Comparer des solutions EASM : huit critères pour une grille de choix neutre

Pourquoi un comparatif EASM vieillit-il si vite ?

Les comparatifs d’outils de gestion de la surface d’attaque externe se périment vite. Les offres sont rachetées, renommées, fondues dans des plateformes plus larges. Les tarifs publics sont rares et rarement comparables : l’un facture à l’actif, l’autre au domaine, un troisième au périmètre. Les notes d’avis en ligne mesurent la satisfaction d’acheteurs dont le contexte n’est pas le vôtre.

Une grille de critères vieillit mieux qu’un classement. Elle sert à comparer les offres de votre liste, sur votre périmètre, au moment où vous achetez. C’est l’objet de ce guide : huit critères, les questions à poser pour chacun et la façon de les vérifier pendant un essai.

Rappel de définition. Un outil EASM découvre, depuis Internet et sans accès interne, les actifs qu’une organisation expose (domaines, sous-domaines, adresses IP, services, certificats, applications), puis surveille leurs expositions dans la durée. Pour le concept lui-même, voir notre page consacrée à l’EASM.

Quels critères retenir pour comparer des offres ?

1. Découverte et attribution des actifs

C’est le cœur du sujet. La plupart des outils partent de points de départ connus (domaines, plages d’adresses, noms d’entités) puis cherchent par rebonds tout ce qui s’y rattache. Microsoft décrit ainsi son offre Defender EASM : la découverte part de discovery seeds et procède par connexions successives (Microsoft Learn).

Deux erreurs coûtent cher. La sous-découverte oublie la filiale rachetée l’an dernier ou l’application publiée par un prestataire. La sur-attribution rattache à votre organisation des actifs qui ne sont pas les vôtres : un hébergement mutualisé, un homonyme, un ancien domaine revendu. Demandez comment l’outil justifie chaque rattachement (enregistrement DNS, certificat, données d’enregistrement) et comment vous corrigez une attribution erronée.

2. Fréquence de découverte et de test

« Continu » ne dit rien du rythme réel. Distinguez trois délais : la redécouverte de l’inventaire, le test des actifs découverts et la prise en compte d’un actif nouvellement exposé. À titre de repère public, la directive opérationnelle BOD 23-01 de la CISA impose aux agences fédérales américaines une découverte automatisée des actifs tous les 7 jours et une énumération des vulnérabilités tous les 14 jours (CISA). Ce n’est pas une norme pour une entreprise française, mais c’est un ordre de grandeur utile pour cadrer la discussion.

3. Qualité des constats et faux positifs

Un outil EASM produit vite des milliers de lignes. Ce qui compte : la part de constats réellement exploitables, la présence d’une preuve (requête, réponse, capture), la déduplication et la clarté de la recommandation. Ne retenez aucun taux de faux positifs annoncé par un éditeur, quel qu’il soit : mesurez-le vous-même, sur un échantillon de constats tiré pendant l’essai.

4. Validation de l’exploitabilité

Détecter une version vulnérable ne prouve pas qu’elle est exploitable. Certaines offres s’arrêtent à la détection, d’autres ajoutent une validation automatisée, d’autres une validation humaine par des pentesteurs. Demandez ce qui est validé, par qui, à quel rythme, et dans quel cadre : accord écrit avant tout test intrusif, fenêtres de test, actifs exclus.

5. Contexte et priorisation

Une même exposition ne pèse pas pareil sur la vitrine institutionnelle et sur le portail de paie. Vérifiez que l’outil permet de saisir la criticité métier, qu’il croise ses constats avec les signaux d’exploitation (catalogue KEV, score EPSS) et qu’il explique son ordre de priorité. Nous détaillons ces signaux dans notre guide CVSS, EPSS et KEV.

6. Intégration au reste de la gestion de l’exposition

L’EASM voit l’extérieur. L’inventaire interne, la gestion des vulnérabilités et le suivi des corrections vivent ailleurs. Un outil isolé produit une liste de plus. Examinez l’export et l’API, la création de tickets, le rejeu après correction et le rapprochement avec l’inventaire interne. Plusieurs offres du marché sont aujourd’hui des briques de plateformes plus larges : c’est un atout si vous utilisez déjà la plateforme, une dépendance de plus sinon. Dans une démarche de gestion continue de l’exposition (CTEM), l’EASM n’est que l’étape de découverte.

7. Hébergement et juridiction des données

Un inventaire EASM est une carte de vos points d’entrée : c’est une donnée sensible. Trois questions sont distinctes : où les données sont stockées, qui les opère et quel droit s’applique à l’éditeur. La localisation ne règle pas tout. Le droit américain (18 U.S.C. § 2713, issu du CLOUD Act de 2018) oblige les fournisseurs qui y sont soumis à conserver ou communiquer les données en leur possession sur réquisition, qu’elles soient situées aux États-Unis ou à l’étranger (texte de la loi). Demandez la région d’hébergement, l’entité juridique contractante et la liste des sous-traitants.

8. Réversibilité

Que récupérez-vous en partant : inventaire, historique des constats, preuves, et dans quel format ? Dans quel délai les données sont-elles détruites ? La documentation de Defender EASM indique par exemple que les données client sont stockées dans la région choisie et supprimées dans les 180 jours suivant la fin de la relation. Côté droit européen, le règlement (UE) 2023/2854, applicable depuis le 12 septembre 2025, encadre dans son chapitre VI le changement de fournisseur de services de traitement de données ; son application à une offre précise se vérifie avec votre juriste.

La grille en un tableau

Quelques faits publics sur des offres du marché

Le tableau ci-dessous rassemble des faits publics, datés et sourcés, sur quelques offres présentes sur le marché français. Ce n’est ni un classement ni une recommandation : l’ordre suit la date des faits cités, et l’absence d’un éditeur ne dit rien de son offre. BEAROPS édite l’une de ces offres ; la même règle s’applique à toutes. Faits vérifiés le 8 novembre 2026.

Le module EASM de Beareye fait remonter ses constats dans le Command Center, aux côtés de l’inventaire interne et des fonctions de gestion des vulnérabilités, de CTEM et de Red Team automatisée. Technologie développée en France, sans exposition au Cloud Act. Notre doctrine d’hébergement et de souveraineté détaille ces points. Il se soumet à la même grille que les autres offres.

Exemple : un essai comparatif sur trois offres

Exemple type. Un groupe de services de taille intermédiaire, composé de trois filiales dont une rachetée récemment, présélectionne trois offres EASM. Il fournit à chacune les mêmes points de départ : deux domaines principaux et le nom des trois entités juridiques.

Au bout de deux semaines, les inventaires diffèrent nettement. Un outil a manqué l’essentiel de la filiale rachetée, dont les domaines restaient enregistrés au nom de l’ancien propriétaire. Un autre a rattaché au groupe une série d’adresses d’un hébergeur mutualisé. L’équipe sécurité tire au hasard trente constats par outil et les vérifie à la main.

C’est ce taux de constats exploitables, mesuré sur son propre périmètre, qui départage les offres, avec deux questions posées avant la signature : la région d’hébergement et le format d’export en fin de contrat.

Ce scénario est construit à partir de situations courantes en mission, pas à partir d’un client identifiable.

Comment conduire l’essai ?

1. Mêmes points de départ pour tous. Sans cela, vous comparez les données d’entrée, pas les outils.
2. Même durée et même période. Une surface d’attaque change d’une semaine à l’autre.
3. Un inventaire de référence. Préparez une liste d’actifs connus, dont quelques actifs oubliés que vous avez déjà identifiés : ils mesurent la découverte.
4. Un échantillon vérifié à la main. Trente constats par outil suffisent à distinguer un outil précis d’un outil bavard.
5. Une pondération décidée avant l’essai. Une organisation multi-filiales pèsera la découverte ; une organisation déjà outillée pèsera l’intégration.
6. Les clauses avant la signature. Hébergement, sous-traitants et réversibilité se négocient avant, rarement après.

Limites de cette grille

Aucune grille ne remplace un essai sur votre périmètre : les écarts entre offres tiennent souvent à la forme particulière de votre surface (filiales, historique de noms de domaine, hébergeurs).

Les faits publics sur les éditeurs vieillissent : rachats, changements de nom, évolutions d’offre. Ceux de ce guide sont datés ; revérifiez-les au moment de votre consultation.

Enfin, l’EASM ne voit que l’extérieur. Il ne dit rien de l’annuaire interne, des droits excessifs ni de la logique d’une application. Un test d’intrusion reste nécessaire pour éprouver ce qu’un outil automatique ne sait pas chercher.