> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/outils-de-prevention/credentials.md). # Identifiants Le `Identifiants` La section vous offre une vue dédiée de tout ce que Stoïk a trouvé en lien avec des identifiants divulgués et des appareils compromis pour votre organisation. ## Fonctionnement Stoïk Protect est connecté à trois fournisseurs externes de renseignement : * **LeakCheck** surveille les violations de données publiques : des incidents au cours desquels la base de données d'utilisateurs d'une entreprise a été piratée et publiée en ligne. * **Hudson Rock** et **Flare** collecte les journaux d'infostealers : des données exfiltrées discrètement depuis des appareils d'employés infectés par des logiciels malveillants. À partir des actifs que vous avez déclarés dans le [Scan Externe](/help/help-center-fr/outils-de-prevention/external-scan/configuration.md) (noms de domaine, adresses IP), Stoïk interroge en continu ces fournisseurs pour tout ce qui concerne votre organisation. Les résultats sont répartis dans deux onglets : **Données exposées** et **Alertes**. ## Données exposées Données exposées est le flux de renseignement complet : chaque donnée que Stoïk a trouvée divulguée en ligne au sujet de votre organisation. Il est organisé en trois sous-onglets : * **Journaux bruts :** chaque enregistrement de fuite, tous les types de données (identifiants, cookies, e-mails, numéros de téléphone, adresses IP, …). * **Identifiants :** fuites de type identifiants uniquement : URL + identifiant + mot de passe. * **Cookies :** cookies de session exfiltrés depuis des appareils infectés. Pour chaque entrée, le panneau latéral affiche le fournisseur de renseignement qui l'a trouvée, la date estimée de la fuite, le type de données et toute alerte liée. Examinez les nouvelles entrées et accusez réception une fois qu'elles ont été investiguées. Les entrées accusées de réception restent visibles mais ne sont plus comptabilisées comme nouvelles. {% hint style="info" %} Une entrée dans Données exposées ne signifie pas nécessairement que l'identifiant fonctionne encore aujourd'hui. Si nous avons confirmé que c'est le cas, elle apparaît comme une alerte Identifiants valides dans l'onglet Alertes. {% endhint %} ## Alertes Les alertes sont ce que Stoïk a confirmé de manière active comme nécessitant une action immédiate. Il en existe deux types. ### Identifiants valides Une alerte Identifiants valides signifie que Stoïk a trouvé dans Données exposées une URL + un identifiant + un mot de passe divulgués et **confirmé qu'ils donnent toujours accès** à l'un de vos services aujourd'hui (Microsoft 365, VPN Fortinet, Citrix, panneaux web exposés, et autres). Il ne s'agit pas d'une fuite historique. C'est un identifiant fonctionnel qu'un attaquant pourrait utiliser dès maintenant. Pour la résoudre : 1. Réinitialisez immédiatement le mot de passe du compte concerné. 2. Activez l'authentification multifacteur (MFA) sur ce compte si ce n'est pas déjà le cas. 3. Vérifiez si le même mot de passe est réutilisé sur d'autres services. Modifiez-les également. 4. Marquez l'alerte comme résolue une fois cela fait. Stoïk vérifiera la remédiation. ### Appareil infecté Une alerte Appareil infecté signifie que l'un de vos appareils d'employé a été identifié comme compromis par un malware infostealer, par Hudson Rock ou Flare. L'appareil exfiltre activement des données (mots de passe, cookies, remplissage automatique du navigateur, identifiants enregistrés) jusqu'à ce qu'il soit entièrement effacé. Pour la résoudre : 1. Isolez immédiatement l'appareil du réseau (déconnectez-le du Wi-Fi et du LAN). 2. Effacez l'appareil et réinstallez-le à partir de zéro. Une simple analyse antivirus ne suffit pas. 3. Forcez la réinitialisation du mot de passe pour tous les comptes utilisés sur cet appareil. 4. Invalidez les sessions actives sur ces comptes (déconnexion partout) afin de neutraliser tout cookie de session volé. 5. Activez la MFA sur les comptes concernés. ### Appareils personnels Stoïk détecte les appareils infectés sur la base de l'activité des comptes professionnels. Il ne peut pas déterminer si l'appareil lui-même est une machine fournie par l'entreprise ou un appareil personnel. Un appareil personnel (un téléphone ou un ordinateur portable sur lequel un employé a connecté un compte professionnel) peut donc apparaître comme une alerte Appareil infecté. Si vous identifiez une alerte comme liée à un appareil personnel, mettez à jour le type d'appareil depuis le panneau latéral de l'alerte : 1. Ouvrez l'alerte. 2. Modifiez **Type d'appareil** de *Professionnel* à *Personnel*. L'alerte passe au statut **Ignorée** . Elle reste visible dans la liste mais est filtrée par défaut et ne compte plus comme une alerte active. {% hint style="info" %} Même sur un appareil personnel, les comptes professionnels qui y ont été utilisés restent exposés. Avant d'ignorer l'alerte, assurez-vous que l'employé a réinitialisé ses mots de passe et invalidé les sessions actives pour tout compte professionnel utilisé sur cet appareil. {% endhint %} {% hint style="warning" %} Si vous pensez qu'une alerte est un faux positif, vous pouvez demander sa suppression directement depuis le panneau latéral. Stoïk examinera la demande avant de la clôturer. {% endhint %} ## Comment les Alertes et les Données exposées sont liées Les alertes Identifiants valides sont construites à partir des Données exposées : Stoïk sélectionne les identifiants divulgués dans le flux et les teste sur vos services. Ceux qui fonctionnent encore sont promus au statut d'Alertes. Les alertes Appareil infecté fonctionnent dans l'autre sens : chaque appareil compromis produit généralement une charge utile de données volées (mots de passe, cookies, données du navigateur) qui alimente les Données exposées. Ouvrir une alerte Appareil infecté vous montre les entrées Données exposées associées. ## Fréquence de mise à jour des données Stoïk interroge chaque fournisseur selon un calendrier régulier : * Flare : toutes les 24 heures * Hudson Rock : toutes les 72 heures * LeakCheck : tous les 7 jours Les Données exposées et les alertes Appareil infecté suivent le même calendrier que leur fournisseur respectif. **Les alertes Identifiants valides** sont testées dès que de nouveaux identifiants exposés sont détectés. Stoïk les reteste ensuite tous les 3 jours jusqu'à ce que l'identifiant ne fonctionne plus, de sorte que l'alerte se résout automatiquement une fois le mot de passe modifié. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-center-fr/outils-de-prevention/credentials.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.