quelle approche choisir ?
La notation cyber mesure une posture externe globale. Le DAST teste activement une application connue. Le pentest valide en profondeur des scénarios d'attaque sur un périmètre défini. Le Web ASM découvre et surveille les actifs web exposés afin d'identifier les changements et de prioriser les corrections. Ces quatre approches sont complémentaires, et non interchangeables.
Ce que chaque approche apporte — et ses limites
Quatre familles de solutions, souvent confondues. Aucune n'est « meilleure » dans l'absolu : elles répondent à des besoins différents.
La notation cyber
Une évaluation automatisée et non intrusive de la posture visible depuis l'extérieur, synthétisée en un score par domaines (messagerie, TLS, services exposés, réputation…). Mise à jour régulière, benchmark sectoriel.
Elle crée un langage commun avec les non-experts — direction, conseil d'administration, assureurs, grands comptes — et objective une tendance. Un excellent thermomètre… qui indique la fièvre mais ne pose pas le diagnostic.
- Gouvernance et reporting direction
- Évaluation de tiers à l'échelle (TPRM)
- Signaux de surface : rarement quelle app, quelle version, quelle faille
- La note plafonne une fois les points faciles corrigés
Le scanner web (DAST)
Le DAST teste activement une application en fonctionnement en lui envoyant des requêtes conçues pour révéler des vulnérabilités. Selon sa configuration, il peut générer un trafic important ou modifier l'état de l'application.
Il peut être lancé à la demande, planifié ou intégré à un processus CI/CD. Rejouable à volonté, il couvre un large éventail de failles techniques classiques sur les applications qu'on lui désigne, sans mobiliser un expert à chaque passage.
- Détection automatisée des failles techniques courantes
- Rejouable, intégrable au cycle de développement (CI/CD)
- Actif : selon la configuration, il peut générer du trafic ou modifier l'état de l'application
- Ne découvre pas le périmètre (cibles à fournir) et génère des faux positifs à trier
- Manque la logique métier et les chemins d'attaque complexes du pentest humain
Dans le cycle de développement et sur les applications critiques, en complément d'une revue humaine périodique.
Le test d'intrusion
Une attaque simulée menée par des experts offensifs sur un périmètre défini, pour démontrer ce qu'un attaquant réel obtiendrait. Le test d'intrusion apporte la validation humaine la plus approfondie de l'exploitabilité.
Il permet également d'identifier des enchaînements de failles, des erreurs de logique métier et des scénarios d'attaque que les outils automatisés détectent difficilement. C'est aussi, dans de nombreux cadres réglementaires et contractuels, une exigence de fait.
- Preuve concrète de l'exploitabilité
- Logique métier et chemins d'attaque complexes
- Souvent une photographie datée — sauf en PTaaS ou bug bounty, délivrés en continu
- Limité au périmètre déclaré ; expertise humaine rare et chère
Pentest classique — ponctuel, périmètre défini, rapport daté.
PTaaS (pentest as a service) — même logique, délivrée en continu via plateforme, en abonnement.
Bug bounty — continu, en foule, paiement au résultat, large couverture.
Le Web ASM
Chez Purplemet, le Web ASM désigne une approche d'External Attack Surface Management enrichie d'une analyse approfondie de la couche applicative web : découverte des actifs identifiables depuis l'extérieur, identification des technologies, détection ou estimation de leurs versions, mise en correspondance avec les vulnérabilités connues et analyse des configurations externes.
Concrètement, il surveille en continu les actifs identifiables depuis l'extérieur — applications web, sous-domaines, API et interfaces oubliées (shadow IT inclus) — ainsi que la configuration exposée : certificats, sécurité des domaines et de la messagerie (SPF, DKIM, DMARC, DNSSEC, CAA, BIMI, MTA-STS, TLS-RPT, DANE, SMTP TLS), exposition des transferts de zone (AXFR), ports et services sensibles.
Sa spécificité : une expertise web approfondie. Pour chaque application, les technologies et versions détectées ou estimées sont mises en correspondance continue avec les vulnérabilités potentiellement applicables (CVE), puis priorisées à l'aide du CVSS, de l'EPSS et du catalogue CISA KEV — pour aider à corriger d'abord ce qui compte le plus. Le tout sans intrusion ni installation, en répondant en continu à trois questions : qu'est-ce que j'expose vraiment ? qu'est-ce qui a changé ? que corriger en premier ?
- Certificats, DNS et sécurité mail (SPF, DKIM, DMARC, DNSSEC, CAA, BIMI, MTA-STS, TLS-RPT, DANE, SMTP TLS)
- Ports, services sensibles et transferts de zone (AXFR) exposés
- Technologies et versions détectées ou estimées, CVE potentiellement applicables
- Priorisation par EPSS, CVSS et vulnérabilités activement exploitées (KEV)
- Détection continue des changements et suivi du security rating (A–F)
- Ne prouve pas l'exploitabilité et ne teste pas la logique métier — c'est le rôle du pentest
Dès que votre périmètre web dépasse ce qu'une personne peut suivre de tête : plusieurs applications, des filiales, des prestataires qui déploient, un historique de projets.
Le tableau comparatif
Les principales familles de solutions, comparées ligne par ligne.
Notation cyber
Scanner web (DAST)
Test d'intrusion
Question traitée
Fréquence
Où en sommes-nous globalement ?
Score mis à jour régulièrement
À la demande, planifié ou intégré à la CI/CD
Ponctuelle
Continue
Cette app a-t-elle des failles détectables ?
Cette cible est-elle exploitable ?
Qu'exposons-nous, et que corriger ?
Intrusivité
Non intrusif
Actif — impact variable selon les tests
Intrusif (attaques simulées)
Non intrusif
Profondeur
Signaux de surface, standardisés
Test actif, périmètre déclaré
Très profonde, périmètre restreint
Expertise web + config exposée, sur tout le périmètre
Actifs inconnus (shadow IT)
Partiellement visibles
Hors périmètre déclaré
Généralement hors périmètre s'il n'est pas découvert ou inclus dans le cadrage
Découverts en continu
Preuve d'exploitabilité
Priorisation des correctifs
Destinataire naturel
Non
Score global, peu actionnable
Direction, assureurs, achats
Selon la vulnérabilité et l'outil
Par le scan
Équipe dev / AppSec
Oui
Par le rapport, ponctuelle
Équipe sécurité, auditeurs
Non
EPSS, CVSS & KEV, en continu
RSSI & équipe sécurité, au quotidien
Modèle de coût
Abonnement
Abonnement / licence
Prestation humaine
Abonnement à l'usage
Question traitée
Où en sommes-nous globalement ?
Cette app a-t-elle des failles détectables ?
Cette cible est-elle exploitable ?
Qu'exposons-nous, et que corriger ?
Fréquence
Score mis à jour régulièrement
À la demande, planifié ou intégré à la CI/CD
Ponctuelle
Continue
Intrusivité
Non intrusif
Actif — impact variable selon les tests
Intrusif (attaques simulées)
Non intrusif
Profondeur
Signaux de surface, standardisés
Test actif, périmètre déclaré
Très profonde, périmètre restreint
Expertise web + config exposée, sur tout le périmètre
Actifs inconnus
(shadow IT)
Partiellement visibles
Hors périmètre déclaré
Généralement hors périmètre s'il n'est pas découvert ou inclus dans le cadrage
Découverts en continu
Preuve d'exploitabilité
Non
Selon la vulnérabilité et l'outil
Oui
Non
Priorisation des correctifs
Score global, peu actionnable
Par le scan
Par le rapport, ponctuelle
EPSS, CVSS & KEV, en continu
Destinataire naturel
Direction, assureurs, achats
Équipe dev / AppSec
Équipe sécurité, auditeurs
RSSI & équipe sécurité, au quotidien
Modèle de coût
Abonnement
Abonnement / licence
Prestation humaine
Abonnement à l'usage
Le Web ASM ne remplace pas les autres :
il les rend plus efficaces — il fait monter la note et cible les tests actifs (scanner DAST, pentest) là où le risque est réel.
Comme toute analyse externe, la détection dépend des signaux publiquement observables. Une correspondance avec une CVE indique une exposition potentielle et ne constitue pas, à elle seule, une preuve d'exploitabilité.
Elles se combinent — et se renforcent
La conclusion n'est pas « choisissez la bonne colonne ». Les organisations matures les articulent, chacune renforçant les autres.
La notation
Elle crée le langage avec la direction et débloque le budget.
Le Web ASM
Il maintient le recensement, détecte les changements et priorise. Il fait monter la note et dit aux tests actifs où frapper.
Scanner (DAST) & test d'intrusion
Sur le périmètre que la surveillance a ciblé — automatisé (DAST) puis humain (pentest), à la fréquence que le budget permet.
On vous répond
Le Web ASM remplace-t-il le test d'intrusion, le PTaaS ou le bug bounty ?
Non. Le Web ASM identifie et priorise en continu ; le test d'intrusion — sous toutes ses formes — prouve l'exploitabilité en profondeur. Le PTaaS (pentest délivré en continu via une plateforme) et le bug bounty (recherche en foule, payée au résultat) sont des modalités de cette même famille offensive : plus fréquentes, mais qui partagent la limite du périmètre déclaré. C'est là que le Web ASM reste complémentaire : sa cartographie continue révèle ce que vous exposez réellement (shadow IT compris) et permet de cibler l'effort offensif sur les applications les plus à risque, rentabilisant chaque jour d'expertise.
Au-delà des applications web, que couvre le Web ASM ?
Au-delà de l'analyse applicative (technologies, versions et CVE de chaque application), le Web ASM surveille la configuration exposée : certificats TLS, sécurité des domaines et de la messagerie (SPF, DKIM, DMARC, DNSSEC, CAA, SMTP TLS, DANE), ports, services sensibles et transferts de zone (AXFR). La différence avec une notation : ces signaux sont ici rattachés à l'actif concerné et actionnables, en continu — pas seulement agrégés dans un score.
ASM, EASM, Web ASM : quelles différences ?
L'ASM (Attack Surface Management) est la discipline générale : découvrir et surveiller en continu tout ce qu'une organisation expose. L'EASM (External ASM) en est le volet tourné vers l'extérieur — domaines, sous-domaines, adresses IP, services, certificats. Le Web ASM de Purplemet couvre ce périmètre externe (EASM) et va plus loin sur la couche applicative web : pour chaque application, l'inventaire des technologies et de leurs versions, et leur correspondance continue avec les CVE.
Quelle différence entre un scanner web (DAST) et le Web ASM ?
Un scanner web dynamique (DAST) teste activement une application que vous lui désignez, en lui envoyant des requêtes — de façon intrusive et ponctuelle. Le Web ASM part de l'extérieur, sans intrusion ni installation : il découvre d'abord ce que vous exposez (shadow IT inclus), en dresse l'inventaire technologique en continu et priorise (EPSS, CVSS, vulnérabilités activement exploitées). Les deux se complètent : l'ASM indique quoi regarder et révèle les cibles hors périmètre, le DAST ou le pentest approfondit.
Peut-on cumuler notation, scanner web, test d'intrusion et Web ASM ?
Oui, et c'est la pratique des organisations matures : la notation pour la gouvernance et les tiers, le Web ASM pour les opérations quotidiennes, le scanner (DAST) et le test d'intrusion pour la validation en profondeur des actifs critiques. Chacune renforce les autres.
Commencez par savoir ce que vous exposez
Ce premier pas ne coûte rien : à partir d'un simple nom de domaine, découvrez ce que vous exposez réellement — technologies, versions et premiers signaux de risque inclus.
