Audit de sécurité Active Directory
Il fonctionne tout seul.Vous n'êtes pas seuls pour autant.
Lecture seule · S'exécute sur votre poste · Sans agent
AdGUARD exécute 173 contrôles de sécurité implémentés sur Microsoft 365 et Active Directory — puis transforme le résultat en un rapport que vous remettez au client sous votre propre marque.
Vendu une fois, à un prix fixe. Pas d'abonnement, pas de plafond de domaines, pas de partage de revenus.
Le problème
La plupart des revues Active Directory finissent de la même manière : un tableur monté à la main, quelques captures de portail, et aucun moyen fiable de répondre à la seule question qui compte trois mois plus tard — quelque chose a-t-il dérivé ?
Revue manuelle
Cliquer dans les centres d'administration, recopier les paramètres dans une feuille, mettre en forme un document. Le travail est perdu dès qu'un administrateur général change un seul réglage.
Secure Score
Le Secure Score Microsoft bouge pour des raisons que vous ne pouvez ni reconstruire ni défendre dans une évaluation. Il n'est pas périmétré par contrôle, et il ne porte pas votre marque.
Plateformes entreprise
Les suites de gestion de posture supposent que vous possédez l'environnement. Un consultant qui audite onze clients a besoin de onze espaces isolés, pas de onze abonnements.
Couverture
Pas de contrôles fantômes, pas d'entrées « prévues » pour gonfler un chiffre marketing. Chaque contrôle du catalogue s'appuie sur une lecture LDAP en direct de l'annuaire — sur dix familles de contrôles, des comptes à privilèges à l'analyse des chemins d'attaque — et rend un verdict avec les objets trouvés. Chaque contrôle a un identifiant unique stable et porte ses références de frameworks — CIS, NIST, ISO 27001, ANSSI, NIS2, DORA, MCSB — dans l'application et sur chaque rapport.
43
Comptes & groupes à privilèges
Admins du domaine/de l'entreprise/du schéma, opérateurs, adminCount, Utilisateurs protégés, imbrication, admins dormants
35
Chemins d'attaque
ACL dangereuses (GenericAll, WriteDACL), DCSync, shadow admins, délégation, chaînes d'escalade vers le Tier 0
21
Kerberos & chiffrement
Kerberoasting, AS-REP roasting, délégation non contrainte/contrainte/RBCD, DES/RC4, krbtgt
18
AD CS (ESC1–ESC16)
Modèles de certificat vulnérables, AC mal configurée, relais NTLM, mappages faibles, extension SID
16
Durcissement des DC & protocoles hérités
SMBv1, NTLMv1, signature LDAP/SMB, Spouleur d'impression, protection LSA, accès anonyme, niveau de correctif
13
Mots de passe & verrouillage
Longueur, complexité, historique, ancienneté, chiffrement réversible, stratégie de verrouillage, stratégies affinées
11
Configuration du domaine
Niveau fonctionnel, quota de comptes machine, corbeille AD, SID history, inventaire des approbations
7
Approbations & LAPS
Filtrage SID, délégation de TGT, authentification sélective, approbations RC4 ; couverture et confidentialité LAPS
6
ADIDNS
Enregistrements wildcard, WPAD/ISATAP, mises à jour dynamiques non sécurisées, droits de création trop larges
3
Hygiène des GPO
GPO orphelines, GPO vides ou désactivées, liens gPLink cassés
Chaque contrôle porte un niveau — L1 pour le fondamental, L2 pour le durcissement — et le score les pondère en conséquence. Un L1 en échec coûte trois fois un L2 en échec, parce que c'est ce qu'il doit coûter.
Correspondance des référentiels
Les auditeurs n'acceptent pas de constat sans référence. Chaque contrôle porte son numéro de benchmark CIS, sa famille NIST 800-53 et sa clause d'annexe ISO 27001 — et le cas échéant, sa recommandation ANSSI, sa technique MITRE ATT&CK ou son article NIS2/DORA.
Microsoft Cloud Security Benchmark
Familles IM et PA (accès à privilèges), mappées là où elles s'appliquent en environnement local
CIS Benchmarks Windows Server
Durcissement des contrôleurs de domaine et serveurs membres — la source des contrôles
NIST SP 800-53
Familles de contrôles AC, IA, SC, SI, AU du catalogue fédéral américain
ISO/IEC 27001:2022
Clauses organisationnelles de l'annexe A.5 et technologiques de l'annexe A.8
ANSSI
Points de contrôle de durcissement identité et cloud de l'agence française
NIS2 — UE 2022/2555
Mesures de gestion des risques de l'article 21.2 : contrôle d'accès, MFA, cryptographie, détection des incidents
DORA — UE 2022/2554
Protection et prévention TIC (art. 9) et détection (art. 10) pour les entités financières
MITRE ATT&CK
Kerberoasting, DCSync, abus d'AD CS, délégation et techniques d'accès aux identifiants, par contrôle
Conçu pour les prestataires de services
AdGUARD a d'abord été écrit pour les consultants et les infogérants (MSP). Chaque client vit dans son propre espace de travail — connecteurs séparés, historique séparé, rapports séparés — et vous passez de l'un à l'autre en un clic.
Isolation
Connecteurs, historique d'audit, baselines enregistrées et branding des rapports sont stockés par entreprise. Rien ne se mélange, et aucun tableau de bord ne croise jamais les données de deux clients.
Marque blanche
Renseignez une fois le nom, le site web et le logo de votre cabinet. Chaque rapport exporté porte votre identité en en-tête et en pied de page — et le logo de l'entreprise auditée sur la page de garde de la synthèse.
Périmètre réutilisable
Incluez ou excluez n'importe quel contrôle, ajustez son niveau, enregistrez le tout comme baseline — globale pour tous les clients, ou propre à une mission. Douze modèles de référentiels sont livrés avec. Voir l'éditeur.
Le produit
Elle s'installe sur Windows, s'authentifie sur les domaines que vous choisissez, et garde chaque octet de preuve sur la machine que vous contrôlez.
Un score pondéré par service, classé du plus faible au plus fort, plus une courbe de tendance qui reporte le dernier résultat connu de chaque service — pour qu'un ré-audit ciblé ne simule jamais une chute.
Choisissez deux exécutions. Les régressions arrivent en premier — les contrôles qui étaient conformes et ne le sont plus. Suivent les améliorations, les ajouts et les changements de périmètre. C'est la diapositive qui renouvelle une mission.
Chaque client dans un seul tableau : dernier audit, score actuel, connecteurs configurés. Triez, cherchez, et ouvrez n'importe quelle mission sans toucher aux données d'une autre.
Chaque entreprise porte ses propres coordonnées, sa référence de mission et son activité : audits exécutés, dernier score, score global, connecteurs configurés et répartition de la dernière exécution. Le domaine et la forêt sont lus directement en LDAP à la première connexion — niveau fonctionnel, inventaire des DC, approbations et rôle AD CS indiqués présents ou absents — pour connaître la topologie d'un client avant de cadrer l'audit. Le domaine s'imprime ensuite sous le nom de l'entreprise sur chaque rapport.
Parcourez les 173 contrôles avant de lancer quoi que ce soit. Chacun affiche sa catégorie, son niveau et sa correspondance de référentiel, pour dire à un client exactement ce que vous testerez — et ce que vous ne testerez pas.
Chaque domaine a sa propre connexion. Auditez un domaine lundi et ajoutez-en un autre le mois prochain — les contrôles sans connecteur configuré sont ignorés, et l'application le dit plutôt que d'échouer en silence.
Cadrage
Une première passe, un dossier de certification ISO 27001 et une re-vérification mensuelle sont trois questions différentes. La baseline est le moyen de décider à l'avance — et par écrit — à quels contrôles une mission donnée répond, pour que le périmètre soit une décision délibérée plutôt que ce que l'outil a bien voulu tester.
Incluez ou excluez n'importe quel contrôle, et changez son niveau lorsque votre jugement diffère du réglage par défaut. Trois compteurs — actifs, exclus, reniveaux — montrent à quel point le périmètre s'est éloigné du catalogue complet, et modifiés seulement filtre directement sur ce que vous avez changé. Rien n'est engagé avant l'enregistrement : une baseline non sauvegardée est signalée comme brouillon.
Chaque modèle conserve les contrôles correspondant à un référentiel et exclut le reste. Le décompte est calculé sur le catalogue vivant plutôt qu'écrit dans une plaquette — et un second chiffre indique combien de ces contrôles sont réellement exécutables avec les connecteurs que vous avez configurés, pour savoir ce qu'un modèle couvrira vraiment avant de vous engager.
Périmètre
Une baseline globale est la méthodologie maison de votre cabinet, réutilisée sur chaque mission. Une baseline client couvre l'exception convenue avec un seul client — le contrôle dont il a formellement accepté le risque — sans polluer l'audit de personne d'autre.
Niveaux
Un contrôle standard dans un cabinet de cinquante postes peut être critique dans une structure régulée. Reniveler-le par baseline et la pondération du score comme l'ordre de remédiation suivent, avec le nombre de contrôles renivelés visible pour qu'un relecteur voie que vous l'avez fait.
Traçabilité
Appliquer une baseline à un audit enregistre quels contrôles étaient dans le périmètre et à quel niveau. Deux audits exécutés sous la même baseline sont directement comparables ; un changement de périmètre apparaît dans la comparaison au lieu de fausser le score en silence.
La baseline la plus largement reconnue pour un audit Active Directory, et celle dont la plupart des clients ont entendu parler.
Les fondamentaux seulement : les recommandations applicables sans impact fonctionnel notable.
Les recommandations de l'agence française : MFA et mots de passe, administration sécurisée, journalisation, hybridation Active Directory, messagerie.
Les mesures de gestion des risques de l'article 21.2 : MFA et communications sécurisées, contrôle d'accès, cryptographie, détection des incidents.
UE 2022/2554 pour les entités financières : protection et prévention TIC (art. 9), détection (art. 10).
Les points de durcissement AD de l'ANSSI, regroupés par niveau de maturité 1 à 5 — de la protection du Tier 0 au durcissement avancé de l'annuaire.
Les contrôles alignés sur les techniques ATT&CK pertinentes pour AD : Kerberoasting, DCSync, abus d'AD CS, délégation et accès aux identifiants.
Annexe A.8 : configuration, chiffrement, journalisation, protection réseau.
Annexe A.5 : politiques, gestion des accès, relations fournisseurs, conformité.
La famille AC : qui accède à quoi, avec quels privilèges, dans quelles conditions.
La famille IA : MFA, méthodes résistantes au hameçonnage, gestion des identifiants.
Tous référentiels confondus, uniquement les contrôles de niveau 1. La première passe raisonnable sur un domaine jamais audité.
Un détail honnête que l'application affiche sur cet écran : ISO 27001 et NIST couvrent largement le catalogue, ils sont donc proposés au niveau des familles de contrôles, où ils resserrent réellement le périmètre — et NIS2 comme DORA couvrent légitimement les 173 contrôles : pour une entité régulée, ils servent de cadre de restitution plus que de filtre. Chaque modèle est un point de départ — créez une baseline à partir de lui, puis modifiez-la.
Exécuter un audit
Le périmètre est déjà décidé par la baseline : lancer un audit tient en un seul bouton. Ce qui suit n'est pas une barre de progression que vous laissez tourner pendant le déjeuner : les contrôles du périmètre sont évalués en direct sur les services sélectionnés, chaque constat apparaissant à l'instant où il est produit.
Un compteur par service et un global — 81 / 194 ici — avec les contrôles qui défilent au fil de l'évaluation. Chaque ligne porte son service, son niveau et son verdict, et un constat qui mérite explication reçoit sa phrase immédiatement : « 7 principaux de service détiennent un rôle d'annuaire : ces identités échappent au MFA et à PIM, leur justification doit être documentée. » Rien n'est mis en tampon jusqu'à la fin.
Terminé : 51 % de conformité, 64 conformes, 48 non conformes, 82 avertissements — en 16,1 secondes. L'en-tête garde en vue les contrôles activés sur 173 tout du long, pour qu'une exécution partielle ne puisse jamais être prise pour une complète, et un clic mène droit au détail.
Cinq compteurs en haut, une zone de recherche et des filtres par référentiel et par niveau. Ouvrez une ligne et vous obtenez ce qu'un évaluateur doit de toute façon écrire : l'état observé — « Microsoft Authenticator activé (correspondance de numéro imposée par Microsoft) » — ce que le contrôle teste, la remédiation sous forme de chemin dans le portail, et les références qu'il satisfait : CIS Active Directory · NIST IA-2 · ISO 27001 A.8.5. L'export est en HTML ou en PDF, et l'écran précise qu'il couvre l'audit entier plutôt que la vue filtrée.
Date, nombre de contrôles évalués, services réellement inclus, score et les trois compteurs — plus le mouvement par rapport à l'exécution précédente, déjà calculé. Une exécution sur 19 contrôles côtoie une exécution sur 194 et n'est visiblement pas le même exercice, exactement ce qu'il faut savoir avant de les comparer.
Trois issues
82 de ces 194 résultats sont des avertissements — un réglage qui n'est pas un échec mais qu'un évaluateur doit regarder, comme l'authentification par certificat désactivée. Un outil binaire doit arrondir chacun d'eux dans un sens ou dans l'autre ; ici ils restent visibles pour ce qu'ils sont.
Tendance
Chaque entrée d'historique montre son évolution par rapport à l'exécution précédente — stable, plus deux points, moins treize. Vous savez si la remédiation du mois dernier a fonctionné avant d'ouvrir quoi que ce soit, et la comparaison complète est à un bouton.
Export
HTML et PDF depuis l'écran de résultats, et l'application indique clairement que l'export couvre l'audit entier plutôt que ce que montre votre filtre du moment — un petit détail qui évite qu'un client reçoive un rapport tronqué par accident.
Performance
Les contrôles sont évalués en parallèle. Le bon nombre simultané dépend du poste de travail et de la charge que les API Microsoft toléreront — alors plutôt que de figer une supposition, l'application expose le réglage et mesure la bonne valeur sur la machine qui exécutera réellement les audits.
La valeur par défaut convient à la plupart des machines. Abaissez-la sur une VM contrainte ou un domaine fragile, montez-la sur un poste qui a de la marge — le réglage prend effet à la prochaine exécution, sans rien reconfigurer.
L'écran énonce le compromis sans détour : plus de threads, c'est plus de lectures LDAP simultanées vers les contrôleurs de domaine. Ces requêtes sont en lecture seule et légères : un réglage élevé change surtout la vitesse de l'audit, jamais l'intégrité de l'annuaire d'un client.
Un clic simule un audit à chaque niveau de threads et le chronomètre. Sur la machine de cette capture : 0,99 s en séquentiel, 0,34 s à huit threads — 2,9× plus rapide — et de nouveau plus lent à seize. La courbe est mesurée, pas supposée : l'outil recommande huit au lieu de pousser le curseur au maximum, et l'applique pour vous.
C'est le mécanisme derrière la vitesse d'exécution de la section précédente, et c'est le genre de détail qui décide si un auditeur utilise un outil deux fois. Quiconque acquiert le produit obtient le réglage et le benchmark avec le reste.
Ce que vous remettez
Le même audit produit le document dont chaque lecteur a réellement besoin — de la synthèse d'une page pour un comité de direction au plan de remédiation ligne à ligne qu'un ingénieur peut dérouler.
Page de garde à votre marque et à celle du client, posture globale, répartition par service, et les constats qui comptent pour un comité de direction.
Chaque contrôle, son verdict, les objets concernés, et la référence contre laquelle il a été testé.
Les mêmes résultats redécoupés par CIS, NIST, ISO 27001 et ANSSI — la vue qu'un évaluateur demande.
Les échecs classés par poids, avec pour chaque correction le chemin dans le portail et la commande PowerShell.
Télécharger des exemples de rapports
Sortie réelle d'AdGUARD sur un domaine de démonstration — informations du domaine floutées, résultats intacts.
Rapport exécutif (PDF) Exécutif (HTML) Plan de remédiation Matrice par référentiel Rapport détaillé
Le déroulé d'une mission
Créez la fiche entreprise. Son nom est ce qui apparaît sur chaque rapport que vous exportez pour lui.
Enregistrez une application en lecture seule dans le domaine — l'application vous guide — ou pointez vers une application existante.
Exécutez le catalogue complet, ou appliquez une baseline : CIS niveau 1 pour une première passe, les contrôles technologiques ISO 27001 pour un dossier de certification, ou votre propre sélection enregistrée.
L'audit s'exécute en lecture seule sur les API. Exportez le rapport dont votre client a besoin, sous votre marque, et gardez l'exécution dans l'historique pour la prochaine comparaison.
Lire le guide complet de l'audit — périmètre, pièges et fréquence →
Sécurité & confidentialité
Vous demandez à un client l'accès à sa plateforme d'identité. Voici exactement ce qu'il en advient.
Lecture seule
Chaque vérification est une lecture. L'application ne détient aucune permission d'écriture et ne change aucun réglage dans aucun domaine — un client peut le vérifier sur son propre écran de consentement.
Sur votre machine
Pas de backend éditeur, pas de télémétrie, pas de téléversement. Les résultats d'audit, les constats et les rapports sont écrits sur votre poste de travail et ne vont nulle part ailleurs.
Secrets chiffrés
Les secrets clients et les mots de passe de comptes de service sont chiffrés avec Windows DPAPI, liés à votre compte utilisateur. Un fichier de configuration copié ailleurs est illisible.
Preuves conservées
L'historique des audits est conservé trois ans — un cycle complet de certification ISO 27001 — pour montrer une trajectoire, pas seulement un instantané.
Sous le capot
La personne qui décide si un audit a lieu est rarement celle qui l'a commandé. C'est le responsable IT ou sécurité du client, qui voudra savoir ce qui s'installe, ce qu'il a le droit de toucher, et ce qui se passe sur un domaine nettement plus gros qu'une démo.
Livraison
Une application de bureau Windows. Aucun serveur à monter, aucun agent à déployer sur les postes ou les contrôleurs de domaine, aucune règle de pare-feu entrante et aucun compte de service qui tourne en permanence quelque part. Elle s'exécute sous la session du consultant, le temps de l'audit, puis s'arrête.
Chemin des données
HTTPS sortant vers les points de terminaison Microsoft. Les résultats sont écrits dans un stockage local sur la machine qui a exécuté l'audit. Il n'y a aucun backend éditeur sur le chemin, donc aucun tiers à ajouter au registre des sous-traitants d'un client.
Exécution
Les contrôles sont évalués simultanément avec un nombre de threads configurable, et le client LDAP sérialise les lectures vers chaque contrôleur de domaine : une configuration agressive change la vitesse de l'audit, pas le profil de charge sur l'annuaire d'un client. La même baseline évalue les mêmes contrôles dans le même ordre à chaque fois.
Échelle
Exécuté sur des domaines de production de plusieurs milliers d'utilisateurs, où les collections doivent être paginées plutôt que récupérées en un appel, et où une implémentation naïve expire ou tronque en silence. La taille de l'annuaire change la durée de la pagination ; elle ne change ni les contrôles exécutés ni leurs conclusions.
Couverture partielle
Auditez un premier domaine aujourd'hui et ajoutez-en un second le mois prochain. Les contrôles sans connecteur configuré sont signalés hors périmètre et comptés comme tels, jamais comme des échecs — le score de conformité est calculé sur ce qui a réellement été évalué, et l'exécution indique combien de contrôles cela représentait.
Identifiants
Certificats, secrets clients et mots de passe de comptes de service sont chiffrés avec Windows DPAPI lié au compte utilisateur, stockés par espace de travail client. Un fichier de configuration copié sur une autre machine est illisible, et les identifiants d'un client ne sont jamais chargés pendant l'audit d'un autre.
| Connecteur | S'authentifie comme | Droits requis | Accès en écriture |
|---|---|---|---|
| Microsoft Active Directory | Une application enregistrée dans le domaine du client, authentifiée par certificat. Le provisionnement peut être automatique, ou l'enregistrement créé à la main ; un secret client est pris en charge mais déconseillé, car les secrets expirent. | Lecture des objets de l'annuaireLecture du nTSecurityDescriptorLecture des partitions schéma & configurationUn accès en lecture ordinaire dont dispose déjà tout utilisateur authentifié — visible par le client, et rien n'est réécrit. |
Aucun |
| Forêt & configuration | Le même compte de domaine lit les partitions de configuration et de schéma — les vérifications AD CS, sites, approbations et ADIDNS le réutilisent. | Aucun octroi supplémentaire, et aucun second identifiant à stocker ou à faire tourner. | Aucun |
| LDAPS (optionnel) | Là où le LDAP signé par certificat est imposé, le même compte se lie en LDAPS sur le 636 — recommandé pour chiffrer les lectures d'annuaire en transit. | Aucun privilège supplémentaire ; seul le certificat LDAPS du DC doit être approuvé par le poste. | Aucun |
La colonne qui compte est la dernière. Non pas « un accès en écriture que nous promettons de ne pas utiliser » — un accès en écriture qui n'a jamais été demandé, ce qui permet à un client de vérifier l'affirmation sur son propre écran de consentement en une quinzaine de secondes plutôt que de vous croire sur parole.
Pour les auditeurs & évaluateurs
Une évaluation tient ou s'effondre selon qu'un tiers peut la ré-exécuter et arriver à la même conclusion. AdGUARD a été construit autour de cette contrainte : chaque verdict porte le contrôle dont il vient, les objets qu'il a examinés, et la date à laquelle il a été rendu.
Traçabilité
Un contrôle non conforme ne dit pas simplement « échec ». Il liste les comptes, boîtes aux lettres, stratégies ou ressources en cause, horodatés et attribués au domaine d'où ils ont été lus — le niveau de détail dont un dossier de travail a réellement besoin.
Reproductibilité
Le périmètre est déclaré comme baseline et stocké avec l'exécution. Un second évaluateur appliquant la même baseline au même domaine évalue les mêmes 173 vérifications dans le même ordre, et toute différence est un changement réel de l'environnement.
Indépendance
L'outil ne détient aucune permission d'écriture : exécuter un audit n'altère jamais l'environnement évalué et n'interfère jamais avec le processus de changement du client. L'écran de consentement en est la preuve.
Vue par référentiel
La même exécution produit une vue de conformité par référentiel, avec la référence de clause sur chaque contrôle — un dossier de certification, un questionnaire client et une analyse d'écart sortent d'une seule exécution.
Dossiers de travail
Les résultats s'exportent en données structurées pour l'échantillonnage, pour une plateforme GRC, ou pour le tableur sur lequel votre méthodologie tourne déjà. Rien n'a à être ressaisi depuis un rapport.
Continuité
Les exécutions sont conservées sur un cycle complet de certification ISO 27001 : un audit de surveillance se répond avec une trajectoire — ce qui a été trouvé, ce qui a été corrigé, et quand — plutôt qu'un instantané tout neuf.
Les contrôles vivent dans des packs importables : une exigence interne ou un référentiel propre à un client devient un contrôle de plein droit. Donnez-lui un identifiant, un niveau, ses références de référentiels et la vérification qui l'évalue, et il s'exécute, se score et s'exporte exactement comme les 173 livrés dans la boîte.
Pourquoi maindomaine
Active Directory sont la couche d'identité de la plupart des organisations, les identifiants sont le point de départ de la plupart des intrusions, et une série de réglementations a transformé « nous prenons la sécurité au sérieux » en « montrez-nous les preuves ». Aucun de ces trois facteurs ne s'inverse l'année prochaine — c'est ce qui distingue un marché d'une vague.
La base installée
Tout le monde est candidat
Active Directory est la colonne vertébrale contre laquelle chaque poste, serveur et application s'authentifie, et de plus en plus l'infrastructure cloud derrière eux. Auditer l'identité, c'est auditer ce dont tout le reste dépend — et il n'y a pas de secteur dans lequel se spécialiser, parce que le domaine a la même forme dans un cabinet d'avocats, un hôpital et une usine.
Le chemin d'attaque
Les intrusions commencent par une connexion valide
Les rapports d'incidents convergent vers le même constat depuis plusieurs années : les attaquants se connectent de plus en plus au lieu de forcer la porte. Cela fait passer la configuration de l'identité de l'hygiène IT à la première question qu'un assureur, un conseil d'administration ou une équipe forensique pose après un incident — et la première posée avant.
L'obligation
Des preuves, avec des échéances
NIS2, DORA, ISO 27001:2022, SOC 2, CMMC, HIPAA. Des périmètres et des régulateurs différents, une exigence commune : la preuve documentée et répétable que les contrôles d'accès sont configurés comme vous le dites. Une capture d'écran collée dans un document Word a cessé d'être une réponse.
Le goulot d'étranglement
La demande n'est pas la contrainte
Les organisations interrogées ne peuvent pour la plupart pas répondre elles-mêmes : elles s'adressent à leur MSP ou à leur cabinet — qui répond à la main, dans un tableur, en deux jours par domaine. Ce qui limite ce marché n'est pas l'appétit. C'est le nombre de personnes capables de produire les preuves, et c'est exactement ce qu'un outil change.
NIS2Directive UE 2022/2555
Les États membres devaient la transposer pour octobre 2024 ; l'application nationale monte en puissance depuis. Elle englobe beaucoup plus d'entités de taille intermédiaire que la directive qu'elle remplace, et exige que les mesures de gestion des risques soient démontrables plutôt que déclarées.
DORARèglement UE 2022/2554
Applicable depuis janvier 2025 aux entités financières de l'UE et, point crucial, à leurs prestataires de services TIC. Le contrôle d'accès et l'authentification sont au cœur des exigences de résilience.
ISO 27001:2022Annexes A.5 et A.8
Les certificats émis sur la version 2013 devaient migrer pour octobre 2025. L'annexe A de 2022 met explicitement la configuration, la gestion des accès et la journalisation dans le périmètre — exactement le terrain que couvre un audit de domaine.
CMMCDépartement de la Défense des États-Unis
Introduit progressivement dans les contrats de défense à partir de 2025, il redescend la chaîne d'approvisionnement jusqu'à des entreprises sans aucune équipe sécurité. Le contrôle d'accès et l'identification-authentification représentent la plus grande part des exigences.
SOC 2 · HIPAAen vigueur, et de plus en plus stricts
Ni l'un ni l'autre n'est nouveau, mais la barre des preuves ne cesse de monter : quiconque vend du logiciel à une entreprise américaine se voit demander des preuves CC6 et CC7, et toute organisation qui touche des données de santé doit présenter ses garde-fous techniques par écrit.
Volontairement absent de cette section : une projection de taille de marché. N'importe qui peut en acheter une, personne ne peut la vérifier, et chaque ligne ci-dessus se vérifie dans un texte publié. Le propos n'est pas que le marché est grand — c'est que les obligations ont des dates, et que les organisations interrogées répondent encore à la main.
Pour les cabinets de conseil & MSP
La plupart des cabinets et MSP orientés Microsoft vendent des licences, des migrations et des services managés, puis sous-traitent la revue de sécurité. Ici, vous l'internalisez : vous achetez le droit d'utiliser le produit sur toute votre base de clients, sous votre propre marque — vous ne revendez pas le logiciel, vous ajoutez une ligne d'audit à vos propres prestations, au tarif que vous voulez.
Votre grille tarifaire
Facturez à l'audit, au domaine, au trimestre, ou intégrez-le à un forfait existant. Personne ne fixe de plancher, personne ne fixe de plafond, et pas un centime de ce que vous facturez ne nous revient.
Votre équation économique
Un coût fixe unique payé une fois, contre un revenu qui se répète à chaque mission. Le dixième audit que vous vendez ne vous coûte rien à livrer, au-delà du temps de votre ingénieur.
Votre organisation
Chaque consultant, chaque bureau, chaque entité juridique du groupe. Aucun nombre de postes à déclarer et aucun serveur de licences à contacter.
Votre méthodologie
Ajoutez vos propres contrôles via des packs importables, appliquez vos baselines, et exportez directement vers la plateforme GRC que votre cabinet utilise déjà — sans toucher au code source.
Vos clients
Nous n'apparaissons jamais devant vos clients, parce qu'après la vente il n'y a plus de relation où apparaître. Pas de co-branding à négocier, pas d'enregistrement d'affaire, personne à qui perdre le compte.
Votre différenciation
Les cabinets concurrents proposent la même revue sous-traitée au même taux journalier. Un outil qui porte votre nom, produisant des preuves en une journée, change la conversation dans un appel d'offres.
Votre machinerie d'activation
Utiliser le produit sur vos propres missions ne fonctionne que si vous pouvez activer une installation sans demander la permission à quiconque. Le générateur qui produit ces clés fait partie de ce que vous achetez — un outil séparé que vous conservez, avec l'écran d'activation qu'il alimente.
Un nom de client, une validité en jours — 365 pour un an, 3650 pour dix — et un plafond de domaines. Générez, copiez, ou écrivez-la directement en license.key. Chaque décision commerciale que vous prenez s'exprime dans ces trois champs : votre grille tarifaire peut donc être ce que vous voulez — annuelle, pluriannuelle, au domaine, ou un essai de quinze jours pour un prospect.
Coller, activer, terminé — opérationnel immédiatement, sans redémarrage. Ensuite, la carte d'état indique clairement quelle mission la licence couvre, quand elle expire, combien de domaines elle autorise et son identifiant : un contrôle interne commence par des faits plutôt que par des questions. Rien ici ne porte notre nom.
Vos conditions
Les deux champs qui définissent une clé sont à vous pour chaque mission. Une clé d'un an à cinq domaines pour un petit mandat et une clé de dix ans illimitée pour un grand programme représentent le même travail : remplir deux cases.
Votre plafond
Le plafond de domaines existe pour que vous puissiez périmétrer chaque installation — 9999 est illimité en pratique, et c'est à cela que ressemble votre clé principale. La façon de répartir les clés entre bureaux, équipes ou mandats vous appartient — ce n'est pas une limite du produit.
Votre circuit
Vous générez les clés sur votre propre machine. Nous ne sommes pas dans la boucle : pas d'attente de nos horaires de bureau pour démarrer une mission, et pas de liste de vos clients dans les registres de quelqu'un d'autre.
Vos évaluations
Émettez une clé de quatorze jours pour un exercice de cadrage ou un audit de prospection que vous menez vous-même. Elle expire d'elle-même : aucune licence à récupérer, et aucune raison d'hésiter à lancer des évaluations.
Prix & licence
Pas d'échelle de licences, pas de nombre de domaines à déclarer, pas de renouvellement et pas de partage de revenus. Vous achetez AdGUARD une fois, à un prix fixe identique pour tous, et vous l'utilisez pour tous vos clients sous votre propre marque — perpétuellement, sans limite. La seule condition, inscrite au contrat de vente : ne pas revendre ni redistribuer l'application elle-même. Vous vendez votre prestation d'audit, pas le logiciel.
À vous par le nom
Rien ne renvoie à nous
Nom du produit, logo, jeu d'icônes, installeur, identité dans l'application, documentation et chaque rapport exporté portent votre marque. Une fois livré, le mot AdGUARD n'apparaît nulle part dans ce que vous expédiez.
À vous d'adapter
Extensible sans le source
Ajoutez vos propres contrôles via des packs importables, appliquez vos baselines, personnalisez chaque rapport et branchez-le sur votre pile GRC. L'accès au code source, pour des modifications plus profondes, n'est disponible que dans le cadre d'un accord préalable distinct.
À vous d'exploiter
Vous fixez les prix
À l'audit, au domaine, intégré à un forfait, ou offert pour gagner la migration derrière — votre modèle commercial, vos contrats, votre marge. Nous ne prenons aucune part de ce que vous facturez. Ce qui n'est pas permis : revendre l'application elle-même.
À vous de déployer
Aucune limite à déclarer
Tenants illimités, clients illimités, ingénieurs illimités, installations illimitées, dans autant de bureaux ou d'entités que vous en avez. Rien ne compte votre usage et rien n'expire.
Comment ça se passe : un NDA mutuel, une revue technique pour voir exactement ce que vous achetez, un contrat, puis la remise. La maintenance continue — évolutions des API Microsoft, révisions CIS, nouveaux contrôles — est disponible en contrat annuel séparé si vous la voulez, et entièrement optionnelle : le produit acheté continue de fonctionner dans tous les cas.
Pour les investisseurs & acquéreurs
L'argument de marché est exposé plus haut. Ce qui est sur la table ici, c'est un produit fini et livré, positionné dedans : l'actif est le catalogue de contrôles, les correspondances de référentiels et le moteur qui les exécute.
173
Contrôles implémentés
Chacun adossé à une vérification d'API en direct — le catalogue est la barrière à l'entrée, et il a demandé des années de travail spécifique à Microsoft
8
Familles de contrôles AD
Accès à privilèges, chemins d'attaque, Kerberos, AD CS, durcissement DC, mots de passe, config du domaine, approbations, LAPS, ADIDNS, GPO
4
Référentiels mappés
CIS, NIST 800-53, ISO 27001 et ANSSI — la couche de correspondance est ce qui rend le résultat vendable aux auditeurs
0
Infrastructure cloud
La livraison en application de bureau signifie zéro coût d'hébergement, zéro responsabilité de sous-traitant de données et une marge brute qui ne se dégrade pas avec le volume
Le marché
MSP, cabinets de conseil et cabinets d'audit achètent le produit en une fois et le monétisent sur tout leur portefeuille de clients — une transaction unique à ticket élevé plutôt qu'une mécanique au poste, avec un contrat de maintenance annuel optionnel derrière.
Défendabilité
Construire 173 vérifications fonctionnelles sur huit API Microsoft, puis les maintenir alignées sur les révisions CIS et les changements de Microsoft, est un travail lent qui ne se raccourcit pas avec un habillage autour du Secure Score.
Expansion
Les mêmes connecteurs et le même modèle de contrôles s'étendent à la gouvernance du cycle de vie des invités, à la supervision continue et à un portail multi-domaine hébergé — des ajouts à court terme plutôt qu'un second produit à inventer.
Ce qui est transféré
Une transaction peut couvrir le code source et la propriété intellectuelle, le catalogue de contrôles et ses correspondances de référentiels, les modèles de rapports, le nom AdGUARD et les domaines, et une période de transition définie avec l'auteur.
Structures
Acquisition complète, prise de participation avec le fondateur qui poursuit le développement, ou feuille de route financée avec droits de distribution exclusifs — la structure est ouverte.
Due diligence
Les données financières, le détail clients, la feuille de route, la documentation d'architecture et une revue technique du code sont accessibles aux parties qualifiées une fois un NDA en place.
Demandes sérieuses uniquement, s'il vous plaît — utilisez le formulaire ci-dessous et sélectionnez Investissement ou acquisition. Un NDA peut être signé la même semaine.
Après l'achat
Rien dans l'accord ne vous oblige à revenir vers nous, et rien dans le produit ne l'exige — il est livré prêt à l'emploi, avec sa documentation complète. Mais les ingénieurs qui l'ont écrit restent disponibles, et la plupart des acheteurs préfèrent une évolution développée en une semaine plutôt que staffée en interne en un trimestre.
Demandes d'évolution
Demandez un changement, recevez un build
Un nouveau contrôle, un connecteur de plus, une autre mise en page de rapport, un export qu'un de vos clients exige. Les ingénieurs qui ont construit le catalogue de 173 contrôles le produisent vite et vous le rendent en build prêt à livrer — sans accès au code source de votre côté.
Documentation
Un guide complet, et le corpus technique
Un guide d'application de bout en bout, sur lequel vous pouvez mettre votre propre couverture et que vous remettez à vos consultants ou à vos clients, plus ce dont vos ingénieurs ont besoin : architecture, catalogue de contrôles, modèle de connecteurs, processus de build et de release.
Présence web
Un site professionnel pour le produit à votre nom
Exactement ce que vous lisez. Cette page est l'exemple : un site d'une page construit autour du produit, de ses captures et de son argumentaire — reconstruit sous votre marque, votre nom et votre positionnement, prêt à publier.
Contenu
Et un blog, si vous voulez être trouvés
Ce qui fait remonter un site comme celui-ci n'est pas le design mais ce qu'il y a derrière — les quatorze articles déjà publiés ici en sont l'exemple. Nous pouvons écrire et structurer le contenu — audit Active Directory, benchmarks CIS, durcissement Active Directory — pour un produit qui porte votre nom plutôt que le nôtre.
Tout cela est optionnel et chiffré séparément. Le prix d'achat couvre le produit : rien de tout ceci n'est un péage obligatoire, et l'application fonctionne sans le moindre de ces services.
Les questions qu'on nous pose
Non. L'audit s'exécute en lecture seule via LDAP avec un compte de domaine standard — tout utilisateur authentifié peut lire l'annuaire. Aucun rôle privilégié requis, rien n'est installé sur un contrôleur de domaine et le schéma n'est jamais modifié.
Il n'y a pas de limite, parce qu'il n'y a rien à compter. L'application gère les entreprises clientes côte à côte, chacune avec sa connexion, son historique et son branding, et l'achat couvre autant de domaines et de forêts que vous en ouvrirez — un ou cinq cents.
Un accès en lecture à Active Directory via LDAP (389) ou LDAPS (636) avec authentification Windows intégrée — un compte de domaine standard suffit. Aucun accès en écriture n'est demandé, aucun agent n'est déployé et rien n'est modifié sur les contrôleurs de domaine.
Rien. L'outil ne parle qu'à vos contrôleurs de domaine, en LDAP, depuis votre poste. Il n'y a pas de backend éditeur, pas d'analytics, et pas de téléversement des constats. Les rapports sont des fichiers sur votre disque tant que vous ne choisissez pas de les envoyer.
Oui. Le catalogue se charge à partir de packs de contrôles, et vous pouvez importer des packs supplémentaires à côté des packs officiels. Les vérifications personnalisées se définissent de façon déclarative avec un filtre LDAP.
Des secondes, pas des minutes. Une exécution complète des 173 contrôles se termine en bien moins d'une minute sur un poste normal, parce que les contrôles sont des lectures LDAP directes et non des scripts qui ouvrent des sessions. Dans une mission, le temps passe à lire les constats, pas à attendre l'outil.
Non. Les requêtes sont des lectures LDAP légères, en lecture seule, sérialisées vers un contrôleur de domaine : le parallélisme accélère l'audit sans ajouter de charge en écriture. La valeur par défaut est de huit contrôles simultanés, ajustable de un à seize, et un benchmark intégré mesure l'optimum sur votre propre machine.
Oui, et vous devriez. Nous exécutons un audit complet sur un de vos domaines, sous les yeux de vos ingénieurs, et vous gardez les rapports quelle que soit votre décision ensuite.
Oui. Un chiffre, le même pour un cabinet de deux personnes et pour un groupe de quarante bureaux, couvrant le produit et le droit de l'utiliser commercialement pour vos propres clients, sous votre propre marque. Il n'existe aucun palier au-dessus. Le seul supplément optionnel est un contrat de maintenance annuel, et le produit fonctionne sans.
Non. L'offre standard est l'application en produit prêt à l'emploi, avec son catalogue de contrôles, ses correspondances de référentiels, ses modèles de rapports et sa documentation technique. Le code source ne fait pas partie du package — il ne peut être fourni que dans le cadre d'un accord préalable distinct.
Vous générez les clés vous-mêmes, avec le générateur de licences livré avec le produit : un nom de client, une validité en jours et un nombre maximum de domaines. Vous l'activez sur les installations que vous exploitez pour vos propres missions — c'est opérationnel immédiatement, sans redémarrage. Le logiciel reste à vous pour l'utiliser, pas pour le céder.
Non. Vous achetez le droit d'utiliser le produit pour vos propres clients — exécuter les audits et livrer les rapports sous votre propre marque — mais la revente ou la redistribution de l'application elle-même n'est pas autorisée, et cette restriction figure au contrat de vente. Vous vendez votre prestation d'audit, pas le logiciel.
Oui, et tout est optionnel. Nos ingénieurs prennent les demandes d'évolution à la demande — nouveaux contrôles, nouveaux connecteurs, modifications de rapports — et nous pouvons fournir un guide d'application complet, la documentation technique, un site web professionnel pour le produit à votre nom, et le contenu de blog derrière. Chiffré séparément ; le produit n'a besoin d'aucun de ces éléments pour fonctionner.
Oui, et à des structures en deçà d'une vente complète — une prise de participation, une feuille de route financée, ou une distribution exclusive. Les données financières, la documentation d'architecture et une revue du code sont accessibles sous NDA. Faites la demande via le formulaire en précisant quelle structure vous intéresse.
Obtenir les conditions
Demandez et vous recevez le chiffre, le contrat et le déroulé de la remise — pas un « appel de découverte » pour vous qualifier d'abord. La réponse arrive généralement le jour ouvré même.