Télécharger les sites web qui utilisent Azure AD B2C

À propos de Azure AD B2C

Les pages de connexion sont la partie d’un site web qu’un robot a le moins de chances de voir. L’authentification se trouve en général sur un hôte séparé, derrière une redirection ou à un clic au-delà d’un bouton, si bien que tout décompte d’une plateforme d’identité part avec un handicap avant même la première requête.

Azure AD B2C est le service d’identité hébergé de Microsoft pour les applications destinées au grand public, disponible depuis 2015 et vendu sous licence Proprietary. Sa présence sur un site dit quelque chose d’assez précis sur l’organisation qui se tient derrière. Les comptes utilisateurs y ont été traités comme une infrastructure à louer plutôt qu’à construire, l’équipe était à l’aise dans l’écosystème d’un grand fournisseur de cloud, et la connexion, la réinitialisation de mot de passe et les liaisons avec les fournisseurs sociaux ont été confiées à un service adossé à un contrat. Choisir un fournisseur d’identité géré est une décision prise une fois, au moment de la construction, puis laissée intacte pendant des années, ce qui en fait un signal durable sur une stack plutôt qu’un signal de mode.

En octobre 2026, nous détectons Azure AD B2C sur 2 sites, et la lecture honnête de la valeur est qu’elle constitue une borne basse. La détection suppose qu’une page publique révèle le raccordement, typiquement par une cible de redirection, un appel de script ou un point d’entrée de connexion sur un domaine que nous avons exploré. Une application dont l’authentification n’apparaît qu’après un clic de l’utilisateur, ou qui réside sur un sous-domaine jamais récupéré, manquera à l’ensemble alors même que le service est en production.

La sous-estimation mérite d’être énoncée franchement, parce que l’autre solution consiste à citer un nombre qui sonne comme une part de marché sans en être une. Un jeu complet de domaines confirmés sert à tout autre chose. Joint aux catégories, aux pays et aux extensions de premier niveau où ces domaines se rangent, il indique où l’identité grand public gérée s’adopte et par quel type d’entreprise, sur toute une population d’un seul coup.

Les chercheurs en sécurité se servent de listes de ce genre pour cerner quelles propriétés seraient touchées par un incident chez un fournisseur d’identité. Les concurrents de Microsoft s’en servent pour trouver les comptes qui font tourner la stack de connexion de quelqu’un d’autre. Les consultants s’en servent pour prouver qu’un marché existe avant de proposer une migration. Aucun de ces travaux ne se fait un domaine à la fois, et c’est là la différence pratique entre une requête et un fichier téléchargeable. Le fichier vous laisse filtrer, joindre et compter, tandis qu’une requête ne fait que confirmer ce que vous soupçonniez déjà d’un site que vous connaissiez déjà.