Avant vos clients, vos assureurs ou un attaquant, faites le tour de ce qui est exposé depuis Internet. 12 points, un score immédiat, et les angles morts à corriger en priorité.
Savez-vous lister TOUS vos domaines et sous-domaines encore en ligne, y compris d'anciens sites et des préproductions ?
Les sous-domaines oubliés restent en ligne sans surveillance, souvent la porte la moins gardée.
Êtes-vous sûr qu'aucun accès d'administration (bureau à distance/RDP, SSH, panneau admin, base de données) n'est ouvert directement sur Internet ?
Un accès d'administration exposé est scanné et attaqué en quelques heures.
Vos environnements de test / préproduction sont-ils inaccessibles depuis Internet (ou protégés par mot de passe) ?
Une préproduction a souvent des données réelles et aucune protection de production.
Savez-vous si vos services et équipements exposés sur Internet (pare-feu, VPN, serveurs) tournent des versions à jour, sans faille connue publiée (CVE) ?
Une version obsolète d'un service exposé est exploitée par des outils automatiques, souvent quelques jours après la publication de la faille.
Domaine 2 / 40 / 2 réponses
02 · Accès & comptes
Qui peut entrer
Un mot de passe volé ouvre tout si rien ne le bloque.
La double authentification (MFA) est-elle imposée sur la messagerie, le VPN et les accès d'administration ?
Sans MFA, un seul mot de passe volé ouvre la boîte mail ou le VPN.
Avez-vous vérifié qu'aucun mot de passe de vos collaborateurs ne figure dans une fuite publique connue ?
Les mots de passe fuités sont rejoués automatiquement sur vos accès.
Domaine 3 / 40 / 3 réponses
03 · Sites & e-mail
Vos sites et votre messagerie
Ce que vos visiteurs voient, et ce qu'un usurpateur peut en faire.
Vos sites publics ont-ils des certificats TLS valides et des protocoles à jour ?
Un chiffrement faible ou expiré casse la confiance et peut exposer les échanges.
Les logiciels et CMS de vos sites publics (WordPress, etc.) sont-ils tenus à jour ?
Un CMS non patché a des failles publiques exploitées par scan automatique.
Votre domaine d'e-mail est-il protégé contre l'usurpation (SPF, DKIM et DMARC configurés) ?
Sans eux, on peut envoyer de faux mails en votre nom à vos clients.
Domaine 4 / 40 / 3 réponses
04 · Données, tiers & détection
Vos données et vos angles morts
Ce qui fuit sans intrusion, et ce que vous verriez (ou pas) en cas d'attaque.
Êtes-vous certain qu'aucun espace de stockage ou sauvegarde (cloud, partages) n'est accessible publiquement ?
Un espace ouvert expose des données sans la moindre intrusion : une URL suffit.
Avez-vous une vision claire des prestataires/fournisseurs qui ont un accès chez vous ou détiennent vos données, et de ce qui se passe si l'un d'eux est piraté ?
Une intrusion chez un fournisseur devient une intrusion chez vous.
Si une intrusion se produisait (connexion suspecte la nuit depuis l'étranger), seriez-vous alerté, et sauriez-vous en combien de temps ?
La détection moyenne se compte en semaines sans surveillance.
Dernière étape
Votre score détaillé
Votre score s'affiche immédiatement, avec les points à corriger en priorité.
Vos informations
Le site/domaine nous permet de vérifier votre exposition réelle avant un échange.
0%
Pour vérifier vous-même
Des outils gratuits pour contrôler chaque point en 5 minutes :
Domaines & sous-domaines· crt.sh
Services exposés· shodan.io
Certificats / TLS· ssllabs.com/ssltest
Mots de passe fuités· haveibeenpwned.com
SPF / DKIM / DMARC· mxtoolbox.com
Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.
.svg)