Dans cet article
La surface d'attaque externe, c'est tout ce que votre entreprise expose sur internet et que n'importe qui peut voir et tenter d'ouvrir sans mettre les pieds au bureau : ports ouverts, consoles d'administration, VPN, pare-feu, domaines, sous-domaines et adresses e-mail. Dans la plupart des entreprises, elle est plus étendue que la direction ne l'imagine. La réduire est un travail continu d'inventaire, de fermeture, de mise à jour et de surveillance, qui fait partie de la cybersécurité gérée.
Pourquoi c'est important maintenant
- Les attaques sont automatisées Des programmes balayent internet à la recherche d'équipements présentant des failles connues ; la taille de l'entreprise n'entre pas en ligne de compte.
- Les failles sont exploitées rapidement La CISA, l'agence américaine de cybersécurité, tient le catalogue KEV des vulnérabilités déjà exploitées et exige des agences fédérales qu'elles corrigent les nouvelles en deux semaines.
- Les incidents augmentent au Portugal Le CERT.PT a enregistré 3 864 incidents en 2025, soit 40 % de plus qu'en 2024, selon les données du CNCS.
Une image simple : les portes du bâtiment
La porte principale de l'entreprise a une serrure et une alarme. Mais il y a aussi la porte de derrière et le garage qu'un fournisseur a utilisé il y a trois ans. La surface d'attaque, c'est l'ensemble des entrées, y compris celles qu'on a oubliées.
Dans le monde numérique, une porte est un canal numéroté par lequel un équipement accepte des connexions. Celle du site web est ouverte exprès ; celle de la console d'administration du pare-feu ou du serveur ne devrait pas être ouverte au monde entier. Des moteurs de recherche répertorient chaque jour tous les ports ouverts de la planète. L'attaquant ne cherche pas votre entreprise : il filtre la liste.
Les cinq expositions les plus courantes
Des consoles d'administration visibles
Box d'opérateur, pare-feu, NAS, caméras de vidéosurveillance et imprimantes ont des pages d'administration. Accessibles depuis internet, elles invitent aux tentatives répétées de mots de passe ou à l'exploitation des failles connues du modèle.
Pare-feu et VPN non mis à jour
Le VPN est, par nature, tourné vers internet. Quand un constructeur publie un correctif, les attaquants l'étudient et cherchent ceux qui ne l'ont pas encore installé. Les équipements d'accès distant figurent régulièrement dans le catalogue KEV, et le délai de deux semaines de la CISA est une bonne référence pour toute entreprise. Voyez pourquoi reporter les mises à jour coûte cher.
Bureau à distance ouvert
Exposer directement le RDP de Windows, « juste pour que le comptable puisse se connecter le week-end », ouvre l'une des portes les plus recherchées. L'accès doit passer par un VPN ou par une solution avec vérification d'identité ; lisez pourquoi le VPN seul ne suffit plus.
Sous-domaines et domaines oubliés
boutique.entreprise.pt, test.entreprise.pt, la campagne de 2019 : chaque sous-domaine pointe quelque part. Si la destination a été arrêtée mais que l'enregistrement est resté, un tiers peut, dans certains cas, occuper l'adresse au nom de l'entreprise. Et un domaine qui expire emporte avec lui le site et la messagerie, comme nous l'expliquons dans domaines et certificats qui expirent.
Les e-mails de l'équipe exposés
Ils apparaissent sur le site, sur LinkedIn et dans des fuites de données d'autres services. On ne peut pas les cacher, mais on peut savoir lesquels sont les plus exposés et s'assurer qu'aucun compte ne dépend uniquement d'un mot de passe. Selon le CNCS, environ la moitié des incidents de 2025 ont exploité des vulnérabilités humaines, le phishing en tête.
Ce que vérifie un diagnostic externe
La mesure se fait de l'extérieur, comme le ferait un attaquant, mais avec autorisation et rapport final.
| Élément | Méthode | Signal d'alerte |
|---|---|---|
| IP publiques | Contrats internet de chaque bureau et services cloud | Personne ne sait combien il y en a |
| Ports ouverts | Balayage autorisé de chaque IP | Consoles, RDP, bases de données ou partages visibles |
| Pare-feu et VPN | Identification de la version et comparaison avec les avis du constructeur et le catalogue KEV | Version présentant une faille connue et exploitée |
| Sous-domaines | DNS et registres publics de certificats | Adresses pointant vers des services arrêtés |
| Domaines et certificats | Dates d'expiration et titulaire | Enregistrement au nom d'un ancien collaborateur ou d'un ancien fournisseur |
| SPF, DKIM, DMARC et fuites de données | Un domaine que n'importe qui peut usurper |
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Quatre étapes pour réduire l'exposition
- Inventorier — IP publiques, domaines, sous-domaines et équipements exposés, chacun avec un responsable. Ce qui n'a pas de propriétaire finit oublié.
- Fermer par défaut — ce qui n'a pas besoin d'être ouvert est fermé ; consoles uniquement via le réseau interne ou le VPN ; accès distant toujours avec MFA.
- Mettre à jour ce qui reste — pare-feu, VPN et routeurs à jour, avec un délai défini pour les correctifs critiques ; les équipements qui ne sont plus supportés par le constructeur sont remplacés.
- Surveiller en continu — la surface évolue avec chaque nouvel équipement ou service ; vérification au moins mensuelle, avec alertes en cas de nouveau port.
Chez DataRoad, le pare-feu géré, les mises à jour et la supervision avec alertes sont inclus dans les services gérés IT Unlimited. Avec la formule Premium, l'assistance sur site est également incluse, utile lorsqu'il faut remplacer un équipement ancien.
Cas réel : FreshDesign, un accès distant par un seul chemin
FreshDesign devait protéger son bureau, offrir un accès distant sécurisé à son équipe et continuer à travailler en cas de panne internet. DataRoad a installé un pare-feu de nouvelle génération avec prévention des intrusions et rapports avec alertes, créé un VPN SSL pour un accès chiffré aux serveurs internes et configuré deux connexions internet avec basculement automatique.
La maintenance a été intégrée au contrat IT Unlimited : firmware, ajustement des politiques et stabilité du VPN. Un chemin contrôlé, mis à jour par contrat et non « quand on aura le temps ». Lisez la référence FreshDesign : pare-feu et VPN.
Questions fréquentes
Une petite entreprise est-elle vraiment une cible ?
Oui. La plupart des attaques contre la surface externe sont automatisées et recherchent des versions logicielles vulnérables, quelle que soit la taille de l'entreprise.
Tester la surface d'attaque peut-il causer des problèmes ?
Une vérification externe bien menée est discrète et convenue à l'avance. Elle identifie ce qui est visible et dans quelle version, sans tenter d'entrer ; les tests plus intrusifs sont planifiés avec l'entreprise.
À quelle fréquence faut-il vérifier ?
Au moins une fois par mois et à chaque changement : nouveau bureau, nouvelle connexion, nouveau service cloud ou nouveau pare-feu. L'idéal est une surveillance continue avec alertes.
L'opérateur internet ne s'en charge-t-il pas ?
Généralement non. L'opérateur fournit la connexion et parfois le routeur ; ce qui reste ouvert et à jour relève de l'entreprise ou de celui qui gère son infrastructure.
Demandez la cartographie de votre surface d'attaque
En 5 jours ouvrés, nous relevons ce qu'internet voit de votre entreprise — IP, ports, pare-feu, VPN, domaines, sous-domaines et e-mail — et livrons un rapport avec des priorités classées par risque. Proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.
+351 211 459 950* · sales@dataroad.pt
*Appel vers un fixe portugais.
