Méthode pas à pas
Un chemin reproductible, de la question à la conclusion.
- 1
Définir le périmètre
Listez marques, domaines, filiales, dirigeants exposés et services essentiels. Fixez les limites de l’audit et les autorisations nécessaires.
- 2
Constituer l’inventaire public
Relevez sites, sous-domaines connus, comptes officiels, applications, documents indexés et profils de collaborateurs à fonction sensible.
- 3
Repérer les écarts
Cherchez les actifs oubliés, redirections incohérentes, informations obsolètes, domaines ressemblants et pages qui divulguent plus que nécessaire.
- 4
Qualifier le risque
Évaluez la facilité d’exploitation, l’impact possible, l’exposition des personnes et l’existence de contrôles compensatoires.
- 5
Corriger et surveiller
Désignez un responsable, une échéance et une preuve de correction. Surveillez ensuite les nouveaux domaines, comptes et publications qui changent la surface.
Voir la surface comme un système
Un domaine secondaire peut conduire à une page de connexion obsolète ; un document public peut révéler une convention de nommage ; un faux compte peut exploiter la réputation d’un dirigeant. Pris séparément, ces éléments semblent mineurs. Leur combinaison peut faciliter une fraude.
L’audit commence donc par les actifs et leurs relations, pas par une liste générique de vulnérabilités. Les tests intrusifs et scans actifs restent hors périmètre sans autorisation explicite.
Prioriser ce qui change réellement le risque
Une information déjà publique n’a pas toujours besoin d’être supprimée. Demandez si elle facilite l’identification d’une cible, la crédibilité d’un message frauduleux, l’accès à un service ou une atteinte à la vie privée.
Traitez en premier les éléments à fort impact et correction simple : comptes abandonnés, domaines non renouvelés, documents exposant des coordonnées directes, procédures internes indexées ou absence de signalement clair des canaux officiels.
Passer de la photographie au cycle de veille
L’exposition évolue à chaque lancement, recrutement, prestataire ou campagne. Un inventaire daté, un propriétaire par actif et une revue régulière rendent la surveillance utile.
Mesurez les corrections réalisées, le délai de prise en charge et les actifs sans responsable. Un tableau court et maintenu vaut mieux qu’une cartographie spectaculaire devenue obsolète.
Erreurs fréquentes
Quatre raccourcis qui fragilisent le résultat.
Scanner sans autorisation
Une démarche défensive reste limitée aux observations publiques ou expressément autorisées.
Confondre visibilité et vulnérabilité
Une trace publique n’est pas automatiquement exploitable ; son contexte détermine le risque.
Oublier les personnes
Les dirigeants, équipes financières et porte-parole peuvent être des vecteurs d’usurpation.
Livrer sans responsable
Chaque correction doit avoir un propriétaire, une échéance et une vérification.
Questions pratiques
Questions fréquentes.
Un audit public remplace-t-il un test d’intrusion ?
Non. Il étudie la surface observable et les risques informationnels. Un test d’intrusion suit un cadre technique et des autorisations spécifiques.
Faut-il supprimer toutes les informations publiques ?
Non. Il faut équilibrer utilité, transparence, obligations et risque. La réduction doit être ciblée et proportionnée.
À quelle fréquence revoir l’exposition ?
Après tout changement important et selon le niveau de risque. Les domaines, comptes et actifs sensibles gagnent à être suivis en continu ou à intervalles courts.
Périmètre éditorial
Guide rédigé et relu par Internet Intelligence Service le 15 septembre 2026. Ce contenu pédagogique décrit une méthode légale et défensive. Il ne constitue ni un avis juridique, ni un service d’urgence, ni une instruction d’autorité.