Leaks & Secrets

Clés API, tokens d'authentification, identifiants de base de données, secrets d'infrastructure et clés de service laissés dans un dépôt Git public, un bucket cloud ouvert, un fichier .env ou une config accessible, ou recrachés par un endpoint trop bavard. En clair : tout ce qui ressemble à un identifiant exploitable et qui traîne sur un actif rattaché à votre domaine. La détection est automatisée et suit ce qu'un attaquant fouille en premier ; elle ne remplace pas la vérification humaine d'un pentest, qui est une offre séparée.

On part de votre domaine racine et on remonte votre surface (sous-domaines, IP, services, stockage cloud) sans que vous ayez à fournir d'accès. Les dépôts publics et fuites de code rattachés à votre périmètre sont ensuite passés au crible pour les secrets qui traînent dans le code, l'historique de commits et les fichiers versionnés par erreur. Le périmètre reste sous votre contrôle : on déroule à partir des domaines que vous déclarez, pas d'attribution hasardeuse sur des dépôts qui ne sont pas à vous.

Oui. Buckets S3 publics, Azure Blob Storage, GCP Storage ouverts, instances de stockage exposées. Des modules dédiés vérifient les ACL de stockage et repèrent les endpoints vulnérables au SSRF, qui peuvent servir à atteindre les métadonnées cloud. Si un bucket est joignable depuis Internet et rattaché à votre domaine, il remonte dans l'inventaire avec ce qu'il laisse fuiter : fichiers publics, secrets, configs.

Non. La valeur du secret est masquée avant d'être écrite en base, par défaut. La plateforme conserve le fait qu'une clé a fuité, son type et son emplacement, pas le secret exploitable lui-même. Vous avez de quoi agir (révoquer, faire tourner la clé, fermer le bucket) et de quoi le remettre à un auditeur, sans qu'un dump de notre base ne rejoue la fuite. Détecter un secret sans le repiéger en le recopiant, c'est le comportement de base, pas une option.

Ces outils scannent un dépôt que vous leur pointez, souvent le vôtre, en interne. Ils ne voient que ce que vous leur donnez. Ici, on répond à la question d'avant : qu'est-ce qui a fuité sur votre surface externe, là où vous ne regardez pas ? On part d'un seul domaine, on découvre les dépôts publics, buckets et fichiers exposés que personne n'a inventoriés, et on surveille en continu ce qui apparaît. Les deux sont complémentaires : le scanner interne approfondit le dépôt connu, l'EASM trouve la fuite exposée que vous ignoriez.

Sur un finding High ou Critical d'un domaine vérifié, vous pouvez demander à un agent IA autonome de tenter de confirmer que le secret est réellement exploitable, dans la limite de garde-fous stricts (20 étapes, 300 secondes, 150 000 tokens par finding) et d'une sandbox éphémère à sortie réseau filtrée. S'il le prouve, le finding passe en confirmé avec une preuve conservée, secrets masqués. C'est de l'IA, pas un pentester humain, et c'est quotaé : 2 validations par mois en Découverte, 30 en Pro, 100 en Business, illimité en Enterprise. On ne promet pas le zéro faux positif ; la vérification humaine approfondie, c'est nos pentests, une offre séparée.

Vous programmez des scans périodiques (cron) et vous en déclenchez à la demande depuis l'interface ou l'API. À chaque passage, vous recevez le delta : nouveau secret apparu, bucket bascule en public, fichier de config nouvellement accessible, finding résolu. Les volumes dépendent du plan : 10 scans par mois en Découverte, 100 en Pro, illimité en Business et Enterprise. Vous suivez votre consommation en temps réel.

L'article 21 de NIS2 impose une gestion des risques qui inclut la cartographie des actifs et la surveillance continue de la surface exposée, secrets et shadow IT compris. La détection de fuites y contribue directement : inventaire vivant des secrets et actifs qui fuitent, alerte au premier changement, rapports PDF et CSV exportables pour vos auditeurs. Soyons clairs : elle ne couvre pas tout NIS2 à elle seule (gouvernance, réponse à incident, chaîne d'approvisionnement restent à votre charge). Elle adresse la partie connaître et maîtriser ce que vous exposez.