Surface d'attaque externe : voyez votre PME comme un attaquant

Quand un attaquant s'intéresse à votre entreprise, il ne commence pas par forcer votre pare-feu. Il commence par lire. Tout ce que vous avez laissé visible sur Internet — un nom de domaine, un sous-domaine oublié, un service d'administration exposé, une adresse e-mail dans un document public — constitue sa matière première. Cette phase, silencieuse et gratuite pour lui, s'appelle la reconnaissance. Et pendant qu'elle a lieu, la plupart des PME ne voient rien.

Votre surface d'attaque externe, c'est précisément cet ensemble : tout ce qu'une personne extérieure peut découvrir sur vous sans jamais vous demander la permission. Le problème n'est pas que cette surface existe — toute entreprise connectée en a une — mais qu'elle grandit sans qu'on la surveille. Un site de test mis en ligne « pour deux semaines », un outil SaaS souscrit par un service sans prévenir la DSI, un certificat qui expire : chaque brique s'ajoute, et personne ne tient la carte à jour.

La question devient pressante en 2026. La directive NIS2, transposée en droit français en 2025 et pilotée par l'ANSSI, étend les obligations de cybersécurité à environ 15 000 entités en France, dont de nombreuses PME et ETI qui n'étaient pas concernées auparavant. Or gérer ses risques suppose d'abord de savoir ce que l'on expose. La bonne nouvelle : cartographier sa surface d'attaque est à la portée d'une PME, à condition de s'y prendre avec méthode.

Votre surface d'attaque, c'est tout ce qui vous rend visible

On imagine souvent la sécurité comme un mur autour du système d'information. La réalité est plus poreuse : votre exposition est faite de dizaines de petits éléments, chacun anodin, dont l'accumulation dessine une carte exploitable. Concrètement, une surface d'attaque externe regroupe :

• Les domaines et sous-domaines, y compris ceux qu'on a oubliés : staging., old., vpn., test., un ancien site resté en ligne après une refonte.
• Les ports et services ouverts : un accès distant, une base de données, une interface d'administration accessible depuis Internet alors qu'elle ne devrait pas l'être.
• La configuration DNS de la messagerie — les enregistrements SPF, DKIM et DMARC. Mal réglés ou absents, ils permettent d'usurper votre nom de domaine pour envoyer des e-mails frauduleux en votre nom.
• Les certificats TLS : expirés, mal configurés, ou révélant par leur historique des sous-domaines que vous pensiez internes.
• Le shadow IT : outils SaaS, espaces de partage ou environnements cloud souscrits sans passer par la DSI.
• Les fuites d'information : documents indexés, identifiants exposés dans une ancienne fuite, données techniques laissées dans le code d'un site.

Aucun de ces éléments n'est une faille en soi. Mais mis bout à bout, ils indiquent à un attaquant par où entrer avec le moins d'effort.

Pourquoi un attaquant commence toujours par la reconnaissance

La reconnaissance est la première phase de toute attaque, parce qu'elle est la moins risquée et la moins coûteuse. Observer ce qui est public ne déclenche aucune alarme et ne demande aucune compétence rare. L'asymétrie est là : l'attaquant a tout le temps de dresser votre carte, vous n'avez presque jamais pris le temps de la dresser vous-même.

• Il inventorie vos actifs exposés pour trouver le maillon faible, plutôt que d'attaquer votre défense la plus solide.
• Il repère les oublis : le sous-domaine qu'on ne surveille plus est souvent le moins à jour, donc le plus vulnérable.
• Il prépare le hameçonnage : connaître vos adresses, vos prestataires et votre organisation rend un e-mail frauduleux bien plus crédible.

Se cartographier soi-même, c'est simplement refuser cette asymétrie : voir ce que l'attaquant voit, avant lui.

Ce qu'une cartographie révèle dans une PME type

Prenons une PME industrielle d'une centaine de salariés, convaincue d'avoir « un site vitrine et deux ou trois outils ». Une cartographie de sa surface externe fait souvent apparaître :

• Un sous-domaine dev. resté en ligne après une refonte, hébergeant une interface d'administration accessible sans restriction.
• Une messagerie sans enregistrement DMARC, donc exposée à l'usurpation de son propre nom de domaine.
• Un certificat TLS expiré sur un portail utilisé par des partenaires.
• Deux outils SaaS souscrits par le marketing, hors du périmètre connu de la DSI.

Rien de spectaculaire, pris isolément. Ensemble, cela forme exactement le genre de chemin qu'un attaquant emprunte : discret, négligé, et pourtant grand ouvert.

Audit de surface et test d'intrusion : deux choses différentes

La confusion est fréquente, et elle a des conséquences pratiques. Un audit de surface cartographie votre exposition Internet et évalue les vulnérabilités connues de ce qui est visible : quels actifs, quels services, quelles configurations à risque. Un test d'intrusion (pentest) va plus loin : il tente d'exploiter concrètement ces faiblesses pour démontrer un impact réel, en enchaînant les accès.

• L'audit de surface répond à « qu'est-ce que j'expose, et où sont mes points faibles ? ».
• Le pentest répond à « jusqu'où un attaquant peut-il réellement aller ? ».
• Les deux sont complémentaires, mais l'audit de surface est le point de départ logique : on ne teste pas en profondeur ce qu'on n'a pas encore cartographié.

Chez Sedona, nous réalisons l'audit de surface et l'audit OSINT — à partir d'informations publiques et avec votre accord écrit. Nous ne proposons pas de test d'intrusion avant 2027, et nous préférons le dire clairement plutôt que d'entretenir le flou.

Votre plan d'action

Réduire sa surface d'attaque ne demande pas un budget de grand groupe, mais de la méthode. Une PME peut avancer par étapes :

1. Listez vos noms de domaine et sous-domaines, y compris les anciens. Ce que vous ne connaissez pas, vous ne pouvez pas le protéger.
2. Coupez ce qui ne sert plus : sites de test, environnements de démonstration, comptes et services dormants.
3. Fermez ou restreignez les accès exposés : interfaces d'administration, bases de données et accès distants ne devraient pas être ouverts à tout Internet.
4. Réglez SPF, DKIM et DMARC pour protéger votre messagerie contre l'usurpation.
5. Suivez vos certificats TLS et leurs dates d'expiration.
6. Recensez le shadow IT en dialoguant avec les équipes : quels outils, quels hébergements, souscrits par qui.
7. Répétez l'exercice régulièrement : une surface d'attaque n'est jamais figée, elle bouge à chaque nouveau projet.

L'essentiel est de transformer un angle mort en processus. Une cartographie faite une fois vaut mieux que jamais ; faite régulièrement, elle change la donne.

Comment Sedona peut aider

Sedona Radar automatise cette cartographie. Le Scan de Contrôle (environ 15 à 20 minutes) analyse l'exposition d'un domaine que vous saisissez : ports, DNS, TLS, vulnérabilités connues. Le Deep Scan (1 à 6 heures) part à la découverte de l'ensemble de vos sous-domaines pour révéler ceux que vous aviez oubliés. Radar évalue aussi votre exposition au regard de six référentiels et fournit un score de conformité indicatif — un point de repère pour prioriser, pas une certification : Sedona ne délivre aucune certification NIS2. Pour un accompagnement humain, notre audit de surface manuel et notre audit OSINT vont plus loin sur les cas complexes.

Le plan Découverte est gratuit, sans carte bancaire : un Scan de Contrôle pour voir concrètement ce que vous exposez. Testez votre exposition avec Sedona Radar, ou commencez par notre guide EASM à télécharger pour cadrer la démarche.