Sécurité

Sous-domaines oubliés : le risque de sécurité invisible de votre entreprise

Mis à jour le 22 octobre 2026 · 8 minutes de lecture

Une landing page créée pour une campagne terminée depuis deux ans. Un environnement de test mis en place par un ancien prestataire. Un outil marketing désinstallé sans que personne ne pense à retirer le DNS. Chacun de ces sous-domaines oubliés est un vestige invisible — jusqu'au jour où un pirate s'en empare pour l'utiliser contre vous.

Qu'est-ce qu'un sous-domaine oublié, concrètement ?

Un sous-domaine, c'est tout ce qui se trouve avant votre nom de domaine principal : promo.votresite.fr, test.votresite.fr, app.votresite.fr ou demo.votresite.fr en sont des exemples. Chaque fois qu'une agence, un prestataire ou un collaborateur crée un service temporaire, il ajoute un enregistrement DNS pour le relier à votre domaine.

Le problème survient quand le service s'arrête — fin de campagne, changement d'outil, départ du prestataire — mais que personne ne supprime l'enregistrement DNS correspondant. Le sous-domaine continue d'exister dans la configuration de votre domaine, pointé vers un service qui n'existe plus. Il devient une porte restée entrouverte.

Le vrai danger : la prise de contrôle de sous-domaine

Ce risque a un nom technique : le subdomain takeover, ou prise de contrôle de sous-domaine. Son principe est redoutablement simple :

1. Votre sous-domaine promo.votresite.fr pointe (via un enregistrement CNAME) vers une plateforme tierce : un service d'hébergement de pages, un outil de création de landing pages, une boutique en ligne clé en main, un hébergeur de fichiers statiques.
2. Le compte utilisé sur cette plateforme est supprimé ou arrive à expiration — mais l'enregistrement DNS, lui, reste en place puisque personne ne l'a retiré.
3. Un pirate repère ce sous-domaine « orphelin » et crée à son tour un compte sur la même plateforme, en réclamant le même identifiant. La plateforme accepte : plus rien ne s'oppose à ce que votre sous-domaine serve désormais son contenu.

Résultat : promo.votresite.fr affiche maintenant une page créée par un inconnu — tout en conservant la confiance associée à votre nom de domaine officiel. C'est précisément ce qui rend cette attaque si efficace et si peu détectée.

Comment ces sous-domaines apparaissent, sans que personne ne s'en rende compte

Il est rare qu'une entreprise décide consciemment de laisser un sous-domaine sans surveillance. Le problème vient presque toujours d'un enchaînement banal :

• Une campagne marketing ponctuelle. Un sous-domaine créé pour un jeu-concours ou une offre saisonnière, jamais désactivé après la fin de l'opération.
• Un environnement de test ou de développement. staging. ou dev., mis en place pendant la construction du site et laissé accessible après la mise en ligne.
• Le départ d'un prestataire. L'agence précédente a créé plusieurs sous-domaines pour ses besoins internes, sans transmettre la liste au client en partant.
• Un outil SaaS désinstallé. Logiciel de support client, plateforme d'e-mailing ou d'automatisation marketing : l'abonnement a été annulé, mais le sous-domaine pointant vers lui est resté dans les DNS.
• Une filiale ou un événement ponctuel. Salon professionnel, lancement de produit, site dédié à une opération spéciale, créé puis abandonné.

Pris individuellement, chacun de ces cas semble anecdotique. Mais une PME qui gère son site depuis plusieurs années accumule souvent une dizaine de sous-domaines sans le savoir précisément — et c'est encore plus vrai pour une agence qui gère les sites de plusieurs clients.

Les conséquences concrètes pour une TPE/PME

Un sous-domaine détourné n'est jamais « juste » un détail technique. Les conséquences touchent directement l'activité et l'image de l'entreprise :

• Phishing crédible. Un e-mail frauduleux renvoyant vers compte.votresite.fr paraît parfaitement légitime, puisque le domaine est le vôtre. Vos clients ou vos employés baissent naturellement leur garde.
• Référencement et réputation entachés. Du contenu de spam ou une page malveillante hébergée sur un de vos sous-domaines peut faire classer l'ensemble de votre domaine dans les listes de sites dangereux de Google, exactement comme décrit dans notre article sur Google Safe Browsing.
• Vol de cookies et de sessions. Selon la configuration de votre site, un sous-domaine compromis peut parfois accéder aux cookies partagés avec le domaine principal, ouvrant la voie à un vol de session utilisateur.
• Perte de confiance durable. Un client qui tombe sur une page frauduleuse hébergée sous votre nom de domaine retiendra l'incident bien plus longtemps que votre explication technique après coup.

Comment détecter vos sous-domaines oubliés

La bonne nouvelle, c'est que ce risque se corrige facilement une fois identifié. L'étape indispensable est de dresser un inventaire complet de ce qui existe réellement.

1. Demandez la liste complète des enregistrements DNS

Connectez-vous à l'espace client de votre bureau d'enregistrement ou de votre hébergeur et affichez la zone DNS complète de votre domaine. Chaque ligne « CNAME » ou « A » commençant par un nom différent de www ou du domaine lui-même est un sous-domaine actif — qu'il serve réellement ou non.

2. Utilisez un outil de découverte de sous-domaines

Plusieurs services en ligne gratuits interrogent les journaux publics de certificats SSL (tout sous-domaine ayant un jour reçu un certificat HTTPS y laisse une trace) pour dresser la liste de tout ce qui a existé sous votre nom de domaine, y compris ce que vous avez oublié. C'est souvent à ce moment qu'apparaissent les surprises.

3. Testez chaque sous-domaine identifié

Ouvrez-les un par un dans votre navigateur. Trois cas de figure sont possibles :

Comment sécuriser ou nettoyer vos sous-domaines

Une fois l'inventaire terminé, le nettoyage suit une règle simple : chaque sous-domaine doit soit servir activement, soit être supprimé. Il n'existe pas de position intermédiaire sûre.

• Supprimez l'enregistrement DNS de tout sous-domaine dont le service associé n'existe plus. C'est l'action la plus simple et la plus efficace : sans enregistrement DNS, il n'y a plus rien à détourner.
• Reprenez la main sur le service si le sous-domaine doit rester actif : recréez un compte à votre nom sur la plateforme concernée plutôt que de laisser le champ libre à quiconque passerait par là.
• Documentez chaque sous-domaine créé à l'avenir, avec sa raison d'être et sa date de fin prévue, dans un document partagé avec votre agence ou votre équipe.
• Prévoyez une étape de nettoyage DNS dans votre procédure de fin de contrat avec un prestataire, au même titre que la récupération des accès décrite dans notre article sur qui est propriétaire de votre site.

Intégrer la surveillance des sous-domaines à votre routine

Un inventaire ponctuel ne suffit pas : de nouveaux sous-domaines apparaissent au fil des campagnes et des projets, et chacun peut redevenir orphelin quelques mois plus tard. Le bon réflexe est de répéter cette vérification à intervalle régulier, surtout si plusieurs personnes ou prestataires ont la main sur votre zone DNS.

Pour une agence qui gère de nombreux domaines clients, ce risque se démultiplie : c'est l'un des angles morts les plus fréquents d'une surveillance multi-sites mal cadrée. Mieux vaut inclure explicitement les sous-domaines sensibles dans le périmètre surveillé plutôt que de se limiter au site principal.

Questions fréquentes