Trouver les sous-domaines d’un nom de domaine

Comment utiliser l’outil

Saisissez un nom de domaine, avec ou sans « www », puis cliquez sur « Chercher ». Le serveur interroge crt.sh, un moteur de recherche public des journaux de certificats, et se rabat sur l’API de Cert Spotter si crt.sh ne répond pas. Il regroupe ensuite tous les noms trouvés par sous-domaine : un nom cité dans dix certificats ne forme qu’une ligne. Le résultat d’un domaine est gardé six heures sur le serveur, pour ne pas solliciter ces services à chaque visite.

Cochez l’option DNS pour savoir si chaque nom répond encore aujourd’hui. L’outil demande alors les enregistrements A, AAAA et CNAME de 200 noms au plus. Un nom qui répond a au moins un de ces enregistrements : cela ne dit rien du contenu servi derrière. Les filtres affinent la liste (texte, état DNS, jokers, noms de test probables, ancienneté du dernier certificat) et le fichier CSV reprend les lignes affichées. L’outil accepte 20 recherches par tranche de 10 minutes et par visiteur, et le tableau montre les 500 premières lignes d’une liste filtrée.

D’où viennent les noms : Certificate Transparency

Certificate Transparency est un système de journaux publics, consultables par tous, où sont inscrits les certificats TLS émis par les autorités de certification publiques. La RFC 6962 les décrit comme des journaux auditables publiquement, en ajout seul, de tous les certificats émis, et attend des autorités qu’elles y versent leurs nouveaux certificats.¹ Son objectif est de permettre à ceux dont le nom figure dans un certificat de repérer une émission qu’ils n’attendaient pas. Les journaux ne détectent rien eux-mêmes : ce sont les propriétaires de domaines qui les surveillent.¹

La RFC 9162 a remplacé la RFC 6962 en décembre 2021 avec une version 2.0 du protocole. Les deux documents portent le statut Expérimental à l’IETF.² Pour un référenceur, l’intérêt est un effet secondaire : chaque certificat inscrit cite les noms qu’il couvre, donc une liste de sous-domaines se lit dans ces journaux sans toucher au site.

crt.sh et Cert Spotter sont deux façons d’interroger ces données. Cert Spotter documente son API publique : le paramètre include_subdomains renvoie tous les sous-domaines descendants du domaine demandé, et les requêtes sans compte sont limitées en nombre par heure.³ L’outil les enchaîne pour que la recherche aboutisse même quand l’un des deux est lent.

Lire le tableau

Chaque ligne est un nom unique. Les deux premières dates sont les débuts de validité du plus ancien et du plus récent certificat qui cite ce nom, la troisième est la fin de validité la plus tardive. Le premier certificat vu n’est donc pas la date de création du sous-domaine : le nom peut exister depuis longtemps sans certificat. La colonne « Certificats » compte les inscriptions qui citent le nom, renouvellements compris, ce qui explique qu’un site actif en cumule beaucoup.

La colonne « Joker » signale un nom couvert par un certificat générique, de la forme *.exemple.fr. Un tel certificat protège tous les sous-domaines d’un niveau sans les nommer : un sous-domaine qui ne figure que dans un joker n’apparaît donc pas en toutes lettres, et l’outil l’indique « joker seulement ». La colonne DNS, si l’option est cochée, distingue les noms qui répondent, ceux qui n’ont plus aucun enregistrement et ceux qui n’ont pas été vérifiés.

Un nom est signalé « environnement de test possible » quand une de ses parties contient un mot de la liste de l’outil : dev, test, staging, stage, preprod, recette, beta, demo, qa, uat, sandbox, preview, integration, old ou ancien. Cette liste est un repère de l’outil, aucune source ne l’impose, et un nom sans ces mots peut aussi être une préproduction.

Pourquoi lister les sous-domaines en SEO

Un site grandit, des équipes lancent un blog, une boutique, une page de campagne, puis l’oublient. La liste des sous-domaines sert d’inventaire avant un audit, une migration ou un rachat de site. Trois situations reviennent.

La première est le sous-domaine oublié qui reste en ligne. Tant qu’il répond, Google peut le découvrir et l’explorer comme n’importe quelle adresse. Pour retirer une page de la recherche, Google recommande de la supprimer ou de la protéger par mot de passe, ce qui empêche aussi Googlebot d’y accéder ; une balise noindex retire seulement la page des résultats de Google, et les visiteurs ou les moteurs qui ne la respectent pas peuvent toujours la lire. Google déconseille d’utiliser le fichier robots.txt pour cela.⁶ Un nom de la liste qui ne répond plus dans le DNS ne peut plus être exploré, un nom qui répond encore mérite une vérification, par exemple avec le test d’indexabilité.

La deuxième est l’environnement de test exposé. Les noms comme recette ou staging peuvent recevoir un vrai certificat pour que le site fonctionne en https, donc ils entrent dans les journaux et dans cette liste. S’ils sont accessibles sans identifiant, ils peuvent être explorés et indexés comme le reste. La protection par mot de passe est la réponse que Google donne pour garder des crawlers hors d’une page.⁶

La troisième est la dispersion. John Mueller a dit en mai 2018 que Google voit sous-domaines et sous-dossiers de la même manière, qu’il garderait lui-même un même site sur un même domaine autant que possible, et qu’il réserverait un sous-domaine à du contenu vraiment différent.⁵ La liste montre si le site s’est éparpillé en blogs et en micro-sites qui auraient leur place dans un seul ensemble.

Elle sert aussi à Search Console. Une propriété de domaine regroupe les données de tous les sous-domaines, protocoles et chemins du domaine ; elle se déclare avec le domaine seul, et la validation passe par un enregistrement DNS.⁴ Pour suivre un sous-domaine à part, Google conseille de créer une propriété avec préfixe d’URL ou de filtrer le rapport de performances.⁴ Savoir quels sous-domaines existent permet de décider lesquels suivre.

Ce que la liste ne montre pas

La liste ne contient que les noms qui ont reçu un certificat public inscrit dans les journaux. Un sous-domaine sans https, un nom interne, un service qui n’utilise qu’un certificat générique ou qui passe par un certificat privé n’y figure pas, ou seulement sous forme de joker. Un nom présent dans la liste peut aussi ne plus exister : un certificat reste inscrit pour toujours, même après la fermeture du site. L’option DNS corrige en partie ce point, sans le résoudre : un nom peut garder un enregistrement alors que plus rien n’est servi.

Les deux sources peuvent aussi tronquer une réponse sur un très gros domaine. L’outil le signale quand il s’en aperçoit, et la liste est limitée à 2 000 noms. Elle vient en complément d’un crawl du site et de son plan de site.

Après la liste

Pour chaque nom qui répond, le test d’indexabilité dit si la page peut figurer dans l’index de Google, et l’outil CMS, DNS et hébergeur montre sur quel serveur et avec quelle technologie il tourne. Un inventaire de sous-domaines fait partie de l’état des lieux que je mène avant une refonte, un point que je traite dans l’accompagnement SEO pour mes clients.

Questions fréquentes