Découvrir ses sous-domaines exposés avec Certificate Transparency
Dernière mise à jour : 4 novembre 2026
Combien de sous-domaines votre organisation expose-t-elle sur Internet ? La plupart des réponses sous-estiment largement la réalité : un ancien environnement de recette, un outil installé par un prestataire, une interface d'administration qu'on croyait interne.
Il existe un moyen simple de le savoir, et il ne nécessite aucun scan, aucun outil offensif, aucune sollicitation de votre infrastructure.
Certificate Transparency : la transparence comme garde-fou
Avant 2013, une autorité de certification pouvait émettre un certificat pour n'importe quel domaine sans que son propriétaire n'en sache rien. Plusieurs incidents de certificats frauduleux ont conduit à une réponse structurelle : obliger la publication de chaque certificat émis dans des journaux publics, en ajout seulement et vérifiables cryptographiquement.
Depuis 2018, Chrome et Safari refusent tout certificat absent de ces journaux. Une autorité n'a donc pas le choix : publier ou être ignorée.
Le but est que vous puissiez détecter un certificat émis à votre insu. Mais cette transparence a un effet de bord : elle constitue aussi un inventaire public de tous les noms pour lesquels un certificat a été émis.
Ce que cela révèle, concrètement
Un domaine qui n'héberge qu'un site vitrine n'expose presque rien. En revanche, une organisation un peu équipée voit apparaître des noms qu'elle avait oubliés : interfaces de supervision, outils d'automatisation, forges logicielles, environnements de préproduction, applications internes publiées « juste pour un test ».
L'enjeu n'est pas que ces noms soient connus : ils le sont déjà. L'enjeu est que vous, vous ne les connaissiez pas. Un service d'administration oublié, non mis à jour depuis deux ans et joignable depuis Internet, est un risque beaucoup plus concret que la plupart des points d'une liste de conformité.
Comment consulter ces journaux
Plusieurs services indexent les journaux et les rendent interrogeables. Les deux principaux sont crt.sh et Cert Spotter.
Radar DNS le fait dans son onglet Exposition : il interroge les journaux, filtre les résultats sur le domaine demandé, et indique pour chaque nom s'il résout encore et depuis quand un certificat existe.
Ce filtrage n'est pas un détail. Les certificats mutualisés (un seul certificat couvrant des centaines de clients d'un même hébergeur) font remonter énormément de noms sans rapport avec vous. Sur un domaine que j'ai testé, la requête brute renvoyait 389 noms, dont deux seulement appartenaient réellement au domaine interrogé. Sans tri, vous consulteriez le voisinage d'hébergement de votre prestataire.
Deux limites à comprendre
Ce n'est pas un inventaire exhaustif
Seuls apparaissent les noms ayant obtenu un certificat TLS. Un service interne, un sous-domaine servi en HTTP simple ou un nom utilisé uniquement pour du DNS n'y figurent pas. L'absence d'un nom ne prouve rien.
Les journaux sont immuables
C'est leur propriété fondamentale : on ne peut rien y retirer. Un sous-domaine qui n'existe plus depuis trois ans reste visible pour toujours.
La bonne question n'est donc pas « comment faire disparaître ce nom ? » (c'est impossible), mais « ce service a-t-il vocation à être joignable publiquement ? ».
Que faire de la liste
Passez chaque nom en revue avec trois questions.
Est-il encore actif ? Un nom qui ne résout plus est une trace historique, sans risque. Un nom qui résout est un service joignable.
Doit-il être public ? Une interface d'administration, un outil de supervision ou un environnement de recette n'ont généralement rien à faire en accès libre. Les solutions existent : filtrage par adresse IP, réseau privé virtuel, portail d'authentification en amont. Aucune ne demande de supprimer le certificat.
Est-il à jour ? Les services oubliés sont rarement mis à jour. Un outil installé il y a trois ans et jamais touché depuis mérite soit une mise à jour, soit une extinction.
Un usage défensif, et une limite à ne pas franchir
Cette technique est utilisée aussi bien pour cartographier le patrimoine d'une organisation que pour préparer une attaque. La différence ne tient pas à l'outil, mais à ce qu'on en fait : et surtout à ce qu'on s'interdit.
La ligne de partage est claire : passif ou actif.
Lire un journal public ne touche pas l'infrastructure concernée et ne produit aucune information nouvelle. C'est ce que fait Radar DNS, et rien d'autre : il ne sollicite jamais les noms découverts, n'en devine aucun par dictionnaire, et n'effectue aucun test de port ni aucune tentative de connexion.
Ce qui relèverait d'une démarche offensive : énumérer des noms en testant des milliers de candidats, ce qui génère du trafic vers la cible et découvre des noms qu'aucun journal public ne contient ; sonder les services trouvés ; identifier les versions logicielles pour y chercher des failles.
La surveillance continue
L'intérêt premier de Certificate Transparency reste celui pour lequel il a été créé : détecter un certificat émis à votre insu.
Si un certificat apparaît pour un sous-domaine que vous n'avez pas demandé, c'est un signal sérieux : compromission d'un compte chez votre autorité de certification, prestataire ayant agi sans vous prévenir, ou usurpation en préparation.
Plusieurs services proposent une alerte par courriel gratuite dès qu'un certificat est émis pour votre domaine. C'est dix minutes de configuration pour une surveillance permanente, et c'est le complément naturel d'un inventaire ponctuel.
Pensez enfin aux enregistrements CAA, qui permettent de déclarer dans le DNS quelles autorités ont le droit d'émettre pour votre domaine. Les autorités sont tenues de les respecter : c'est la barrière en amont, là où Certificate Transparency est la détection en aval.