Trouvez les portes que vous aviez oublié de fermer.
Sous-domaines oubliés, enregistrements vulnérables au détournement, ports à risque qui répondent depuis Internet, et les mots de passe divulgués que les attaquants essaient en premier — vus de l'extérieur, avec votre accord là où il compte.
Les sous-domaines oubliés et les enregistrements DNS orphelins sont une porte d'entrée fréquente pour les attaquants. La surveillance continue vous aide à trouver et sécuriser les sous-domaines dont vous ignoriez l'exposition.
Ce que vous pouvez surveiller
Découvrez les hôtes oubliés, les ports ouverts, les équipements exposés et les mots de passe divulgués.
Découverte des sous-domaines
Recensez les sous-domaines de votre parc, y compris l'infrastructure oubliée ou fantôme.
Détection des détournements
Identifiez les enregistrements DNS orphelins qui pourraient permettre un détournement de sous-domaine.
Cartographie de l'exposition
Trouvez les sous-domaines exposant des services ou ports qui ne devraient pas être publics.
Suivi des changements
Surveillez les nouveaux sous-domaines dès leur apparition et signalez les ajouts inattendus.
Scan d'exposition
Avec votre accord, une simple connexion à une liste fixe de ports à risque (bureau à distance, bases de données, partage de fichiers, services d'IA auto-hébergés, et ports de contrôle des bâtiments et de l'industrie comme Modbus, Niagara, Siemens S7, EtherNet/IP, DNP3 et MQTT) sur les hôtes de vos domaines vérifiés et sur les adresses que vous ajoutez et que nous vérifions. Hebdomadaire et 34 ports en Pro ; quotidienne et 67 ports à partir de Growth. Les pages d'équipements et les serveurs web obsolètes sont reconnus dans les deux cas. Aucune tentative de connexion, aucun exploit, aucune comparaison avec une base de CVE : les numéros CVE, la liste KEV de la CISA et l’EPSS ne sont indiqués que pour les quelques failles suivies comme PHP2Shell, à partir de Pro.
Audit des mots de passe divulgués
Un script sur votre contrôleur de domaine Windows compare les empreintes des mots de passe à une liste publique de mots de passe divulgués. Seuls des décomptes nous parviennent : combien de comptes, et combien d'entre eux sont des administrateurs. À partir de Pro.
Équipements sur adresses nues
Un régulateur de froid ou de bâtiment, une caméra ou un routeur 4G répond souvent sur une adresse d'opérateur sans aucun nom sous votre domaine : c'est par là que l'attaque d'octobre 2026 contre le froid des supermarchés est entrée. Ajoutez l'adresse ; une fois que nous avons prouvé qu'elle est à vous, elle est analysée aussi. À partir de Pro, l'équipement est reconnu d'après le titre de page et le nom de serveur qu'il annonce lui-même, par exemple « interface web Danfoss AK-SM 800 accessible depuis Internet », avec une seule requête de page et sans connexion ; pour les anciens modèles Danfoss (AK-SM 800 d'avant la gamme « A », AK-SC 255 / 355), il indique aussi quand le fabricant les a arrêtés. Le constat, c'est l'accessibilité : nous disons ce qui répond et n'affirmons jamais une faiblesse.
Tests actifs sans risque
Des tests actifs sans risque, pas des données de ports en cache
Les outils gratuits vous disent quels ports quelqu'un d'autre a vus ouverts le mois dernier. SkyQon se connecte à vos propres hôtes vérifiés et les interroge directement : une négociation, une requête de page, sans connexion et sans charge utile.
Chiffrement ancien
Chaque analyse de certificats essaie aussi TLS 1.0, TLS 1.1 et une offre limitée à 3DES et RC4. Si le serveur en accepte un, la ligne du certificat indique ce qu'il a accepté, et chacun de ces points de terminaison coûte un point dans votre Digital Trust Score, cinq au maximum au total.
Serveurs web obsolètes
Quand un serveur web donne son nom, nous le comparons au calendrier de support de son éditeur : Microsoft IIS 8.5 et antérieur, Apache httpd 2.2 et antérieur, PHP 7.x et antérieur. Le constat indique la date de fin du support et la source.
Services d'IA exposés
Ollama, Qdrant et Milvus répondent sans connexion dans leur configuration par défaut. L'analyse d'exposition les recherche, ainsi que Gradio, Ray et Open WebUI lors de l'analyse approfondie.
PHP antérieur à sa version de sécurité
PHP a publié des versions de sécurité le 22 octobre 2026 pour la faille connue sous le nom de PHP2Shell. Lorsqu’un serveur affiche sa version de PHP, nous la comparons à ces versions. Les serveurs plus anciens passent en tête de liste, avec les étapes dans l’ordre : la mise à jour est la seule correction ; un VPN, une liste d’adresses autorisées ou une règle de pare-feu ne font que restreindre l’accès au serveur en attendant. Un constat se clôt lorsqu’une version corrigée est observée, et non lorsque la version est masquée.
Les versions qu’un serveur masque
De nombreux serveurs masquent leur numéro de version. À partir de l’offre Pro, l’agent SkyQon peut lire les versions de PHP, d’Apache et de nginx depuis l’intérieur du serveur, conteneurs compris, dès que vous activez l’option. Lorsque Debian, Ubuntu ou Red Hat ont livré la correction sous l’ancien numéro de version, la ligne indique « Corrigé par Debian » (ou Ubuntu, ou Red Hat) au lieu de déclencher une alerte.
Dans votre rapport NIS2
Le rapport de preuves NIS2 recense chaque serveur ayant fait tourner un logiciel antérieur à une version de sécurité pendant la période, ainsi que la date de sa correction. Le rapport destiné à la direction en reprend le nombre.
Une étape jusqu'à la correction
Un certificat qui expire ou qui n'est pas de confiance, dans la liste des certificats ou sur une ligne d'exposition, mène directement à Auto-Renew, qui émet et installe le remplaçant sur votre serveur et le confirme à l'analyse suivante.
Les contrôles TLS ancien s'exécutent sur chaque offre avec surveillance des certificats. L'analyse d'exposition requiert un domaine vérifié et l'accord d'un administrateur : analyse légère (34 ports, hebdomadaire, avec contrôles des serveurs web et des équipements) en Pro, analyse approfondie (67 ports, quotidienne) à partir de Growth.
Ce que vérifie chaque analyse
La configuration derrière chaque adresse
Quatre domaines, vérifiés sur chaque domaine, serveur de messagerie et adresse HTTPS que vous surveillez.
DNS et DNSSEC
Vérifiez la signature DNSSEC et l’état des serveurs de noms de vos domaines, et repérez les entrées DNS orphelines qui permettraient de prendre le contrôle d’un sous-domaine. Validez les enregistrements DANE (TLSA) par rapport au certificat que présente chaque serveur.
Protocoles SSL et TLS
Voyez chaque version de protocole, de SSL 2.0 à TLS 1.3, les suites de chiffrement et groupes d’échange de clés acceptés par chaque adresse, et les navigateurs et systèmes courants qui pourraient se connecter. Le détail complet est mesuré chaque semaine à partir de Pro.
Sécurité applicative
Vérifiez HSTS, la Content-Security-Policy, la protection contre l’affichage dans un cadre, les attributs des cookies, l’intégrité des sous-ressources et le contenu mixte sur la page d’accueil de chaque adresse HTTPS.
Sécurité SMTP
Vérifiez que chaque serveur de messagerie propose STARTTLS et que son enregistrement DANE correspond à son certificat. Voyez si SPF, DKIM, DMARC et MTA-STS sont publiés et appliqués.
Sécurisez les sous-domaines dont vous aviez oublié l'existence.
La surveillance continue vous aide à découvrir et fermer les expositions de sous-domaines avant que les attaquants ne les trouvent.