Le shadow IT, ce sont les applications SaaS que vos équipes utilisent sans que la DSI le sache : un Trello ouvert par le marketing, un Dropbox personnel pour les gros fichiers, un compte ChatGPT payé sur la carte bleue d’un chef de projet. En une semaine de travail méthodique, une PME peut en dresser l’inventaire complet sans acheter le moindre outil : il suffit de croiser quatre sources de données que vous possédez déjà.
Ce tutoriel décrit la démarche jour par jour. Comptez une demi-journée par étape pour une entreprise de 50 à 300 personnes, et un tableur partagé comme seul livrable.
Pourquoi un inventaire SaaS est le prérequis de tout le reste
Une application que vous ne connaissez pas est une application que vous ne pouvez ni protéger par MFA, ni révoquer au départ d’un collaborateur, ni inclure dans une notification d’incident. C’est aussi une application dont vous ne savez pas quelles données elle héberge — donc un angle mort dans votre registre de traitements.
Le risque n’est pas théorique. Les vols de données massifs de 2025 et 2026 ont largement visé des portails SaaS via des jetons OAuth volés plutôt que des serveurs internes : l’attaquant n’a pas besoin d’entrer dans votre réseau si vos données sont déjà chez un tiers mal configuré. Et un jeton OAuth accordé à une application tierce survit à un changement de mot de passe, comme l’a rappelé l’ANSSI dans ses recommandations sur la sécurisation des annuaires cloud.
Étape 1 : extraire la liste des applications connectées à votre annuaire
Commencez par la source la plus riche : votre fournisseur d’identité. La majorité des SaaS modernes se connectent via « Se connecter avec Microsoft » ou « Se connecter avec Google », ce qui laisse une trace côté annuaire.
- Microsoft 365 / Entra ID : dans le centre d’administration Entra, ouvrez Applications d’entreprise puis filtrez sur les applications tierces. La page Autorisations de chaque application indique les portées OAuth accordées et le nombre d’utilisateurs concernés.
- Google Workspace : console d’administration, Sécurité > Contrôle des accès et des données > Contrôles des API, puis Gérer l’accès des applications tierces.
Exportez la liste en CSV. Notez pour chaque entrée : le nom, le nombre d’utilisateurs, et les portées demandées. Une application qui lit tous les e-mails de la boîte ou tous les fichiers du Drive mérite une ligne en rouge dès maintenant.
Étape 2 : interroger les journaux DNS et le pare-feu
L’annuaire ne voit que les applications qui utilisent l’authentification fédérée. Pour les autres — celles où le collaborateur a créé un compte avec son adresse professionnelle et un mot de passe — la trace se trouve dans le trafic réseau.
Extrayez les domaines les plus consultés sur les trente derniers jours depuis votre résolveur DNS interne ou depuis les journaux de votre pare-feu, puis ne conservez que les domaines en *.app, *.io, *.ai et les noms de SaaS connus. La plupart des pare-feu proposent un rapport de catégories d’URL qui fait ce travail de classement automatiquement.
Cette étape révèle en général la moitié du shadow IT réel : outils de conversion PDF, générateurs de contenu, plateformes de signature électronique, services de transfert de fichiers.
Étape 3 : croiser avec les dépenses
Demandez à la comptabilité l’export des douze derniers mois de relevés de cartes bancaires professionnelles et de notes de frais, filtré sur les montants récurrents inférieurs à 200 € par mois. Les abonnements SaaS payés hors processus achats apparaissent presque toujours ainsi : un prélèvement mensuel identique, libellé avec un nom de marque inconnu de la DSI.
C’est la seule source qui capture les outils utilisés par une seule personne, souvent les plus sensibles : assistants IA, CRM parallèles, hébergements de démonstration.
Étape 4 : consolider dans un tableau unique et qualifier
Réunissez les trois sources dans un tableur avec une ligne par application et huit colonnes : nom, propriétaire métier, nombre d’utilisateurs, type de données traitées, mode d’authentification, MFA disponible, coût annuel, décision.
Qualifiez ensuite chaque ligne selon la donnée traitée, pas selon la popularité de l’outil. Une application de prise de notes qui ingère les comptes rendus de comité de direction est plus critique qu’un CRM utilisé par deux commerciaux sur des prospects publics.
Étape 5 : décider, et documenter la décision
Trois issues possibles pour chaque application, et une seule à éviter : ne rien décider.
- Adopter : l’outil rend un vrai service. Rattachez-le à l’authentification fédérée, activez le MFA, désignez un propriétaire métier, ajoutez-le au registre de traitements et à la procédure de départ.
- Remplacer : la fonction existe déjà dans un outil que vous payez. Migrez les données, puis fermez le compte — pas l’inverse.
- Interdire et révoquer : le risque dépasse l’usage. Retirez le consentement OAuth côté annuaire, bloquez le domaine au pare-feu, et prévenez les utilisateurs concernés avant la coupure, jamais après.
Terminez par le geste qui empêche l’inventaire de se périmer en trois mois : dans Entra ID comme dans Google Workspace, désactivez le consentement utilisateur par défaut et basculez sur un flux de demande d’autorisation administrateur. À partir de ce moment, toute nouvelle application tierce passe par vous.
Refaire l’exercice sans y repasser une semaine
Planifiez une relecture trimestrielle limitée à l’étape 1 et à l’étape 3 : les deux sources bougent, les journaux réseau confirment. Une heure suffit si le tableur est resté à jour.
Les applications adoptées à l’étape 5 méritent en revanche une surveillance continue : les connexions depuis des pays inhabituels, les créations de jetons d’API et les partages de fichiers vers l’extérieur sont les signaux qui précèdent un vol de données sur un SaaS.
Ces signaux ne se lisent qu’en continu, et la plupart des PME n’ont personne pour les regarder à 3 h du matin : c’est exactement le rôle de notre SOC managé 24/7 pour PME et ETI, qui collecte les journaux de vos SaaS en même temps que ceux de votre SI.
Pour aller plus loin sur les applications que vous décidez de garder, voyez comment sécuriser vos portails SaaS contre le vol de données et la liste des réglages Microsoft 365 à vérifier en priorité.
Ce qu’il faut retenir
- Quatre sources suffisent : annuaire cloud, journaux DNS, pare-feu, dépenses par carte bancaire.
- Les portées OAuth accordées comptent plus que le nom de l’application.
- Un jeton OAuth survit à un changement de mot de passe : il faut le révoquer explicitement.
- Migrez les données avant de fermer un compte, jamais l’inverse.
- Désactiver le consentement utilisateur par défaut est le seul geste qui empêche le shadow IT de revenir.