Le test d’intrusion externe évalue ce qu’un attaquant peut atteindre depuis Internet, sans aucun accès préalable. C’est le point d’entrée d’un grand nombre de compromissions : une passerelle d’accès distant non mise à jour, un portail sans second facteur, une application publiée que plus personne ne suit.
Externe ou applicatif : comment choisir
Ces deux prestations se recoupent sur un point — toutes deux touchent à des applications accessibles depuis Internet — mais elles ne répondent pas à la même question.
Le test externe travaille en largeur. Son objet est l’ensemble de ce que votre organisation expose : combien de portes existent réellement, lesquelles vous aviez oubliées, lesquelles s’ouvrent. Sur les applications rencontrées, il vérifie ce qui se voit depuis l’extérieur — version obsolète, compte par défaut, interface d’administration accessible, authentification contournable — sans dérouler la logique fonctionnelle.
Le test applicatif travaille en profondeur, sur une application désignée. Il suppose des comptes de test pour chaque rôle et cherche ce qui ne se voit pas de l’extérieur : accès aux données d’un autre client, contournement d’une étape de processus, défauts de cloisonnement.
En résumé, le test externe répond à « par où peut-on entrer ». Le test applicatif répond à « cette application-ci peut-elle être détournée ». Une organisation qui publie une application métier sensible a besoin des deux ; elles se commandent séparément.
Phases
- Reconnaissance — cartographie de la surface réellement exposée à partir du périmètre déclaré : noms de domaine et sous-domaines, enregistrements DNS, journaux de transparence des certificats, plages d’adresses, services accessibles, technologies et versions, informations publiquement disponibles exploitables par un attaquant.
- Analyse — identification des services vulnérables, des composants en fin de support et des expositions non intentionnelles.
- Exploitation contrôlée — tentative d’obtention d’un accès, dans les limites définies par les règles d’engagement.
- Évaluation de l’impact — ce que permet concrètement l’accès obtenu, et jusqu’où il mène.
Points systématiquement examinés
- Inventaire réel — écart entre ce que vous pensez exposer et ce qui l’est effectivement. Cette phase révèle presque toujours des actifs oubliés : environnements de recette accessibles, sous-domaines pointant vers des services tiers désaffectés, machines mises en ligne pour un besoin ponctuel et jamais retirées.
- Équipements de bordure et accès distants — passerelles VPN, portails de bureau à distance, solutions de transfert de fichiers. Ce sont les cibles les plus rentables pour un attaquant : une vulnérabilité y donne directement accès au réseau interne, et les correctifs y sont souvent appliqués plus lentement qu’ailleurs.
- Interfaces d’administration publiées sans restriction d’accès.
- Portails d’authentification — présence et robustesse du second facteur, résistance à la pulvérisation de mots de passe, énumération de comptes, comptes par défaut, verrouillage effectif.
- Composants non maintenus et vulnérabilités connues faisant l’objet d’une exploitation active.
- Fuites d’informations techniques — messages d’erreur détaillés, en-têtes révélant des versions, fichiers de configuration accessibles, secrets présents dans des dépôts publics.
- Configuration de la messagerie — enregistrements SPF, DKIM et DMARC, et possibilité d’usurper votre domaine dans un courriel.
Écart avec un scan automatisé
Un scanner de vulnérabilités produit une liste de signatures. Un test d’intrusion externe consiste à vérifier ce qui est réellement exploitable, à écarter les faux positifs et à mesurer l’impact d’un accès obtenu. Les outils automatisés servent de point de départ, pas de conclusion.
Résultat
Un inventaire de la surface d’exposition réelle, la liste des vulnérabilités confirmées avec leur niveau de criticité, les preuves associées, et les actions correctives ordonnées par priorité.