-il prouver qu'il est à vous. Cette étape relie chaque élément trouvé à votre organisation (par le domaine, le certificat, le contenu, parfois l'ASN quand il tient) et l'enrichit : ports ouverts (un scan de ports léger, pas un nmap agressif), technologies détectées, versions de logiciels, en-têtes HTTP de sécurité présents ou absents. Mal attribuer, c'est se créer un angle mort ou polluer le périmètre d'un voisin. On y passe du temps parce que tout le reste du pipeline en dépend.

3. Corrélation des vulnérabilités. Une fois qu'on sait quel logiciel tourne et dans quelle version, on confronte ces empreintes aux flux de CVE, typiquement la NVD du NIST. On fait remonter les expositions connues sur des actifs qu'on vient juste de redécouvrir. Cas d'école : un nginx 1.18.0 laissé sur une machine que plus personne ne surveillait, vulnérable à la CVE-2021-23017 (un off-by-one dans le resolver DNS).

4. Priorisation par exploitabilité. Lister des CVE, c'est facile, et c'est le meilleur moyen de noyer vos équipes. Un bon EASM hiérarchise par exploitabilité, pas par score CVSS brut, parce que ce que le score CVSS mesure vraiment est une gravité intrinsèque, hors contexte. Le service est-il seulement atteignable depuis Internet ? La fonctionnalité vulnérable, elle, est peut-être désactivée ; la bannière de version, souvent, ment. Une faille exploitable sur un actif exposé pèse bien plus qu'un "critique" théorique sur un port fermé. C'est le rôle du pentest automatisé (plus de 7 800 vérifications de détection non intrusives) puis, sur les findings les plus graves, d'un agent de pentest autonome borné qui tente de les exploiter dans une sandbox, sous quota, pour ne remonter que ce qui marche vraiment.

5. Surveillance continue. Une surface d'attaque bouge tous les jours : un déploiement crée un sous-domaine, un certificat expire, une CVE sort, une équipe met en ligne un nouveau service. Un scan unique périme en une semaine. L'EASM re-scanne en boucle et alerte sur les changements : c'est ce "continu" qui le distingue d'un audit ponctuel. Cette veille ne s'arrête d'ailleurs pas à vos seuls actifs : elle repère aussi les domaines qui imitent votre marque par typosquatting, enregistrés et armés en quelques heures.

Ce qu'une page d'accueil et le DNS révèlent sans scan

Avant même la découverte de sous-domaines, deux sources publiques en disent long sur une organisation : la réponse de la page d'accueil de son site, et les enregistrements DNS de son domaine. Pas de scan de ports, pas de sondage, une seule requête HTTP et une poignée de requêtes DNS. Pour donner un ordre de grandeur, je les ai relevées le 6 octobre 2026 pour 704 organisations : le SBF 120, 65 universités, 488 communes de plus de 20 000 habitants et 32 CHU et CHR. Voici ce qu'un attaquant apprend avant d'avoir rien tenté.

Chaque ligne est une étape de reconnaissance qu'un attaquant n'a plus à faire. Le CMS et sa version orientent vers les exploits publics. La version du serveur annoncée en clair, sur 18,2 % des pages, fait le même travail un étage plus bas. Les jetons de vérification du DNS listent les services SaaS rattachés au domaine, donc les pages de connexion à imiter pour du phishing ciblé : une société du SBF 120 en expose 8 en médiane, ce qu'on détaille dans le shadow IT vu depuis le DNS. Et les scripts tiers ouvrent la question de la chaîne d'approvisionnement côté navigateur, puisque 62,4 % des pages en chargent au moins un.

Ce trio dit pourquoi un EASM travaille en continu. Le même jour, une version de sécurité de WordPress publiée en fin d'après-midi tournait déjà sur 29 sites moins d'une heure et demie plus tard, sans doute par mise à jour automatique (ce point n'a pas été vérifié), pendant que 28 autres restaient en retard sur un correctif publié avant le jour de la mesure. Un inventaire relevé une fois par an mélange les deux populations ; une surveillance continue les sépare. La mesure reste une photo : un site peut être à jour sans afficher sa version, une version annoncée ancienne n'est pas une preuve de vulnérabilité exploitable (une distribution peut rétroporter les correctifs), et seul le HTML statique est lu, sans exécuter de JavaScript, ce qui fait des scripts tiers un minorant.

Cette photo ne regarde qu'un seul nom : celui du site. Reste la question qui intéresse vraiment un attaquant, et qu'elle laisse ouverte : combien d'autres noms vivent sous le même domaine, et que deviennent-ils ?

Surface déclarée, surface réelle : la mesure

Pour y répondre, j'ai repris le même panel, figé le 6 octobre 2026, et lu pour chaque organisation les journaux Certificate Transparency des 12 derniers mois sur le domaine de son site officiel. Chaque nom trouvé a ensuite reçu une seule question DNS (existe-t-il encore ?), puis, s'il pointait vers une adresse publique, une seule poignée de main TLS sur le port 443 (répond-il ?). Aucune requête HTTP, aucun nom deviné, aucun autre port : exactement ce qu'un navigateur fait en ouvrant une connexion, et rien de plus.

Combien de noms derrière un seul domaine

Une université a la surface la plus touffue : 285 noms en médiane, et la moitié d'entre elles entre 101 et 604. Une société du SBF 120 en a 106, mais avec une dispersion énorme : le premier quart en compte au plus 31, le dernier dixième plus de 1 101,8. Un CHU en compte 21, une commune de plus de 20 000 habitants 7. Notre mesure Certificate Transparency du 6 octobre sur le SBF 120 trouvait 139 noms en médiane sur 24 mois : la fenêtre est ici deux fois plus courte, l'ordre de grandeur ne bouge pas.

Gardez en tête que ce sont des minorants. Un seul domaine est compté par organisation : les marques, les filiales, les anciens noms et les autres extensions n'y sont pas. Un service couvert par un certificat joker (*.exemple.fr) n'apparaît pas nommément, et un service sans certificat public n'apparaît pas du tout.

De la liste au réseau : ce qui résout, ce qui répond

Un nom dans un journal de certificats ne prouve pas qu'un service existe encore. C'est tout l'intérêt de l'entonnoir ci-dessous. Côté SBF 120, 71,9 % des noms sondés résolvent toujours en DNS et 50,1 % acceptent une connexion TLS. Autrement dit, sur 48 686 noms relevés, 24 404 répondaient au moment de la mesure. Parmi eux, 6 272 portent un marqueur de préproduction ou d'outil, soit 25,7 % de tout ce qui répond.

Trois chiffres de cet entonnoir méritent qu'on s'y arrête. D'abord, côté SBF 120, 4 467 noms publiés dans le DNS public ne résolvent que vers des adresses privées (RFC 1918), chez 44 sociétés sur 119 : des noms internes, exposés à qui sait lire un journal. Ensuite, sur les noms qui répondent, 4,5 % présentent un certificat expiré, auto-signé ou qui ne couvre pas le nom demandé, et la part monte à 9,7 % dans les universités. Aucun de ces symptômes ne prouve un oubli, mais c'est le plus visible chez un service que plus personne n'entretient. Enfin, l'hébergement : 88,4 % des noms du SBF 120 qui résolvent sont servis par un tiers (CNAME ou réseau hors de l'organisation), contre 9,5 % pour les universités. Chez elles, l'essentiel passe par le réseau de la recherche : 17 147 de leurs 18 307 noms qui pointent vers une IPv4 publique sont sur RENATER ou un réseau régional ou de campus, comptés à part (ni organisation, ni tiers). Côté entreprises, un inventaire par plage d'adresses passerait donc à côté de presque tout.

La taille joue, sans tout expliquer

La seule mesure de taille disponible dans le panel est la population des communes. Sa corrélation avec le nombre de noms est modérée (rho de Spearman 0,392, n = 488) : la médiane passe de 5 noms pour les communes de 20 000 à 30 000 habitants à 25,5 pour celles de plus de 100 000 habitants. Mais les fourchettes centrales des tranches voisines se chevauchent toutes : la population donne une tendance, elle ne dit pas combien de noms aura telle ou telle commune. Pour les entreprises, les universités et les hôpitaux, le panel ne contenait aucune donnée de taille (ni effectif, ni capitalisation) : rien n'a été mesuré, rien n'est affirmé.

Des certificats de plus en plus courts

Les journaux disent aussi comment ces organisations gèrent leurs certificats. Depuis le 15 mars 2026, une autorité publique ne peut plus émettre un certificat valable plus de 200 jours (ballot SC-081 du CA/Browser Forum) ; le plafond passera à 100 jours en mars 2027, puis à 47 jours en mars 2029. Les universités sont déjà collées au plafond actuel, avec une durée médiane de 199 jours : chaque marche du calendrier doublera leur rythme de renouvellement. Les communes, à l'inverse, obtiennent 91 % de leurs certificats auprès d'autorités gratuites pensées pour le renouvellement automatique : des durées plus courtes ne leur demandent aucun effort de plus, pourvu que ce renouvellement tourne vraiment. Et les certificats de 7 jours ou moins du SBF 120 viennent de 16 sociétés seulement, dont une pèse à elle seule 58,9 % du total : une moyenne poolée sur ces volumes ne décrirait personne.

Pour un défenseur, la conséquence est simple : chaque renouvellement inscrit le nom une nouvelle fois dans un journal public. Plus les certificats raccourcissent, plus la liste de vos noms se rafraîchit vite chez l'attaquant. Un EASM la relit au même rythme, et c'est aussi lui qui voit le certificat qui n'a pas été renouvelé.

Estimez votre surface

Choisissez le groupe qui ressemble le plus à votre organisation : vous verrez ce que la mesure a trouvé chez ses pairs, autrement dit la plage dans laquelle votre propre chiffre a toutes les chances de tomber.

Attack Surface Management (ASM), EASM, CAASM, CTEM : démêler les sigles

Le marché adore les acronymes, et ceux-là se ressemblent assez pour tout embrouiller. La question "c'est quoi un ASM ?" revient sans cesse. Les quatre sigles ne recouvrent pas la même chose.

• ASM (Attack Surface Management) : le terme parapluie. Gérer sa surface d'attaque, tout court. L'EASM en est la déclinaison la plus répandue, au point qu'on emploie souvent les deux mots l'un pour l'autre.
• EASM (External ASM) : la version focalisée sur l'externe, ce qui est joignable depuis Internet. C'est le sujet de cet article, et de loin le point de départ le plus utile, parce que c'est par l'extérieur qu'on se fait attaquer.
• CAASM (Cyber Asset ASM) : une approche qui agrège une vue des actifs en se branchant, via API, sur vos outils internes existants (CMDB, EDR, cloud, annuaire). Il consolide ce que vous savez déjà, quand l'EASM part de zéro et regarde du dehors. Les deux se recoupent utilement.
• CTEM (Continuous Threat Exposure Management) : un programme continu formalisé par Gartner. Aucun produit à installer, c'est une méthode. Il organise en cycle cinq étapes : cadrage (scoping), découverte, priorisation, validation, mobilisation des équipes. L'EASM l'alimente en matière (les actifs, les expositions) qu'il met ensuite en musique.

En pratique, l'ordre d'adoption compte plus que la taxonomie. Pour la plupart des organisations, on commence par l'EASM : on éclaire d'abord la partie qu'on ne maîtrise pas, l'exposition externe, avant de la consolider avec une vue interne (CAASM) ou de la formaliser en programme (CTEM).

EASM, scanner de vulnérabilités, pentest : qui répond à quoi

La confusion la plus coûteuse, c'est de croire que ces trois-là font la même chose. Ils répondent à des questions différentes, et se déclenchent à des moments différents.

La différence tient à un point : un scanner de vulnérabilité a besoin qu'on lui donne les cibles. Il ne trouvera jamais le serveur oublié dont personne ne connaît l'adresse, puisqu'elle ne figure sur aucune liste. Un EASM commence par établir le périmètre, puis le qualifie. Il vient donc en amont du scan, et le mot "scanner" recouvre lui-même cinq familles d'outils qui ne prennent pas la même entrée : réseau, web, dépendances, cloud, découverte externe.

Le pentest relève d'une autre catégorie. L'EASM signale "c'est probablement vulnérable" ; un humain qui teste le démontre, enchaîne les failles, et mesure l'impact réel. On a détaillé cette frontière dans le guide du pentest en entreprise. En pratique on les met bout à bout : l'EASM cartographie et surveille en continu, le pentest va au fond des zones critiques que la cartographie a fait remonter. Reste à budgéter cette étape humaine : on donne les fourchettes dans combien coûte un pentest. Et quand le risque vit surtout dans le code plutôt qu'à la lisière du réseau, ce sont d'autres familles d'outils qui entrent en jeu, qu'on compare dans SAST, DAST et IAST.

Qui a besoin d'un EASM ?

Réponse courte : toute organisation dont la surface Internet a grossi plus vite que sa capacité à la suivre. La mesure plus haut montre que c'est le cas bien au-delà des grands groupes. Trois profils reviennent le plus souvent.

• Les grands comptes et ETI : des dizaines de filiales, de marques, de rachats, de prestataires. Sur leur seul domaine principal, le dernier dixième du SBF 120 dépasse 1 101,8 noms en un an, et personne, en interne, n'en a la vue complète. Le shadow IT y est la norme.
• Les PME : moins d'actifs, mais souvent zéro inventaire et pas d'équipe dédiée. Un seul sous-domaine oublié suffit à ouvrir la porte. Et elles arrivent désormais dans le périmètre réglementaire, souvent par ruissellement via la sous-traitance, comme on l'explique pour les PME concernées par NIS2.
• Les organisations sous pression réglementaire : NIS2, DORA et consorts imposent en filigrane une gestion des actifs et une analyse de risques continues. On ne coche pas ces cases avec un Excel daté de l'an dernier. Le lien concret entre la directive et la cartographie, c'est le sujet d'la directive NIS2 et son article 21.

Reste un critère qu'on sous-estime : la souveraineté. Confier la cartographie de tous vos points d'exposition à une plateforme, c'est lui remettre le plan coté de vos points d'entrée, actif par actif. Où ces données sont hébergées, et sous quelle juridiction, compte : les garder dans l'Union européenne, sous droit européen (RGPD) et à l'écart des lois extra-européennes, réduit nettement ce risque. On développe le critère, avec les questions à poser à un fournisseur, dans notre comparatif des plateformes EASM.

Une fois le principe acquis, restent deux questions très concrètes. Combien ça coûte : les modèles de facturation et les fourchettes réelles sont dans le prix d'un EASM. Et laquelle choisir, tant les fiches produit se ressemblent : la grille de tri est dans le comparatif cité plus haut, et l'approche d'own2pwn est confrontée point par point à deux acteurs de référence dans l' alternative à Detectify et l' alternative à Intruder.

À retenir

Tout part de là : savoir ce que vous exposez vraiment, avant qu'un autre ne le fasse à votre place. C'est le travail de la plateforme EASM d'own2pwn, construite par un pentester OSWE : découverte en continu, corrélation des CVE via la NVD, validation d'exploitabilité IA-native pour trier le vrai risque du bruit. Le plan Découverte est gratuit et sans carte : un domaine suffit pour mettre votre propre chiffre en face de ceux de cette mesure.

Questions fréquentes