Questions et réponses, au même endroit.

DarknetSearch est une plateforme de surveillance du dark web et de threat intelligence développée par Kaduu AG, une entreprise suisse de cybersécurité forte de plus de 20 ans d’expérience. Elle retrouve vos données et identifiants divulgués, les stealer logs complets, les secrets dans le code public, les serveurs exposés et les domaines similaires, et vous alerte dès que du nouveau apparaît. Les équipes l’utilisent dans le tableau de bord, via l’API, ou les deux. À propos

Il montre ce que des attaquants peuvent déjà trouver ou acheter sur votre organisation : données divulguées, identifiants et stealer logs, données en vente et discussions vous concernant, secrets dans du code public, serveurs exposés et domaines similaires. Chaque résultat indique sa source, son ancienneté et son risque, afin que vous puissiez réinitialiser, révoquer, corriger ou faire supprimer avant qu’il ne soit utilisé contre vous.

CISO, analystes SOC, équipes de threat intelligence et de réponse aux incidents, MSSP, testeurs d’intrusion, cyberassureurs, cabinets de conseil, CERT et équipes de gestion du risque tiers. Plus de 200 MSSP et SOC et plus de 100 entreprises nous font confiance. La page des cas d’usage montre, rôle par rôle, à quelles questions les données répondent.

Toute organisation possédant des comptes, des données ou une marque susceptible d’être détournée. Nous décrivons ce qui fuite et ce que les équipes surveillent dans la finance, la santé, le commerce et l’e-commerce, les médias, le secteur public, l’énergie, la technologie, l’éducation, le droit et l’assurance ; tous figurent sur la page des cas d’usage.

Oui. L’essai gratuit de 7 jours vous donne un accès complet à la vraie plateforme, gratuitement, sans carte bancaire et sans engagement. Il commence par une courte présentation de 15 minutes des fonctionnalités principales ; nous activons votre essai juste après. Merci de vous inscrire avec votre adresse e-mail professionnelle.

Oui. Lors d’une démo en direct, notre équipe vous présente la plateforme, montre des cas d’usage concrets et répond à vos questions techniques et commerciales. Réservez une démo en direct au moment qui vous convient.

Oui. La vérification de domaine sur la page d’accueil compte les enregistrements divulgués que nous détenons pour votre domaine, sans inscription. Pour voir les enregistrements eux-mêmes, configurer des moniteurs et lancer des rapports, démarrez l’essai gratuit.

Non. Unified Search et Search by Source ne nécessitent aucun enregistrement d’actifs : recherchez un domaine, un e-mail, un nom, une adresse IP, un BIN de carte, une marque, un mot de passe, un nom de fichier ou un nom d’hôte, dans le tableau de bord ou via l’API. Vous n’enregistrez des actifs que pour ce que vous voulez surveiller ; le nombre d’actifs surveillés dépend de votre formule.

Vérifiez votre domaine sur la page d’accueil, puis réservez une démo en direct ou démarrez l’essai gratuit. Une fois abonné, l’onboarding est inclus : nous configurons vos premières alertes avec vous, afin que votre équipe démarre avec le bon workflow de surveillance.

Du contexte. Nous surveillons en continu un large éventail de sources clandestines et enrichissons chaque résultat, afin que vous voyiez ce qui est exposé, pourquoi cela compte et comment réagir. Les équipes de sécurité internes l’utilisent pour leur propre organisation, et les MSSP proposent la surveillance du dark web à leurs clients sous forme de service.

Nous collectons nos données nous-mêmes, vous pouvez rechercher sans enregistrer d’actifs, et chaque fonctionnalité peut être automatisée via API, webhooks et MCP. Le prix représente entre 1/2 et 1/10 de celui des principaux éditeurs du marché de Gartner, et vous échangez directement avec les développeurs et les fondateurs d’une entreprise suisse à taille humaine. Découvrez pourquoi les équipes nous choisissent et comment nous nous comparons.

Trois formules pour les organisations. Starter se concentre sur les identifiants divulgués, les stealer logs et votre surface d’attaque. Advanced ajoute les rapports automatisés, l’API REST, Telegram et Discord, la surveillance des acteurs de ransomware, les discussions du darknet, les domaines similaires et le Live Data Broker. Pro ajoute la recherche onion, le code exposé, le stockage cloud, l’exposition des pastes, des cartes bancaires et des raccourcisseurs d’URL, l’usurpation dans les magasins d’applications, les webhooks et un serveur e-mail personnalisé. Les MSSP disposent de deux formules propres ; toutes figurent sur la page des tarifs.

Deux critères : la taille de votre organisation (nombre de salariés) et le type de licence. Les organisations à but non lucratif et les établissements d’enseignement bénéficient d’une remise supplémentaire de 20 %. Sur la page des tarifs, les tailles sont petite (1 à 100 salariés), moyenne (101 à 1 000) et grande (1 001 et plus).

Oui, pour les organisations : la page des tarifs affiche le prix catalogue de chaque édition selon la taille de votre organisation et la durée, en EUR, USD ou CHF, et vous pouvez y demander votre offre. Les deux éditions MSSP sont tarifées sur demande.

Notre abonnement standard dure 6 mois. Pour un projet ponctuel, demandez-nous une formule d’un mois et indiquez-nous la taille de votre organisation et le périmètre des requêtes que vous prévoyez d’exécuter.

6, 12, 24 ou 36 mois. Plus la durée est longue, moins c’est cher : la page des tarifs applique 5 % de remise pour 12 mois, 10 % pour 24 mois et 15 % pour 36 mois.

Non. Nous vous prévenons un mois avant l’échéance et vous envoyons une offre de renouvellement. Pour conserver votre prix actuel, vous pouvez demander une durée plus longue, jusqu’à 3 ans.

Non. Unified Search et Search by Source sont illimités dans chaque édition, tout comme Darknet Chatter partout où il est inclus ; seules les limites de débit générales de la plateforme s’appliquent. Une formule compte : les sièges d’administration, les actifs surveillés, les appels API, les rapports, les takedowns, les sessions Live Data Broker et les recherches de code exposé.

Vous n’êtes pas coupé de façon inattendue. Lorsque vous approchez d’une limite ou la dépassez, comme les actifs surveillés, les requêtes API ou le volume d’utilisation, nous vous en informons et vous présentons des options claires : passer à une formule supérieure ou ajuster votre utilisation. L’objectif est une surveillance ininterrompue avec une tarification transparente et prévisible, y compris pour les équipes en croissance et les MSSP.

Oui. Selon votre édition, vous pouvez ajouter à tout moment des actifs surveillés, des sièges d’administration, des appels API, des rapports, des sessions Live Data Broker et des recherches d’exposition de code sous forme de packs ; un pack est pris en compte dès que sa facture est payée. Les éditions MSSP peuvent augmenter chaque capacité séparément, pour la durée restante, sur la même facture.

Nous la collectons nous-mêmes. Les analystes visitent chaque jour les forums, les boutiques de cartes, Telegram, Discord et les sites de paste, et consignent chaque fuite qu’ils ajoutent ; les scrapers et les collecteurs Telegram tournent 24 h/24, et les places de marché de courtiers en données sont explorées plusieurs fois par jour. Une recherche en direct ajoute plus de 50 forums de hackers, avec nos propres comptes, et des moteurs de recherche Tor via nos proxys. Voir ce que nous collectons

Tous les types de fuites : bases de données compromises et dumps SQL, listes combo et listes URL:identifiant:mot de passe, stealer logs complets, stockage cloud et bases de données ouverts, sites de paste et cartes de paiement. Puis ce qui est proposé par des courtiers en données et ce qui se dit sur les canaux Telegram et Discord, les forums et les sites de fuite de ransomware. Et votre marque sur le web ouvert : nouveaux certificats et enregistrements de domaines, raccourcisseurs d’URL, pages de phishing et boutiques d’applications.

Over 430 billion leaked records, 296 billion leaked accounts and 134,000 leak lists, updated with our average daily intake of hundreds of millions of records. These figures cover the breach collection only: offers for sale, Telegram and forum chatter come on top. The breach page shows the running estimate.

Des centaines de nouvelles listes de fuite arrivent un jour normal, et le dernier envoi date généralement de quelques minutes seulement. La fraîcheur dépend de la source : le trafic de stealers en direct est récent, les combo lists sont souvent recyclées. C’est pourquoi chaque fuite porte trois dates : publication, découverte et ajout.

Chaque fuite reçoit une description rédigée, des tags et trois dates, et les descriptions sont relues avant publication. Les affirmations de vendeurs non vérifiées sont signalées comme telles, et les combo lists sont accompagnées d’une estimation de leur part invalide. Un résultat prouve que quelque chose a fuité, pas qu’un mot de passe fonctionne encore.

Oui. Nous collectons plus de 2 200 canaux Telegram dédiés à la cybercriminalité, pour la plupart privés et accessibles sur invitation, ainsi que des serveurs Discord où des outils, des logs et des fuites sont partagés. La recherche Telegram prend en charge les requêtes booléennes et est dédupliquée par canal. La surveillance de Telegram et de Discord est incluse dans les éditions Advanced, Pro et MSSP. Surveillance du dark web et des forums

Oui. Nous surveillons les sites de fuite de ransomware pour repérer les publications de victimes par entreprise, groupe, secteur et pays, et nos propres outils téléchargent les archives divulguées et classent chaque fichier. Vous voyez ainsi aussi vos identifiants dans la fuite d’un fournisseur, même si vous n’avez jamais été attaqué vous-même. La surveillance des acteurs malveillants de ransomware fait partie d’Advanced, de Pro et de MSSP.

La conversation autour des données. Les annonces montrent ce qui est à vendre ; les discussions montrent ce que disent à ce sujet les threat actors, les acheteurs et les vendeurs sur les forums de hackers et les places de marché. Les fils de discussion sont revérifiés : les réponses ultérieures parviennent donc encore à vos résultats, et les publications en d’autres langues sont traduites par IA. Darknet Chatter dans la surveillance du dark web et des forums

Une recherche exécutée en direct au sein des places de marché de courtiers en données clandestines, où des criminels vendent des accès et des données volées. Pour chaque session, notre crawler se connecte à la demande, exécute votre requête en temps réel et renvoie ce qu’il trouve. Les sessions sont incluses par mois dans les éditions Advanced, Pro et MSSP.

Oui. Les sites de paste (type Pastebin) sont souvent les premiers endroits où apparaissent des configurations, des échantillons et des données volées, et nous les collectons comme une source à part entière. Les fuites issues des pastes sont incluses dans les éditions Pro et MSSP ; une évaluation de la surface d’attaque peut aussi interroger 76 sites de paste en direct.

Oui. Nous collectons les cartes bancaires partagées gratuitement et celles proposées à la vente, avec une recherche par BIN ou par titulaire, et vous pouvez surveiller les BIN de vos cartes. L’exposition des cartes bancaires fait partie des éditions Pro et MSSP.

Nous collectons des sources dans toutes les langues, et les messages de forum rédigés dans d’autres langues sont traduits par IA. Le conseil, la mise en œuvre et les rapports sont disponibles en anglais, allemand, français et espagnol ; les rapports sur la surface d’attaque peuvent aussi être rédigés en italien.

Oui, à tout moment, dans le tableau de bord ou via l’API. Les résultats de recherche s’exportent en JSON, CSV ou XLSX, les stealer logs avec une ligne par ordinateur, et les résultats d’exposition de code en CSV, JSON ou XML. Les évaluations de la surface d’attaque sont fournies sous forme de rapport PDF avec des jeux de données CSV et JSON, les rapports d’identifiants sous forme de document Word avec des fichiers CSV.

Les enregistrements divulgués que vous recherchez et surveillez : notre collection de fuites, les stealer logs complets et les fichiers des fuites de ransomware, où qu’ils aient été publiés. Vous voyez l’enregistrement d’origine, la raison de la correspondance et la marche à suivre, et vous pouvez transformer toute recherche en surveillance. Détection des fuites de données. Ce qui se dit, s’offre ou se prépare contre vous sur les forums, Telegram, Discord, les sites de paste (type Pastebin) et les boutiques de courtiers en données est couvert par la surveillance du dark web et des forums.

Un domaine, un e-mail, un nom, une adresse IP, un BIN de carte bancaire, une marque, un mot de passe, un nom de fichier ou un nom d’hôte, ou n’importe quel texte libre. Le langage de requête prend en charge AND, OR et NOT, les expressions exactes, les mots proches les uns des autres, et des champs tels que le type de fichier, le nom de fichier, la date et l’ID de fuite.

Oui. Chaque résultat affiche la ligne divulguée elle-même, la raison de la correspondance, son caractère récent et les autres endroits où le mot de passe a été utilisé, ainsi que la fuite d’origine : son type, sa taille, sa date de publication et de découverte, et une analyse rédigée. Les fichiers de fuite d’origine peuvent être téléchargés dans le tableau de bord et via l’API.

Chaque identifiant dédupliqué reçoit deux scores de 0 à 10 : la nouveauté, c’est-à-dire son caractère inédit dans notre collection, et le risque. Vous voyez aussi si le mot de passe est réutilisé avec d’autres comptes, chaque fuite dans laquelle l’identifiant est apparu, et si un mot de passe divulgué respecte encore votre politique de mots de passe. Les identifiants dans le tableau de bord

Une combo list est une liste agrégée de paires e-mail:mot de passe ou nom d’utilisateur:mot de passe, avec peu ou pas de provenance, mêlant d’anciennes fuites, des hachages craqués, des stealer logs et des listes antérieures. Le même identifiant circule dans beaucoup d’entre elles, si bien que cinq occurrences peuvent correspondre à une seule compromission d’origine. Nous les dédoublonnons (même serveur, même nom d’utilisateur et même mot de passe comptent une fois) et estimons la part invalide d’une liste.

Oui. Les identifiants sont triés en vues : infrastructure propre, e-mails de l’organisation, activité privée, sur des services tiers et provenant de tiers, ainsi que conformité à la politique et mots de passe faibles. Vos propres systèmes, vos collaborateurs sur d’autres services et les personnes extérieures sur vos portails ne sont jamais mélangés.

Il met côte à côte des divisions, des filiales ou des pairs : stealer logs par rapport aux combo lists, tendance sur trois mois, systèmes externes utilisés par votre personnel, vos systèmes utilisés par des tiers et une analyse des mots de passe. Lancez-le une fois, ou recevez-le le 1er de chaque mois pour le mois précédent. Il prend généralement environ 15 minutes et se présente sous forme de document Word avec un fichier CSV par vue, avec mots de passe complets ou masqués.

Oui. L’API Credential check (vérification des identifiants) teste une adresse e-mail, un mot de passe ou les deux lors de l’inscription, de la connexion ou d’un changement de mot de passe, et indique s’il a été trouvé et dans combien de fuites. Votre serveur envoie la requête : vous pouvez donc demander à l’utilisateur un autre mot de passe ou marquer le compte pour une réinitialisation. Guide Credential check

D’après notre propre expérience, un peu plus de 1 % des identifiants divulgués vérifiés dans les environnements de nos clients étaient encore valides. C’est tout de même beaucoup : un seul compte valide peut suffire à une compromission. La plateforme ne teste pas les mots de passe divulgués sur vos systèmes ; le score de risque et la correspondance avec la politique vous aident à définir les priorités.

Oui. Les identifiants de connexion et les cookies de session de messageries web, VPN, SSO et services SaaS apparaissent dans les stealer logs, les combo lists et les fuites, et chaque résultat indique le service concerné. Les secrets tels que les clés cloud, les jetons (tokens) d’API et les chaînes de connexion sont aussi couverts, dans les fuites et dans le code public.

Oui. Les fuites contiennent bien plus que des mots de passe : adresses e-mail, numéros de téléphone, adresses postales, pièces d’identité, numéros de comptes bancaires et de cartes. Les Raw Data conservent le contenu d’origine consultable, et les fichiers issus de fuites de ransomware sont classés par type de données. L’exposition des e-mails sur le web de surface fait partie d’Advanced, Pro et MSSP.

Oui. Lorsque vous détectez tôt des identifiants et des cookies de session exposés, vous pouvez réinitialiser les mots de passe, révoquer les sessions, imposer l’MFA et bloquer l’accès avant que des attaquants n’utilisent les comptes. Cela réduit le risque de compromission de la messagerie professionnelle, de fuites dans le cloud et d’intrusion par ransomware.

Considérez-le comme un signal de sécurité. Validez l’exposition, réinitialisez les identifiants concernés, révoquez les sessions et les jetons (tokens) si des cookies ont fuité, examinez les journaux d’accès et analysez l’appareil à l’origine d’un stealer log. Ajoutez ensuite un moniteur pour être informé de la prochaine fuite.

Oui, avec CyberFrog, notre société sœur. CyberFrog lit les règles d’alerte DarknetSearch que vous choisissez, associe chaque résultat à un employé par son e-mail professionnel et lui envoie une courte notification et une leçon sur ce qui a réellement fuité : la fuite, où elle a circulé, quand elle a été vue pour la première fois et la ligne exacte. Vous voyez qui a commencé et terminé. De l’alerte de fuite à la formation

Non. Il est inclus gratuitement pour chaque client DarknetSearch. Notre équipe l’active pour vous : contactez-nous.

Uniquement dans la mesure où vos paramètres de confidentialité le permettent : en entier, partiellement masqué ou masqué. L’employé voit son propre enregistrement, et personne en dehors de votre organisation n’est contacté, car de nouvelles adresses ne sont ajoutées que pour votre propre domaine, et seulement si vous l’autorisez.

Non. Nous trouvons ce qui a fuité et atteint notre collection ; un résultat vierge ne prouve donc pas qu’un compte est sûr. Les sources fermées évoluent, et personne ne peut garantir chaque source chaque jour.

Pas dans son ensemble : les très grands domaines de messagerie gratuite ne peuvent pas être surveillés en tant que domaine. Vous pouvez en revanche vérifier et surveiller des adresses e-mail individuelles.

Un infostealer infecte un ordinateur et récupère l’identité stockée dans ses navigateurs et applications : mots de passe, cookies, jetons (tokens) de session, données de saisie automatique, historique de navigation, portefeuilles crypto, identifiants d’applications, fichiers locaux et détails système. Un stealer log est ce paquet : un instantané d’une identité numérique, pas seulement une fuite de mot de passe. Identifiants et stealer logs

Le log complet par ordinateur infecté : nom d'hôte, utilisateur, adresse IP et pays, chemin d'infection, famille de malware avec un niveau de confiance, identifiants enregistrés, cookies par site, jetons (tokens), données de saisie automatique, pages de connexion visitées, une capture d'écran et l'arborescence des fichiers. Téléchargez-le au format JSON dans le tableau de bord ou via l'API ; les exports fournissent une ligne par machine.

Avec une session active, un attaquant n’a parfois pas besoin du mot de passe, et le MFA ne l’arrête pas. Lorsqu’un cookie ou un jeton (token) fuite, révoquez donc d’abord les sessions et les jetons (tokens), puis réinitialisez l’identifiant, analysez l’appareil et réenrôlez le MFA si nécessaire.

ULP signifie URL, identifiant et mot de passe. Une ligne ULP est utile, car elle nomme le service ciblé, mais elle a généralement été extraite d’un stealer log plus vaste, si bien que l’essentiel de son contexte a disparu. Le log complet fait preuve : machine, dates, cookies, jetons (tokens) et les autres comptes présents sur le même appareil.

Nous ingérons aussi du trafic de stealers en direct, et pas seulement des collections recyclées via des canaux publics. Chaque log indique quand l’appareil a été infecté et quand le log nous est parvenu, car ce n’est que rarement le même jour.

Parmi les familles courantes figurent RedLine, Lumma, Vidar, Raccoon, Stealc et Rhadamanthys. Chaque log indique la famille détectée, avec un niveau de confiance.

Oui. Ce que produisent les malwares de type stealer, nous le collectons sous forme d’enregistrements de botnet : chaque bot correspond à un appareil infecté, et nous comptons les ordinateurs infectés uniques. Un résultat de type stealer prouve que l’appareil a été compromis, quoi qu’il advienne d’un mot de passe, et relève donc de la réponse aux incidents, pas seulement d’une réinitialisation de mot de passe. Détection des infections par botnet

Pas entièrement. Un malware est un moyen de voler une identité ; le phishing de type adversary-in-the-middle en est un autre, et aucun des deux ne couvre les bases de données compromises. Nous collectons aussi les autres voies : fuites de données, bases ouvertes, combo lists, fuites de ransomware, ainsi que les forums et canaux où des identifiants volés s’échangent.

GitHub, GitLab, Gists, Postman et plus de 50 sites via Google dorking, comme Bitbucket et Azure DevOps, pour votre domaine, votre marque et vos noms internes. Chaque résultat indique le dépôt, le chemin du fichier, les lignes correspondantes et un lien direct, avec un score de risque de 0 à 10 et une note sur la marche à suivre. Code exposé

Non. Nous ne recherchons que dans des sources publiques et n’avons jamais besoin d’accéder à vos dépôts. Les dépôts privés et les serveurs Git internes sont hors périmètre.

C'est le plus élevé de deux scores : un score de motifs issu de plus de 150 formats de secrets connus, tels que les clés privées, les clés cloud et les jetons (tokens) d'API (vos propres motifs regex comptent aussi), et une évaluation par IA de l'extrait avec une courte justification écrite. À partir de 7, le risque est élevé ; de 4 à 6, il est moyen.

Une première étape facultative sur GitHub et GitLab. Nous lisons les dépôts publics de votre organisation (jusqu’à 100 par organisation GitHub, forks et bots exclus, ou jusqu’à 20 projets par groupe GitLab) et listons toutes les personnes qui y contribuent. Vous choisissez jusqu’à 10 développeurs, et l’analyse par mots-clés porte sur les dépôts publics dont ces personnes sont propriétaires.

Un mot-clé compte pour une recherche, quel que soit le nombre de sources sur lesquelles il est exécuté dans une même requête ; une analyse des contributeurs compte également pour une recherche, et les contrôles de statut, les résultats, les exports et les modèles sont gratuits. L’exposition du code est incluse dans Pro (5, 8 ou 10 recherches par mot-clé et par contributeur par mois, selon la taille de l’organisation) et dans les éditions MSSP (5 + 5 et 15 + 15). Les quotas se renouvellent le 1er du mois, et des packs peuvent être ajoutés à tout moment.

Oui. Vos mots-clés restent sous surveillance constante, de sorte que de nouveaux résultats arrivent sans lancer d’analyse à la main. Vous pouvez aussi lancer des analyses et lire les résultats via l’API REST, ou interroger un assistant IA via notre serveur MCP ; le tableau de bord et l’API partagent un seul historique d’analyses et un seul quota.

Recherchez ce qui entoure un secret, pas le secret lui-même : votre domaine, les noms de vos produits ou de votre marque, les espaces de noms internes, les noms de services ou de paquets, les préfixes de variables d’environnement et les hôtes d’API. N’utilisez jamais une vraie clé, un vrai mot de passe ou un vrai jeton comme mot-clé.

La découverte et l’évaluation de tout ce qu’une organisation expose sur internet : domaines, sous-domaines, plages d’IP, serveurs, services ouverts, stockage cloud, ainsi que les personnes et les identifiants que les attaquants peuvent trouver. Elle part de l’extérieur, comme la voit un attaquant, et trouve donc aussi les actifs absents de votre inventaire. Nous ajoutons 17 sources de sous-domaines, les identifiants divulgués, CISA KEV et le contexte ransomware. Découverte de la surface d’attaque

Non. Une évaluation part du domaine public que vous soumettez. Aucune CMDB, aucun schéma réseau, aucune liste de serveurs ni plage d’IP n’est nécessaire. C’est tout l’intérêt : nous montrons ce qu’un tiers peut trouver.

L’Attack Surface Discovery rapide est uniquement passive. Dans une évaluation complète, le renseignement passif est le mode par défaut. Les modules actifs, tels que l’analyse de ports, la force brute de sous-domaines et la vérification de vulnérabilités en lecture seule, sont activables au cas par cas pour chaque analyse et utilisent des requêtes GET/HEAD sans exploitation. Ne les activez que pour les domaines que vous êtes autorisé à tester.

Une analyse rapide passive affiche en 30 minutes chaque serveur exposé avec ses ports, ses CVE et son groupe de risque, dans le tableau de bord ou via l’API. Une évaluation complète dure environ 3 heures et fournit un rapport de plus de 100 pages. Le délai exact dépend de la taille de la surface d’attaque et des modules activés.

Un rapport PDF de plus de 100 pages en cinq chapitres (réseau, personnes, applications, infrastructure et paysage des menaces), en marque blanche à vos couleurs et rédigé en anglais, allemand, français, italien ou espagnol. Il est accompagné de 22 jeux de données au format CSV ou JSON, et l’évaluation est aussi disponible via l’API. Exemple de rapport (PDF)

Des rapports ciblés qui n’exécutent que les modules dont un domaine de risque a besoin : usurpation de domaine, dirigeants VIP, réseaux sociaux, sécurité des applications, fuites de données, infrastructure et actifs exposés. Les sept font partie de l’évaluation complète. Le quota mensuel forme un pool unique partagé pour toute combinaison des sept types.

Chaque CVE porte un niveau de preuve : Vérifiée, Observée, Déduite ou Potentielle. Les correspondances fondées uniquement sur une version de produit sont indiquées comme telles. Vous pouvez saisir vos versions de services connues à l’étape des exclusions pour supprimer les faux positifs avant la génération du rapport.

Douze catégories sont agrégées en un score de 0 à 100, les identifiants et les vulnérabilités pesant le plus. Si des actifs à haut risque existent, le score est plafonné et le rapport en explique la raison. Les domaines non évalués sont exclus du score et jamais comptés comme sains.

Non. Rien n’est exploité et aucune connexion n’est tentée. Une correspondance CVE ou une détection dans une fuite est un indicateur à valider, pas une preuve de compromission, et la propriété découverte doit être confirmée en interne.

Plus de 45 algorithmes de permutation génèrent de 30 000 à 70 000 variantes par domaine : fautes de frappe, homoglyphes dont le punycode, autres extensions, bitsquats et combinaisons avec des mots. Nous vérifions lesquelles sont enregistrées et surveillons aussi les nouveaux enregistrements de domaines, les journaux Certificate Transparency, les publicités de recherche et des réseaux sociaux, ainsi que les listes de phishing et de malware. Le moteur de détection provient de SpoofGuard, notre société sœur. Détection de l’usurpation de domaine

Chaque domaine similaire enregistré reçoit une capture d’écran, une correspondance de logo et de marque avec votre Brand library, ses enregistrements DNS et de messagerie, et un score d’URL qui s’explique de lui-même. Chaque domaine passe par huit états, de non enregistré et parqué à suspect, menace, retiré ou inactif. Vos domaines de confiance ne sont jamais signalés, et vous pouvez mettre en liste blanche un domaine similaire que vous possédez.

14 moniteurs surveillent chaque domaine similaire, et l’intervalle de vérification passe par 7 niveaux selon son état : d’une fois par mois pour les domaines dormants à toutes les 30 minutes pour les menaces actives. Certaines sources sont en direct : les nouvelles données sont dans notre base dès leur arrivée. Les alertes s’accompagnent d’un historique des modifications : différence de texte, captures d’écran avant et après et chaîne de redirections.

Un clic transforme un domaine similaire en demande de takedown (retrait). Nous trouvons les contacts d’abus de l’hébergeur et du registraire, joignons les preuves et votre procuration signée, et informons les listes de blocage des navigateurs et anti-phishing. Notre équipe de takedown suit chaque demande à la main, escalade lorsqu’un prestataire n’agit pas, et vous voyez chaque étape dans le tableau de bord.

Oui. Chaque édition incluant les domaines similaires (Advanced, Pro et les éditions MSSP) comprend un certain nombre de retraits de sites web par année contractuelle, indiqué sur la page des tarifs, par exemple 20 dans MSSP Small et 60 dans MSSP Large. Vous choisissez les sites usurpateurs à soumettre, et des retraits supplémentaires peuvent être ajoutés.

Cela dépend des registraires et des hébergeurs, c’est pourquoi nous informons aussi les listes de blocage : elles protègent les utilisateurs pendant qu’un prestataire réagit lentement, voire pas du tout. Notre équipe relance jusqu’à la résolution de la demande.

Une règle de surveillance (monitor) surveille une source, ou toutes, pour un actif et ne signale que ce qui est nouveau depuis sa dernière exécution, par e-mail ou webhook. Un clic transforme n’importe quelle recherche en règle de surveillance. Les exclusions sont précises : un mot de passe, un nom d’utilisateur, un serveur ou une paire exacte, de sorte que le même e-mail avec un nouveau mot de passe déclenche toujours une alerte.

Vous choisissez pour chaque surveillance, de quotidienne à mensuelle ; les nouvelles surveillances sont quotidiennes par défaut. Une surveillance s’exécute une fois à sa création, puis selon son calendrier, et la situation de référence que vous voyez d’abord couvre ce qui existe déjà. Les domaines similaires ont leurs propres intervalles, jusqu’à toutes les 30 minutes pour les menaces actives. Guide de la surveillance

Oui, via des webhooks : Slack, Discord et Microsoft Teams sont pris en charge par leurs URL de webhook. Les e-mails d’alerte peuvent aussi provenir de votre propre serveur de messagerie et de votre propre modèle grâce au serveur e-mail personnalisé de Pro et des éditions MSSP.

Oui. Chaque fonctionnalité dispose d’une API REST documentée, et à côté de chaque résultat de recherche, vous pouvez copier la requête exacte en JSON ou en cURL. L’API REST fait partie des formules Advanced (pour les organisations moyennes et grandes), Pro et des éditions MSSP ; Starter n’offre aucun accès à l’API. Les guides par objectif et chaque endpoint figurent dans le Wiki de l’API.

Avec un jeton d'API dans l'en-tête X-API-Key. Les administrateurs de l'organisation créent les jetons (tokens) dans le tableau de bord, sous Manage, API tokens, un ensemble par espace de travail ; un jeton (token) s'affiche une seule fois, n'expire jamais ou expire après 30 jours, 90 jours ou un an, et peut être révoqué immédiatement. Appelez l'API depuis votre serveur, jamais depuis une page de navigateur. Guide d'authentification

Deux par organisation : une limite de débit par seconde et un quota mensuel d’appels API, de 1 000 par mois dans MSSP Small à 50 000 dans MSSP Large. Seules les réponses réussies comptent, chaque interrogation répétée et chaque page de résultats équivaut à un appel, et le quota est réinitialisé le 1er à 00:00 UTC. L’utilisation du tableau de bord n’est jamais décomptée. Guide des limites de débit

Les webhooks font partie de Pro et des éditions MSSP, avec jusqu’à 10 par organisation. Chaque correspondance livrée est envoyée en POST, signée avec HMAC-SHA256 dans l’en-tête X-AlertSystem-Signature. La charge utile indique le monitor, la source, le nombre de correspondances et un lien vers les résultats.

Oui, via les webhooks et l’API REST : les surveillances envoient les correspondances au format JSON vers votre SIEM, votre SOAR ou votre outil de ticketing. Advanced et Pro incluent un support d’intégration, où nos ingénieurs vous aident à écrire des wrappers et des connecteurs pour vos outils.

Il permet aux assistants IA de travailler avec DarknetSearch : pointez n’importe quel client MCP vers https://mcp.darknetsearch.com/mcp et connectez-vous avec votre compte DarknetSearch, une organisation par connexion. Des outils sont disponibles pour les fuites et les identifiants, les stealer logs, les discussions, l’usurpation de marque, les threat actors, les surveillances, les rapports, les exports, la surface d’attaque, les domaines similaires et le code exposé. L’accès est en lecture seule par défaut ; toute action qui consomme du quota ou modifie la surveillance exige une autorisation supplémentaire et votre accord explicite.

Non. Vous vous connectez avec votre compte DarknetSearch ; le jeton (token) de l’API REST n’est pas utilisé pour MCP. Le serveur indique aussi à l’assistant de traiter les textes de fuites et de forums comme des données non fiables, jamais comme des instructions.

Oui. Un seul compte partenaire pour tous vos clients, avec deux modèles côte à côte : exploiter le service vous-même dans votre espace de travail, ou revendre à chaque client son propre espace de travail à 40 % sous le prix catalogue client final. Chaque fonctionnalité inclut l’API REST, les webhooks, MCP et des rapports en marque blanche. Surveillance du dark web pour les MSSP

Dans le service managé, vous enregistrez les actifs de chaque client dans votre espace de travail, votre équipe traite les alertes et envoie des rapports en marque blanche, et les clients n’ont jamais besoin de se connecter. Un espace de travail client est un compte distinct avec ses propres utilisateurs, sa formule, ses quotas et ses jetons (tokens) d’API, que vous revendez au client. La plupart des partenaires gèrent tout dans un seul espace de travail et ajoutent des espaces de travail client pour les clients qui souhaitent leur propre accès.

Le prix catalogue annuel du client final, moins votre remise partenaire de 40 %. Les espaces de travail client et la capacité supplémentaire que vous ajoutez dans le tableau de bord sont facturés sur facture, payable sous 30 jours, ou par carte bancaire ; les mises à niveau courent pour la durée restante sur la même facture.

Les deux incluent toutes les fonctionnalités, l’API REST et les webhooks. MSSP Small, pour les MSSP de taille boutique comptant jusqu’à une dizaine de clients, comprend 10 sièges administrateur, 25 actifs surveillés et 1 000 appels API par mois ; MSSP Large comprend 50 sièges, 200 actifs et 50 000 appels, avec des packs d’extension à la moitié des tarifs unitaires de Small. Les prix sont communiqués sur demande ; la page MSSP détaille toutes les capacités.

Oui. L’application peut fonctionner avec votre logo, votre domaine, vos couleurs et votre identité visuelle, chaque rapport porte votre logo, et chaque espace de travail client a son propre logo dans les tableaux de bord et les rapports. Les éditeurs de solutions de sécurité peuvent aussi intégrer nos données dans leur propre produit, entièrement en marque blanche.

Oui. Un espace de travail client dispose de ses propres utilisateurs, actifs, surveillances, formule, quotas et jetons (tokens) d'API, et rien n'est partagé avec votre espace de travail ni avec un autre client. Vous gérez les espaces de travail client depuis votre compte partenaire et passez de l'un à l'autre sans vous reconnecter. Un seul espace de travail ne sépare pas les clients : un client qui doit se connecter reçoit donc le sien.

Envoyez une demande de partenariat depuis la page MSSP ou réservez une démo partenaire. Nous configurons votre espace de travail partenaire, guidons votre équipe et vous aidons avec le premier client ; l’onboarding MSSP est inclus. En savoir plus sur le programme partenaire.

Les données clients sont hébergées en Allemagne, dans l’Union européenne. DarknetSearch est développé par Kaduu AG, une entreprise suisse basée à Zoug.

Non. Ce que vous recherchez n’est pas conservé : ni dans l’application, ni dans les logs serveur, ni dans les logs d’API. Le code exposé fait exception : les analyses conservent un historique par conception afin que vous puissiez revenir aux résultats, et vous pouvez supprimer une analyse et ses résultats à tout moment.

Non. La plupart des recherches s’exécutent sur notre propre base de données et ne sont pas visibles en dehors de celle-ci. Les recherches en direct dans les forums utilisent nos propres comptes, de sorte que votre recherche reste invisible pour les utilisateurs des forums, et les moteurs de recherche Tor sont interrogés via nos proxys. Les règles de surveillance peuvent être configurées avec des noms de marque ou des domaines, sans partager de données à caractère personnel.

Votre équipe voit les mots de passe divulgués tels qu’ils ont été trouvés, en clair ou sous forme de hash selon la fuite, car c’est ce dont vous avez besoin pour juger la réutilisation et la politique de mots de passe. Chaque rapport d’identifiants peut les masquer, et les évaluations de la surface d’attaque n’affichent jamais un mot de passe en clair. L’accès est limité aux organisations vérifiées et aux utilisateurs de votre espace de travail.

Uniquement les utilisateurs de votre espace de travail. Les résultats et l’historique des analyses appartiennent à votre espace de travail et les autres espaces de travail ne les voient jamais ; les espaces de travail client d’un MSSP ne partagent rien entre eux.

Oui. La MFA est incluse dans Advanced, Pro et les éditions MSSP, et peut être exigée par espace de travail, avec l’enrôlement affiché par membre. Chaque espace de travail comporte deux rôles : Org Admin (utilisateurs, actifs, envoi des alertes, formule et facturation) et Org User (recherches, rapports et monitors existants).

Partenaires et clients vérifiés uniquement. Nous ne vendons pas d’abonnements aux particuliers ni aux organisations sans inscription officielle au registre du commerce, et nous nous réservons le droit de refuser l’accès à certaines organisations.

Vous pouvez interroger tout actif correspondant à votre type de contrat : adresses IP, domaines, utilisateurs, cartes bancaires, marques, threat actors et plus encore. Les MSSP n’ont aucune restriction. Les clients finaux peuvent interroger tout ce qui appartient à leur propre entité juridique.

Oui. Kaduu traite des données déjà exposées ou partagées dans des sources ouvertes ou clandestines ; nous ne piratons pas de systèmes et n’accédons pas à des comptes privés. La plateforme soutient la sécurité, la prévention de la fraude et la gestion des risques, et suit les principes du RGPD tels que l’intérêt légitime, la minimisation des données et la limitation des finalités. Consultez notre politique de confidentialité.

Nous collectons les fuites partagées gratuitement et des échantillons de données mises en vente. Toute acquisition n’a lieu que sur demande, avec autorisation explicite, et dans le respect de règles strictes de confidentialité et d’éthique.

Oui. Les rapports sur la surface d’attaque racontent l’histoire à la direction et aux auditeurs, les rapports mensuels d’identifiants montrent les tendances dans le temps, et chaque rapport peut porter votre marque. Les exports et l’API intègrent les mêmes données à vos outils de gouvernance et de gestion des risques.

Oui, dans chaque édition. Starter comprend une introduction guidée avec une configuration commune de vos premières alertes ; Advanced et Pro ajoutent un onboarding premium et une assistance à l’intégration ; Pro propose aussi une revue semestrielle de threat intelligence et un support prioritaire. Les éditions MSSP incluent l’onboarding MSSP : formation de votre équipe et configuration de votre premier client avec vous.

Écrivez à support@kaduu.io pour les questions sur le produit et les questions techniques, ou à info@darknetsearch.com pour les prix, les partenariats et les démos ; l’équipe répond elle-même. Vous pouvez aussi nous appeler en Suisse au +41 26 543 41 08 ou en Espagne au +34 609 74 74 31, ou utiliser le formulaire de contact.

Oui. Nos analystes mènent des investigations manuelles sur demande, et nous pouvons ajouter de nouvelles sources à votre demande. Comme nous développons notre propre produit, une modification est en général en ligne en quelques jours, pas en quelques mois.

Les guides de l’API, par objectif et endpoint par endpoint, se trouvent sur le Wiki de l’API. La page de documentation explique les fonctions de la plateforme, et la base de connaissances propose des articles et un glossaire.