Cyberpediapar Brain
FRDEEN

Honeypots et honeytokens : des pièges pour repérer l'intrus

Serveur factice, faux document, fausse clé d'accès : ce que sont les leurres de sécurité, et ce que le salarié doit faire s'il en croise un.

En 30 secondes

Où ça arrive
Sur des systèmes, des fichiers ou des comptes que l'équipe sécurité a placés volontairement, sans que les salariés aient à s'en occuper.
Ce que veut l'attaquant
Trouver des mots de passe, des clés ou des jetons d'accès. Le leurre lui offre exactement cela, mais il ne mène nulle part.
Le réflexe
Ne pas toucher à un leurre, ne jamais en installer soi-même, et signaler à la sécurité tout message d'alerte ou fichier suspect.
Si c'est déjà fait
Prévenir la sécurité sans attendre, en indiquant ce qui a été ouvert et à quel moment.

De quoi parle-t-on

Un honeypot est un leurre. Le glossaire du NIST le définit comme un système (par exemple un serveur web) ou une ressource de système (par exemple un fichier sur un serveur) conçu pour être attractif pour les pirates et les intrus, « like honey is attractive to bears »1. Dans cette fiche, « honeytoken » désigne la même idée à plus petite échelle : une donnée sans usage réel, comme un faux identifiant ou une fausse clé d'accès, placée là où un intrus la trouvera. Les sources citées ici ne définissent pas ce terme.

Pour un salarié, ces pièges restent le plus souvent invisibles. Ils servent à la sécurité de l'entreprise, qui les installe et les surveille. Cette fiche explique le principe, ce qu'on attend de chacun si un leurre apparaît sur son chemin, et les défauts qui rendent ces dispositifs inutiles ou dangereux.

Questions directes

À quoi sert un leurre ?

Il sert à repérer une intrusion. Le NCSC britannique rappelle que l'objectif premier de la cybersécurité est d'empêcher les attaques2. Ce n'est pas toujours possible2. Le rôle d'un centre des opérations de sécurité (SOC) est de limiter les dégâts en détectant et en traitant les attaques qui contournent les contrôles préventifs2. Un leurre est un moyen de détection parmi d'autres : il s'ajoute aux protections qui bloquent, il ne les remplace pas.

Pourquoi un intrus s'y laisse-t-il prendre ?

Parce qu'il cherche précisément ce que le leurre imite. MITRE décrit des adversaires qui fouillent les systèmes de fichiers locaux et les partages réseau à la recherche de fichiers contenant des identifiants mal protégés3. Il peut s'agir de fichiers créés par des utilisateurs pour noter leurs mots de passe, de fichiers de configuration contenant des mots de passe, ou de code source avec des mots de passe intégrés3. Ces mêmes adversaires peuvent énumérer fichiers et dossiers pour décider de la suite de leur action4. Un faux fichier de mots de passe, rangé au bon endroit, ressemble à une trouvaille.

Un salarié peut-il déclencher un leurre par erreur ?

C'est possible, et la fiche ne peut pas dire à quelle fréquence : les sources du dossier ne le documentent pas. La règle est donc simple. Un fichier, un compte ou un partage qui n'a aucun rapport avec votre travail n'est pas à ouvrir par curiosité. Si vous l'avez ouvert, dites-le à la sécurité plutôt que de le taire.

Un salarié doit-il installer un leurre chez lui ou sur son poste ?

Non. Un leurre mal posé peut créer un problème au lieu d'en régler un. Le choix de l'emplacement, de l'isolement et de la surveillance revient à l'équipe sécurité.

1Comment ça marche2 min

Il existe trois grandes familles de leurres, que la fiche distingue d'après les exemples du glossaire du NIST1 et des fiches MITRE35.

  • Le serveur ou le système factice : c'est le honeypot au sens du NIST, un système attractif pour l'intrus1.
  • Le faux document ou le faux fichier : une ressource placée sur un serveur, que le NIST range aussi dans la définition du honeypot1.
  • Le faux jeton ou la fausse clé d'accès : un jeton d'application sert à faire des requêtes autorisées au nom d'un utilisateur ou d'un service, et il est courant dans les applications cloud et en conteneurs5. Un adversaire qui vole de tels jetons peut accéder aux données et agir avec les droits des comptes concernés5. Un jeton factice, selon le raisonnement de la fiche, attirerait la même convoitise.

Le principe d'alerte tient à l'usage : le leurre n'a aucune fonction dans le travail quotidien, donc tout contact avec lui mérite d'être examiné. Les sources du dossier ne détaillent pas le fonctionnement technique des outils du commerce, et cette fiche ne le décrit pas.

Le même raisonnement vaut pour les comptes. MITRE note que les comptes cloud, créés par une organisation pour ses utilisateurs, ses services ou l'administration, sont des cibles6. Un adversaire peut les viser par force brute ou par hameçonnage6. Un faux compte pourrait servir d'appât sur ce terrain, selon le raisonnement de la fiche.

2Ce que vous faites1 min
  • Vous ne touchez pas à ce qui ne vous concerne pas. Un fichier nommé « mots_de_passe » dans un dossier partagé que vous n'utilisez jamais n'est pas une aubaine.
  • Vous ne copiez, ne testez et ne partagez aucun identifiant, clé ou jeton trouvé par hasard.
  • Vous signalez à la sécurité tout message d'alerte inattendu, tout fichier ou compte suspect, avec le nom, l'emplacement et l'heure.
  • Vous n'installez pas de leurre vous-même, ni sur un poste, ni dans un espace cloud.
  • Vous ne rangez pas vos propres mots de passe dans un fichier : MITRE cite justement ces fichiers parmi ceux que les adversaires recherchent3.
3Les pièges2 min

Le leurre trop facile à reconnaître

Un faux document grossier, au nom trop évident, ne trompe personne. Les sources du dossier ne disent pas comment réussir un leurre crédible : le point est seulement signalé ici, sans consigne technique.

L'alerte ignorée

Détecter ne sert à rien si personne ne réagit. Le NCSC décrit le SOC comme un ensemble qui détecte et répond2. Son guide traite à la fois de la détection et de la réponse aux incidents2.

Le leurre mal isolé

Les sources du dossier ne traitent pas l'isolement d'un leurre par rapport au reste du réseau. MITRE recommande en revanche, de façon générale, de réduire la surface d'attaque en supprimant les logiciels, fonctions et services inutiles8, ce qui vaut aussi pour un leurre oublié.

Les données personnelles collectées sans cadre

Si un leurre enregistre ce que fait une personne, les règles sur les données personnelles peuvent s'appliquer. Le RGPD, dans son article 5, demande qu'elles soient traitées de manière licite, loyale et transparente7. Elles doivent être collectées pour des finalités déterminées, explicites et légitimes7. Elles doivent aussi être limitées à ce qui est nécessaire7. Il exige aussi une sécurité appropriée du traitement7. Un dispositif de surveillance sans finalité claire ni information des personnes s'écarte de ces principes.

Le compte cloud pris pour cible

Un compte cloud synchronisé avec les systèmes internes peut ouvrir la voie vers l'entreprise elle-même : MITRE précise que des comptes fédérés ou synchronisés peuvent permettre d'agir à la fois sur les systèmes internes et sur le cloud6. La fiche en déduit qu'un faux compte de ce type devrait être cloisonné comme un compte sensible.

Fiche

Identifiant
CP-235
Aile
3. Protocoles et défense
Compétence Brain
Naviguer en sécurité (browse_safely)
Réflexe Brain
cr-078
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. NIST, « honeypot - Glossary | CSRC ». https://csrc.nist.gov/glossary/term/honeypot (consulté le 3 novembre 2026)
  2. NCSC (Royaume-Uni), « Building a Security Operations Centre (SOC) », 23 mai 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1552/001/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1083/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1528/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/004/ (consulté le 3 novembre 2026)
  7. CNIL, « CHAPITRE II - Principes ». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1042/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Honeypots et honeytokens : des pièges pour repérer l'intrus », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/

BibTeX 
@misc{brain_cp235_fr_2026,
  author = {Brain},
  title = {Honeypots et honeytokens : des pièges pour repérer l'intrus},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0