TL;DR
Subfinder est un outil d’énumération passive de sous-domaines développé par l’équipe ProjectDiscovery, écrit en Go et distribué sous licence MIT. Il interroge des dizaines de sources publiques tierces (transparence des certificats, moteurs OSINT, API de sécurité) sans jamais contacter directement la cible, ce qui lui confère une vitesse et une discrétion que les outils actifs ne peuvent pas atteindre.
En trente secondes, Subfinder peut identifier plusieurs centaines de sous-domaines d’un domaine cible. Mais Subfinder ne produit qu’une liste. Il ne vérifie pas si les sous-domaines sont actifs, ne teste aucune vulnérabilité, et ne sait pas lesquels sont intéressants d’un point de vue sécurité. Cette lecture reste entièrement du ressort de l’analyste.
Dans tout test d’intrusion ou mission d’OSINT, la phase de reconnaissance est ce qui conditionne la qualité de tout ce qui suit. Un périmètre mal cartographié génère des angles morts qui persistent jusqu’au rapport final : des applications oubliées, des environnements de développement jamais supprimés, des sous-domaines hérités d’une infrastructure ancienne qui n’ont jamais été mis hors ligne.
Les sous-domaines sont au coeur de cette cartographie. Un domaine principal comme example.com peut exposer des dizaines, parfois des centaines de sous-domaines actifs sur internet : mail., vpn., staging., api., admin., legacy., chacun représentant une surface d’attaque potentielle distincte, avec ses propres technologies, ses propres configurations, et ses propres vulnérabilités. L’identifier manuellement prendrait des heures. Subfinder le fait en quelques secondes.
Présentation et principe de fonctionnement
Origine et architecture
Subfinder est né au sein de la communauté du bug bounty, porté initialement par Ice3man (Vishal Bhardwaj) avant d’être intégré dans l’écosystème ProjectDiscovery, l’équipe à l’origine de plusieurs outils offensifs open source de référence comme Nuclei, Httpx et Naabu. La version actuelle, Subfinder v2, est écrite en Go et exploite pleinement le modèle de concurrence natif du langage pour interroger de multiples sources simultanément, ce qui explique sa vitesse remarquable comparée à des outils écrits en Python.
L’architecture est délibérément minimaliste. Subfinder fait une seule chose : trouver des sous-domaines d’un domaine cible en interrogeant des sources tierces publiques. C’est un outil en ligne de commande dont la sortie est pensée pour s’intégrer dans des pipelines, en transmettant ses résultats à d’autres outils de la chaîne de reconnaissance.
Le principe de l’énumération passive
La distinction entre énumération passive et active est fondamentale pour comprendre ce que Subfinder fait et ne fait pas. Une énumération active envoie des requêtes directement vers la cible ou ses serveurs DNS : elle fait du bruit, peut déclencher des alertes dans un SOC ou un WAF, et constitue un contact direct avec le système testé. C’est le fonctionnement du brute force DNS, qui essaie des milliers de noms de sous-domaines potentiels en interrogeant le serveur DNS de la cible.
Subfinder, lui, n’envoie aucune requête vers la cible. Il interroge des bases de données tierces qui ont déjà collecté et indexé cette information de façon légitime. Ces sources incluent les journaux de transparence des certificats TLS, les moteurs de recherche OSINT comme Shodan, les plateformes de threat intelligence (VirusTotal, SecurityTrails, Censys, Binaryedge), les archives DNS passives (PassiveTotal, Robtex), et des sources spécialisées comme les bases de données de bug bounty ou les index de GitHub. La cible elle-même ne voit jamais le moindre paquet provenant de l’outil.
La question des sources et des clés API
Subfinder fonctionne sans configuration initiale, en interrogeant les sources qui ne nécessitent pas d’authentification. Mais une grande partie de ses sources les plus riches (Shodan, SecurityTrails, VirusTotal, GitHub, Censys) nécessitent des clés API. Un Subfinder configuré avec ses propres clés API retourne des résultats significativement plus exhaustifs qu’un Subfinder utilisé à nu. Cette dépendance aux clés API est à la fois une limite et une protection : elle laisse des traces dans les logs des services interrogés.
Le déroulement type d’une utilisation
Phase de reconnaissance initiale. L’utilisation de Subfinder s’inscrit toujours dans la phase de reconnaissance d’une mission. Avant tout test d’intrusion web ou toute évaluation de la surface d’attaque externe, l’analyste lance Subfinder sur le domaine racine de la cible. En quelques secondes à quelques dizaines de secondes selon la taille du domaine et le nombre de sources configurées, l’outil retourne une liste de sous-domaines qui constitue la carte initiale du périmètre.
Configuration des sources et calibrage. Un usage expert de Subfinder consiste à calibrer les sources interrogées selon le contexte de la mission. Pour une mission où la discrétion est prioritaire, on se limite aux sources ne générant aucune trace visible. Pour une mission d’évaluation exhaustive, on active toutes les sources disponibles avec leurs clés API. Subfinder permet de choisir explicitement les sources à inclure ou à exclure, offrant un contrôle fin sur ce compromis entre exhaustivité et discrétion.
Intégration dans un pipeline de reconnaissance. C’est là que Subfinder révèle toute sa puissance. Sa sortie, nativement formatée en texte simple ou en JSON, se prête à un enchaînement avec d’autres outils spécialisés. Une liste de sous-domaines produite par Subfinder peut être immédiatement transmise à un outil de résolution DNS pour vérifier lesquels sont actifs, puis à un outil de sonde HTTP pour identifier lesquels répondent sur le web, puis à un scanner de vulnérabilités pour tester les survivants. Après l’énumération des sous-domaines, la cartographie réseau avec Nmap permet de comprendre les services qui tournent derrière chaque sous-domaine identifié, transformant une liste de noms en une carte de services exposés.
Subfinder face à Amass et Sublist3r
Subfinder est-il détectable par la cible ?
Non, et c’est l’une de ses caractéristiques distinctives les plus importantes. Puisque Subfinder n’envoie aucune requête vers la cible, celle-ci n’a aucun moyen de détecter son utilisation depuis ses propres journaux, son WAF ou son EDR. La détection n’est possible que depuis les logs des APIs tierces interrogées, et uniquement par les services eux-mêmes. Cette propriété le distingue fondamentalement des outils comme les brute-forceurs DNS, dont le volume de requêtes vers les serveurs de la cible est clairement visible dans les journaux DNS.
| Outil | Approche | Vitesse | Points forts | Limites |
|---|---|---|---|---|
| Subfinder | Passive uniquement | Très rapide (500+ sous-domaines en 30 secondes) | Vitesse, discrétion, intégration pipeline, nombreuses sources | Ne fait pas d’énumération active, dépend des sources configurées |
| Amass | Passive + active | Lente (23 min pour 227 sous-domaines dans certains tests) | Très complet, cartographie de graphe, actif et passif | Complexité de configuration, génère du trafic vers la cible en mode actif |
| Sublist3r | Passive principalement | Rapide | Simple, léger, facile à prendre en main | Moins de sources, maintenance moins active, peu d’intégrations |
Amass et Subfinder sont souvent utilisés ensemble en mission : Subfinder pour sa vitesse et sa discrétion en première passe, Amass pour une exploration plus profonde lorsque l’exhaustivité prime sur la rapidité. Sublist3r reste pertinent pour des usages simples où la légèreté est recherchée.
Intégrer Subfinder côté défense
Auditer sa propre surface avant un attaquant. Subfinder est un outil de reconnaissance passive que toute organisation peut utiliser sur ses propres domaines, sans restriction légale, pour obtenir exactement la même vue qu’un attaquant aurait. La question que Subfinder pose à l’organisation qui le lance sur ses propres domaines est toujours la même : "connaissons-nous tous les sous-domaines qui apparaissent dans les sources publiques ?" La réponse est presque toujours non. Des sous-domaines de test créés lors de campagnes passées, des environnements de staging jamais supprimés, des anciennes applications laissées actives mais oubliées apparaissent régulièrement dans les résultats. C’est le principe du pentest d’application web et mobile : évaluer la surface d’attaque réelle, pas celle que l’organisation pense exposer.
Monitorer les logs de transparence des certificats. Puisque Subfinder tire une grande partie de ses résultats des journaux de transparence des certificats TLS, une organisation peut mettre en place une surveillance de ces mêmes journaux pour recevoir une alerte chaque fois qu’un nouveau certificat est émis pour un sous-domaine de ses domaines. Cela permet de détecter des créations non autorisées ou inattendues avant qu’elles ne soient exploitées.
Comprendre ce que les attaquants voient. Lancer Subfinder sur ses propres domaines avant une mission de test d’intrusion externe est une bonne pratique : cela permet à l’organisation de savoir exactement ce qu’un attaquant verra lors de sa phase de reconnaissance, et de prendre des décisions informées sur les actifs à mettre hors ligne, à sécuriser en priorité, ou à exclure du test.
Comment nos pentesters l’intègrent en mission
Subfinder fait partie des outils de reconnaissance que nos pentesters mobilisent lors des phases initiales des missions d’audit de surface d’attaque externe et des tests d’intrusion web, lorsque le périmètre inclut l’énumération de la présence internet de la cible. Il est rarement utilisé seul. Ses résultats alimentent une chaîne de traitement : identification des sous-domaines actifs, sonde des services HTTP exposés, cartographie avec Nmap des ports ouverts. C’est ce pipeline de reconnaissance qui permet de produire une carte précise de la surface d’attaque réelle avant de concentrer l’effort d’investigation sur les actifs les plus exposés.
Le résultat de cette phase de reconnaissance est souvent une surprise pour les organisations : des applications oubliées, des serveurs de développement exposés sur internet, des services tiers configurés avec des sous-domaines de l’organisation et jamais désactivés. Ces découvertes font partie intégrante du rapport d’audit externe, car elles représentent des angles morts que seule une vue extérieure permet d’identifier.
Ce que Subfinder ne fait pas
Subfinder fait une chose, et il la fait bien : identifier les sous-domaines d’un domaine cible en interrogeant des sources publiques. C’est tout. Et c’est précisément pourquoi il faut résister à la tentation d’en attendre plus.
Subfinder ne vérifie pas si les sous-domaines sont actifs. Une liste de 200 sous-domaines produite par Subfinder contient des sous-domaines qui répondent, des sous-domaines qui ont expiré, des sous-domaines qui pointent vers des services tiers et des sous-domaines qui ne résolvent plus depuis des années. Distinguer les uns des autres nécessite une étape de résolution DNS et de sonde HTTP séparée.
Subfinder ne teste aucune vulnérabilité. Il ne sait pas si un sous-domaine découvert est vulnérable à une injection SQL, à une prise de contrôle de sous-domaine (subdomain takeover), ou à une mauvaise configuration TLS. Ces étapes nécessitent des outils et une expertise différents.
Subfinder ne connaît pas le contexte métier. Il ne peut pas dire si un sous-domaine est critique ou négligeable, s’il traite des données sensibles ou si son exposition est intentionnelle. Un sous-domaine de développement exposé sur internet peut être parfaitement banal ou constituer un chemin d’accès direct à la production : seul l’analyste qui comprend l’architecture peut en juger.
Subfinder ne garantit pas l’exhaustivité. Les sous-domaines qui n’apparaissent dans aucune source publique, qui n’ont jamais fait l’objet d’un certificat TLS, qui ne sont pas indexés dans les bases OSINT configurées, restent invisibles. Un sous-domaine strictement interne échappe par définition à une énumération passive.
Cadre légal et éthique
Subfinder interroge des sources tierces publiques. En lui-même, le lancement de l’outil sur un domaine cible ne constitue pas un accès non autorisé à ce domaine, puisqu’il ne communique pas avec la cible. La légalité de son usage dans un contexte offensif dépend cependant du cadre de la mission : un test d’intrusion autorisé par écrit par le propriétaire du domaine cible est légal ; l’utilisation de Subfinder en dehors de ce cadre pour cartographier la surface d’attaque d’une organisation à son insu entre dans le registre de la reconnaissance non autorisée, même si aucune connexion directe n’est établie avec la cible. En France, l’article 323-1 du Code pénal et le contrat de mission restent les meilleures protections.
Vos sous-domaines exposés sur internet correspondent-ils à ce que vous pensez avoir mis en ligne ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Oui. Subfinder est open source, distribué sous licence MIT par ProjectDiscovery. Son code source est disponible publiquement. Certaines des sources qu’il interroge proposent des API gratuites avec des quotas limités, et des API payantes pour un volume plus important.
Les journaux de transparence des certificats (Certificate Transparency Logs) sont des registres publics auxquels toute autorité de certification doit soumettre les certificats TLS qu’elle émet. Ces journaux contiennent le nom de domaine (et donc le sous-domaine) pour lequel chaque certificat a été émis. Subfinder interroge ces journaux pour en extraire tous les sous-domaines associés au domaine cible. C’est l’une des sources les plus fiables et les plus complètes, car elle couvre l’ensemble des sous-domaines ayant jamais fait l’objet d’un certificat TLS valide.
Un brute-forcer DNS envoie des milliers de requêtes vers le serveur DNS de la cible pour tester des combinaisons de sous-domaines potentiels. Il peut découvrir des sous-domaines qui n’apparaissent dans aucune source publique, mais il génère un trafic visible depuis la cible. Subfinder, lui, est purement passif et ne contacte jamais la cible. Les deux approches sont complémentaires : Subfinder couvre ce qui est public et connu, le brute force couvre ce qui pourrait exister sans jamais avoir été référencé.
Non. Subfinder ne peut trouver que les sous-domaines qui apparaissent dans au moins une de ses sources publiques. Les sous-domaines internes, accessibles uniquement depuis le réseau de l’organisation, ou délibérément discrets, n’apparaissent dans aucune source publique et restent donc invisibles à un outil passif.
Les résultats de Subfinder constituent le point de départ d’une chaîne de reconnaissance, pas un résultat exploitable en lui-même. L’étape suivante est généralement la vérification de la résolution DNS et de la disponibilité HTTP de chaque sous-domaine, puis la cartographie des services exposés avec Nmap, et enfin la sélection des cibles les plus intéressantes pour l’investigation manuelle dans le cadre d’un test d’intrusion.
Non directement. Subfinder identifie les sous-domaines, mais ne vérifie pas si l’un d’eux pointe vers un service tiers dont le compte a été supprimé (ce qui crée une vulnérabilité de subdomain takeover exploitable). Cette détection nécessite une étape supplémentaire avec des outils spécialisés dans l’analyse des enregistrements DNS et des réponses HTTP.
Subfinder trouve 500 sous-domaines en 30 secondes sans jamais contacter la cible. Principe passif, sources, comparaison Amass, intégration pipeline : tout ce que l’outil fait, et ce qu’il ne peut pas faire.
