Cyber Essentials vu de l’extérieur : ce qu’Internet montre
Quelles exigences de Cyber Essentials laissent une trace visible depuis Internet, comment les vérifier avant l’évaluation, et ce que le référentiel ne couvre pas.
Cyber Essentials est le référentiel de sécurité de base du gouvernement britannique, exigé pour certains marchés publics au Royaume-Uni et souvent demandé aux fournisseurs. Il porte surtout sur l’intérieur : postes, comptes, mises à jour. Mais plusieurs de ses exigences ont une face visible. Une page de connexion de pare-feu exposée, un serveur dont l’éditeur a abandonné le logiciel, un portail d’accès distant en retard de trois versions : tout cela se lit depuis Internet, par un évaluateur, par un client qui vérifie ses fournisseurs, et par un attaquant. Ce guide parcourt les cinq contrôles et indique, pour chacun, ce qui se voit de l’extérieur et comment le regarder vous-même.
Il suit le document du NCSC Requirements for IT Infrastructure, version 3.3, en vigueur depuis le 27 avril 2026 avec le questionnaire Danzell. Il ne remplace pas ce document, et rien ici n’est une certification.
Les cinq contrôles, et ce qui se voit de chacun
| Contrôle | Ce que demandent les exigences (en bref) | Ce qui est visible depuis Internet |
|---|---|---|
| Pare-feu | Bloquer par défaut les connexions entrantes non authentifiées ; documenter chaque règle entrante ; garder les interfaces d’administration hors d’Internet, sauf besoin documenté | Ports et services ouverts ; pages de connexion de routeur, de pare-feu et de VPN |
| Configuration sécurisée | Retirer les logiciels et services réseau inutiles ; changer les mots de passe par défaut ; authentifier avant tout accès aux données | Services oubliés et serveurs de test ; panneaux d’administration ; pages par défaut |
| Gestion des mises à jour de sécurité | Uniquement des logiciels sous licence et maintenus ; correctifs critiques et à haut risque sous 14 jours | Versions annoncées par les serveurs ; produits en fin de vie ; vulnérabilités connues correspondant à ces versions |
| Contrôle des accès | Double authentification toujours active sur les services cloud ; protection contre l’essai de mots de passe | Pages de connexion accessibles à tous (la double authentification derrière ne se voit pas) |
| Protection contre les logiciels malveillants | Antivirus ou liste d’applications autorisées sur les appareils | Rien : ce contrôle est interne |
1. Pare-feu : ce qui répond à Internet
L’exigence s’énonce simplement : les connexions entrantes sont bloquées par défaut, chaque ouverture est approuvée et consignée avec sa raison, et les ouvertures devenues inutiles sont fermées. Les interfaces d’administration des pare-feu et des routeurs ne doivent pas être joignables depuis Internet sans besoin documenté ; quand l’une l’est, elle doit être protégée par une double authentification, ou par une liste d’adresses autorisées associée à des mots de passe correctement gérés.
De l’extérieur, c’est le contrôle le plus lisible. Des index publics comme Shodan et Censys enregistrent quels ports répondent sur chaque adresse publique, sans que personne ne vous scanne exprès. Ce qu’il faut y chercher est décrit dans Ports ouverts : bases de données et bureau à distance exposés à Internet. Les surprises habituelles : un bureau à distance laissé ouvert « pour le comptable », et la page de gestion du routeur du bureau.
Partez de la liste de ce qui vous appartient : la carte DNS et de surface liste les hôtes d’un domaine et leurs adresses. Un hôte absent de votre propre inventaire est le premier constat.
2. Configuration sécurisée : ce qui ne devrait pas être là
Les exigences demandent de retirer ou de désactiver les logiciels et services réseau dont vous n’avez pas besoin, et de vous assurer que les utilisateurs sont authentifiés avant d’atteindre les données de l’organisation.
Vu de l’extérieur, c’est le serveur de test que personne n’a éteint, l’outil d’administration de base de données sur une adresse publique, la copie de préproduction du site. Les journaux de certificats sont le moyen le plus rapide de les trouver : chaque certificat émis pour un nom de votre domaine est public. Voir Surveiller la transparence des certificats. Un sous-domaine qui pointe encore vers un service résilié est un risque à part, traité dans Prise de contrôle de sous-domaine.
3. Mises à jour de sécurité : les versions aussi sont publiques
Tous les logiciels du périmètre doivent être sous licence et maintenus, et les mises à jour qui corrigent des vulnérabilités classées critiques ou à haut risque (ou de score CVSS v3 de 7 ou plus, ou sans gravité indiquée par l’éditeur) doivent être appliquées dans les 14 jours suivant leur publication. Les logiciels non maintenus doivent être retirés, ou isolés d’Internet.
Les serveurs exposés annoncent souvent leur produit et leur version. Les index publics rapprochent ces versions des vulnérabilités connues, et les attaquants les interrogent de la même façon. Une passerelle VPN ou un serveur de messagerie dont la version a plusieurs années est visible de tous, bien avant qu’un évaluateur ne pose la question.
Cela compte surtout pour Cyber Essentials Plus, où l’organisme de certification réalise un scan de vulnérabilités externe de vos adresses exposées. Découvrir un produit en fin de vie sur votre périmètre la semaine précédant l’audit coûte cher ; le découvrir trois mois avant est un travail ordinaire.
Une réserve : une version vue de l’extérieur est un indice, pas une preuve. Certains éditeurs corrigent des failles sans changer le numéro affiché, et une adresse placée derrière un CDN montre le CDN, pas votre serveur.
4. Contrôle des accès : les portes, pas les serrures
La double authentification doit toujours être utilisée pour les services cloud, et les comptes doivent être protégés contre l’essai de mots de passe. Rien de cela ne se vérifie de l’extérieur : une page de connexion a le même aspect avec ou sans double authentification derrière.
Ce qui se voit, c’est le nombre de portes : messagerie web, portails VPN, passerelles d’accès distant, connexions d’administration du site. Chacune est un endroit où des mots de passe sont essayés toute la journée. La vue extérieure vous donne la liste à confronter, une à une, à votre politique de double authentification.
5. Protection contre les logiciels malveillants
Rien de ce contrôle n’est visible depuis Internet. Il se vérifie sur les appareils.
Ce que Cyber Essentials ne demande pas
Le référentiel est un socle, volontairement court. Le document d’exigences ne fixe aucune règle sur plusieurs choses qu’un tiers voit en premier :
- L’authentification des e-mails. SPF, DKIM et DMARC décident si n’importe qui peut envoyer du courrier en votre nom. Ils sont hors des cinq contrôles. Voir SPF, DKIM et DMARC expliqués, et testez un domaine avec le vérificateur gratuit.
- Les certificats et les réglages HTTPS, contrôlés par le vérificateur de certificat et d’en-têtes.
- Le durcissement du DNS, comme DNSSEC et CAA.
- Les domaines sosies enregistrés pour imiter le vôtre.
- Les sauvegardes : la version 3.3 souligne leur importance, sans en faire une exigence.
Un certificat au mur et un domaine que n’importe qui peut usurper peuvent coexister. Les clients qui vérifient leurs fournisseurs de l’extérieur verront le second.
Une vérification à faire avant l’évaluation
- Listez chaque hôte de vos domaines et chaque adresse publique que vous utilisez, cloud compris : les services cloud ne peuvent pas être exclus du périmètre.
- Pour chaque adresse, notez ce qui répond. Chaque service ouvert doit avoir un responsable et une raison ; fermez le reste.
- Cherchez les interfaces d’administration. Sortez-les d’Internet, ou placez une double authentification devant.
- Notez chaque produit et chaque version affichés. Ce qui n’est plus maintenu part, ou est isolé.
- Listez chaque page de connexion, et confirmez la double authentification sur chacune.
- Recommencez après chaque changement, et pas seulement une fois par an : le certificat dure douze mois, un port ouvert est trouvé en quelques jours.
Perimetry Cloud réalise cette vue extérieure en continu pour les domaines que vous ajoutez, à partir de sources publiques et sans scanner vos systèmes, et vous prévient quand quelque chose change. Il ne certifie rien : la certification est délivrée par un organisme de certification agréé par l’IASME.