Les 5 meilleurs services de renseignement sur les menaces cyber comparés

Nous avons mené des preuves de concept pratiques sur 5 services de renseignement sur les menaces cyber, en notant chacun selon les mêmes 33 critères répartis en 8 catégories, à l’aide d’un jeu de sondes partagé composé d’IOC historiques, de 6 acteurs malveillants et de 4 CVE exploitées. Le résultat le plus contre-intuitif est que gratuit AlienVault OTX a égalé CrowdStrike, la plateforme la plus chère de ce comparatif, en matière d’automatisation. 

Découvrez comment les 5 services ont été notés, où chacun excelle et comment les combiner dans un programme de renseignement sur les menaces en couches :

Comparatif des services de renseignement sur les menaces cyber

*CrowdStrike est noté au niveau de la famille de produits, car ses capacités couvrent plus de 4 abonnements (voir la méthodologie).

Scores par catégorie

Ces 5 services représentent 5 archétypes distincts de renseignement sur les menaces. Ce comparatif identifie donc un positionnement plutôt qu’un gagnant unique : chaque produit remplit une fonction différente dans un programme de renseignement sur les menaces.

Principaux enseignements

Le prix et le palier tarifaire ne prédisent pas les capacités dans la même direction dans les 8 catégories :

• La plateforme gratuit a égalé les leaders premium sur les interfaces d’automatisation. AlienVault OTX expose des API REST, des SDK et TAXII sans frais, et obtient la note maximale à l’intégration et à l’API, le même 4 sur 4 que CrowdStrike et Feedly, tandis que CrowdStrike réserve son flux STIX/TAXII au palier Premium et que X-Force renvoie un 403 sur les appels d’API depuis son palier gratuit.
• Le leader de la couverture a déplacé le renseignement sur les CVE vers un produit distinct. CrowdStrike a confirmé 30 des 33 critères, avec 0 capacité absente et 1 lacune structurelle. Les données CVE et le score ExPRT.IA se trouvent dans le SKU distinct Falcon Exposure Management plutôt que dans Adversary Intelligence. En matière de profondeur CVE, le freemium X-Force et Feedly sont plus intégrés que le produit le plus cher de ce comparatif.
• Le score le plus bas ne signifie pas le pire produit. GreyNoise a confirmé 10 critères et a été noté absent sur 16. Ses notes confirmées se concentrent sur un point : classer les IP de balayage comme bénignes, malveillantes, suspectes ou inconnues, ce qu’aucun des 4 autres services ne fait. Les 16 critères absents concernent l’attribution, les malwares, le dark web et le renseignement finalisé.
• La plateforme freemium la plus complète est en cours d’arrêt. X-Force offrait l’expérience freemium la plus complète du comparatif, mais IBM a annoncé une date de fin de vie au 31 août 2026, avec une transition des clients vers Palo Alto Cortex.¹
• L’agrégateur OSINT est arrivé deuxième. Feedly a confirmé 19 capacités grâce à l’extraction d’IoC et de TTP basée sur l’IA, au renseignement sur les vulnérabilités scoré EPSS, et à la gamme d’export et de livraison la plus large des 5.

CrowdStrike Falcon Adversary Intelligence

Figure 1. Vue principale de CrowdStrike Falcon Adversary Intelligence

CrowdStrike couvre les 33 critères au niveau de la famille de produits, même si 3 ne sont que partiellement disponibles. Nous l’avons testé dans le cadre d’un essai Premium dans la région EU-1.² L’essai n’exigeait pas de MFA, même si les sessions expiraient au bout d’environ une heure. Les capacités CTI de CrowdStrike ne forment pas un produit unique, mais une famille : Adversary Intelligence (base), Adversary Intelligence Premium, Counter Adversary Operations (CAO) Elite, Recon et Recon+, et Exposure Management. C’est pourquoi le score est mesuré au niveau de la famille de produits.

Sources de données

La base repose sur la télémétrie first-party des capteurs Falcon, combinée aux recherches de Counter Adversary Operations et d’OverWatch, ainsi qu’à la collecte Recon sur l’open web, le deep web et le dark web.

Figure 2. Le tableau de bord CrowdStrike Falcon permet d’ajouter des pages restreintes

Recon surveille des millions de pages restreintes, de forums criminels et de plateformes chiffrées. C’est le seul service de ce comparatif à atteindre les sources souterraines au sein de la famille de produits.

Couverture et types de renseignement

Le module malware répertorie 4 207 familles de malwares, chacune avec ses capacités (RAT, InfoStealer, vol d’identifiants, botnet), les systèmes ciblés, les adversaires associés et des filtres sur les vulnérabilités, la kill chain et MITRE.

Figure 3. Le module malware

MalQuery recherche dans plus de 3,5 Md de fichiers et Falcon Sandbox s’exécute dans le palier de base. La surveillance de marque, l’usurpation de domaine et de réseaux sociaux (Recon) et la détection d’identifiants exposés avec réinitialisation forcée Falcon Identity Protection (Recon) existent tous ici, et dans aucun autre service testé. La seule lacune est le renseignement sur les vulnérabilités. Les données CVE et le score ExPRT.IA se trouvent dans le SKU distinct Exposure Management, de sorte que relier un adversaire à une CVE nécessite deux abonnements.

Analyse et enrichissement

Chaque profil d’adversaire comporte une matrice MITRE ATT&CK et un onglet kill chain directement dans l’interface, au palier de base, sans appel d’API ni mur Premium. Aucun autre service testé n’affiche ATT&CK nativement. OTX le renvoie uniquement via l’API, X-Force le réserve au contenu Premium et Feedly le déduit par agrégation.

Figure 4. Matrice ATT&CK par adversaire

Intel Explorer relie adversaires, malwares, vulnérabilités et rapports, et l’Indicator Graph API expose ces relations. Le risque IOC utilise des catégories malicious_confidence (high, medium, low, unverified), plus grossières que l’échelle numérique de 1 à 10 de X-Force.

287 adversaires nommés, chacun avec un profil structuré couvrant l’origine, la motivation, les secteurs ciblés et plus de 30 pays cibles. Dans nos sondes, la correspondance des alias d’APT28 (STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, BlueDelta) correspondait exactement à notre clé de réponse.

Attribution

La console répertoriait 287 adversaires nommés (les documents publics citent plus de 281 pour 2026), chacun structuré avec l’origine, la motivation, les secteurs et pays cibles, le nombre de rapports de renseignement et l’ID communautaire.

Figure 5. Adversaires CrowdStrike Falcon

Le profil FANCY BEAR (APT28) allait d’une date de première observation en 2007 à une dernière observation en avril 2026, marqué comme étatique, d’origine fédération de Russie, avec plus de 30 pays cibles et une réconciliation complète des alias : STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, Iron Twilight, BlueDelta et APT28, correspondant exactement à notre clé de réponse.

Figure 6. Synthèse du renseignement sur les menaces avec fancy bear

Labyrinth Chollima correspondait à Lazarus et Carbon Spider à FIN7 ; LockBit, Scattered Spider et MuddyWater étaient recherchables par ID communautaire. Tout cela se trouve dans le palier de base.

Plateforme

La recherche d’adversaires à facettes, le FQL à l’échelle de la plateforme et une API SearchIndicators couvrent les besoins de requête ; le hub Intelligence propose des tableaux de bord, des favoris et des notifications, avec des règles de surveillance Recon pour les alertes de marque et d’identité.

Le module Reports contient 429 rapports de renseignement finalisés (filtrés par adversaire, MITRE, secteur, pays et malware), plus le rapport Threat Hunting 2025 ; la bibliothèque complète est Premium.

Aucun autre service testé n’offre d’accès RFI (5 par an, Premium) ni d’analyste dédié (CAO Elite). Comme la CTI partage une console avec Falcon EDR/XDR, NG-SIEM, Investigate et Fusion SOAR, un client Falcon existant peut y accéder via la même console qu’EDR/XDR, NG-SIEM, Investigate et Fusion SOAR.

Intégration et API.

Une API REST OAuth2 (client Create API, base api.eu-1) est livrée avec deux SDK officiels, FalconPy pour Python et PSFalcon pour PowerShell, soit l’accès programmatique le plus mature des 5.

Figure 7. Liste des clients API REST OAuth2 de CrowdStrike Falcon

Fusion SOAR est natif et le flux de renseignement exporte en STIX/TAXII/JSON, bien que le flux STIX/TAXII soit Premium. Sur le seul axe de l’automatisation gratuit, OTX est plus fort.

Reporting

L’outil couvre les rapports stratégiques, opérationnels, tactiques et sectoriels, avec livraison par PDF, API, STIX/TAXII, e-mail ou SIEM. Le module Reports contient 429 rapports de renseignement finalisés (filtres par adversaire, MITRE, secteur, pays et malware) plus le rapport Threat Hunting 2025 ; la bibliothèque complète est Premium.

Figure 8. Rapports Recon finalisés de CrowdStrike Falcon

Scénarios opérationnels

Recon+ fournit un takedown géré de bout en bout (faux comptes, phishing, domaines) avec CSC Global en un clic, le seul takedown intégré à la plateforme parmi les 5. La chasse gérée OverWatch, Fusion SOAR, FalconPy et le support YARA/SNORT alimentent la chasse pilotée par le renseignement (Premium). CrowdStrike perd ses deux notes partielles à cause du packaging : la priorisation des vulnérabilités (ExPRT.IA) se trouve dans Exposure Management, et la surveillance de la chaîne d’approvisionnement Recon se concentre sur l’usurpation de partenaires et de fournisseurs plutôt que sur une évaluation complète du risque fournisseur.

Où il excelle et où il coûte

Deux des 3 notes partielles proviennent du fait que le renseignement CVE se trouve dans un SKU distinct. La troisième est la couverture de la chaîne d’approvisionnement, qui s’arrête à l’usurpation de partenaires et de fournisseurs et ne s’étend pas à l’évaluation du risque fournisseur. Les vrais compromis sont la fragmentation des SKU sur plus de 4 abonnements, le coût total le plus élevé des 5, l’absence de flux gratuit et un scoring de risque plus grossier que X-Force ou GreyNoise.

Idéal pour : les équipes SOC et CTI matures disposant d’un programme de renseignement sur les menaces centré sur l’attribution (suivi des APT, campagnes, ATT&CK) et d’un budget pour la protection contre les risques numériques, en particulier les clients Falcon EDR/XDR existants. Les équipes à budget limité ou celles qui n’ont besoin que d’une capacité étroite devraient se tourner ailleurs.

Feedly Threat Intelligence

La couche d’agrégation OSINT pilotée par l’IA, et le deuxième score le plus élevé des 5. Nous l’avons testé dans le cadre d’un essai Threat Intelligence de 30 jours (« Playground ») avec connexion par lien magique sans mot de passe. Feedly ne produit aucune télémétrie first-party. Son IA Leo lit les sources et son Threat Graph contient plus de 10 M d’articles, plus de 681 M d’IoC, plus de 300 K CVE, 979 acteurs malveillants, plus de 12 K familles de malwares et 800 TTP. La tarification est d’environ 19,2 K $ par an pour Standard et 38,4 K $ pour Advanced, avec le MCP Server et l’API avancée dans Advanced ou Enterprise.

Sources de données

Le tableau Today trie les articles dans des catégories organisées par IA (vulnérabilités, cyberattaques, threat intel, actualités sécurité, avis des fournisseurs) et déduplique la couverture d’un même événement à travers de nombreuses sources, en réduisant une carte marquée « +426 flux » à un seul élément. Derrière se trouvent plus de 10 000 sources curées, clear web et dark web, plus des millions de flux bruts. Feedly n’exploite aucun réseau de capteurs propre, d’où la note absente dans cette catégorie, et atteint le dark web par agrégation de sources publiées.

Figure 9. Espace de travail Feedly Threat Intelligence

Couverture et types de renseignement

Leo extrait automatiquement les IoC du texte des articles : une carte GodDamn Ransomware a été étiquetée « IoC > 4 IP et 18 hashes » et une carte de chaîne d’approvisionnement jscrambler « 5 adresses e-mail et 5 hashes », extrayant structurellement 4 types d’IoC, ce que les étiquettes de pulse et les recherches de réputation ne peuvent pas faire.

Figure 10. Tableau Threat Intel

Aucun autre service testé ne place CVSS, EPSS, KEV et le statut d’exploitation sur un seul écran.

Figure 11. Détail de l’élément CVE

Les deux lacunes sont le suivi de marque (partiel, basé sur des mots-clés) et les identifiants divulgués (absent).

Analyse et enrichissement

Leo étiquette les articles avec les techniques ATT&CK (« 33 TTP », « 24 TTP », « TA0004 ») et les exporte vers Navigator, et le Real-Time Threat Graph est un graphe de relations fonctionnel entre article, IoC, CVE, TTP, acteur et malware. La réputation brute des IP et des hashes ne repose pas sur ses propres moteurs ; elle croise VirusTotal et GreyNoise. Il n’existe pas de score de risque formel des articles ; le scoring reste du côté des vulnérabilités via EPSS et CVSS.

Attribution

Les cartes Threat Actor Insights couvrent 979 acteurs, avec réconciliation des alias et liens vers les cibles, les TTP, les malwares et les CVE. Cependant, le contenu provient d’OSINT plutôt que de données first-party ; Feedly compile donc l’attribution au lieu de la produire.

Plateforme

Les IA Feeds acceptent des requêtes booléennes, Ask IA accepte le langage naturel et les Team Boards offrent des alertes de watchlist. Le renseignement finalisé est généré automatiquement par Ask IA et les Insights Cards, ce qui a été noté partiel par rapport à un critère rédigé pour des bibliothèques d’analystes. Les RFI et l’analyste à la demande sont absents.

Intégration et API

Une API REST STIX 2.1, plus de 11 connecteurs SIEM/SOAR (Anomali, MISP, Cortex XSOAR, EclecticIQ, ThreatQ, ThreatConnect, Sentinel, Splunk, OpenCTI), l’export multi-format et la livraison vers Slack, Teams, e-mail et newsletter sont tous présents. Le MCP Server, pour l’automatisation CTI assistée par IA, n’apparaît dans aucun autre service testé.

Reporting

Report Builder et Ask IA génèrent des synthèses exécutives, des avis de vulnérabilité, des notes TTP sur les acteurs et des newsletters, de sorte que le produit fournit des livrables prêts à l’emploi plutôt que des données brutes.

Scénarios opérationnels

Le Vulnerability Dashboard est la priorisation EPSS/KEV intégrée au produit principal de tout service testé. La correspondance des IoC alimente le SOAR et le TIP avec du contexte, et un chemin de ticket ServiceNow piloté par MCP existe. Le Vulnerability Dashboard est la seule priorisation EPSS/KEV intégrée, intégrée au produit principal plutôt qu’en module additionnel.

Figure 12. Tableau des vulnérabilités de Feedly Threat Intelligence

Où il excelle et où il s’arrête court

Feedly a été noté absent sur 4 critères : la télémétrie first-party des capteurs, une base de données d’identifiants divulgués, l’accès RFI et le service de takedown. Ses 4 critères d’attribution ont été notés partiels parce que les données sur les acteurs sont compilées à partir de recherches publiées plutôt que générées en interne.

Idéal pour : les équipes CTI en libre-service qui veulent accélérer le triage OSINT, suivre les CVE et les TTP, et produire des livrables de renseignement prêts à l’emploi. Considérez-le comme une couche de compilation au-dessus des sources primaires, pas comme un remplacement de celles-ci.

IBM X-Force Exchange (bientôt retiré)

⚠ IBM a annoncé la fin de vie de X-Force Exchange au 31 août 2026, avec une transition des capacités QRadar et de renseignement sur les menaces vers Palo Alto Cortex. Une architecture qui s’appuie dessus doit prévoir une voie de migration dès le départ.

Figure 13. Tableau de bord IBM X-Force Exchange

X-Force a obtenu 16 confirmés, 12 partiels et 5 absents, le plus grand nombre de critères confirmés parmi les paliers gratuit et freemium testés. Nous l’avons testé sur le palier gratuit Freemium avec un IBMid.³ La première connexion imposait l’inscription MFA par e-mail OTP et l’acceptation des conditions d’utilisation. Le modèle de paliers répartit les capacités selon le prix. Freemium donne le portail et des exemples de rapports sans API, Essentials ajoute l’API REST, l’enrichissement et TAXII, Standard ajoute un flux en masse, et Premium débloque la profondeur sur les groupes de menaces, les secteurs, les malwares et ATT&CK.

Sources de données

Le flux combine les propres équipes de recherche d’IBM, un partenariat sur les malwares avec ReversingLabs, des flux d’IP, d’URL, de vulnérabilités et de signatures, et la télémétrie DNS Quad9. Le volume reste inférieur aux quelque 20 M d’IoC par jour d’OTX. Le domaine SUNBURST a renvoyé une seule classification Botnet C2 contre les 1 487 étiquettes que le même indicateur a générées sur OTX. Le dark web est absent de la plateforme ; la surveillance réelle s’effectue dans des services X-Force IRIS distincts.

Couverture et types de renseignement

L’IP Conti C2 (162.244.80.235) a renvoyé un risque numérique 1/10 après vieillissement, un historique de catégorisation (marqué « Unsuspicious » au moment du test, après qu’un examen d’analyste de 2022 a retiré l’étiquette malware), une chronologie de 31 événements, l’ASN et le sous-réseau, le WHOIS et le DNS passif. Le domaine SUNBURST⁴ est revenu avec un risque 10/10, Botnet C2, avec la sinkhole de la division cyber du FBI enregistrée dans le WHOIS, contre le bruit de 1 487 étiquettes que le même indicateur a généré sur OTX. La capacité de signature est la base X-Force, plus de 260 K vulnérabilités : une recherche Log4Shell a croisé 50 vulnérabilités, 200 signatures, 200 IP d’exploitation, 5 profils de groupes de menaces, 11 analyses de malwares et 3 secteurs, sans aucun SKU supplémentaire. Le hash WannaCry a renvoyé la famille, le type, la plateforme, une couverture communautaire de 97 % et les données ReversingLabs Titanium avec dates de première et de dernière observation. Les identifiants divulgués sont absents, et la marque est partielle.

Couverture et types de renseignement

L’IP Conti C2 (162.244.80.235) a renvoyé un risque numérique 1/10 après vieillissement, un historique de catégorisation (marqué « Unsuspicious » aujourd’hui après qu’un examen d’analyste de 2022 a retiré l’étiquette malware), une chronologie de 31 événements, l’ASN et le sous-réseau, le WHOIS et le DNS passif.

Figure 14. IP Conti C2 d’IBM X-Force

Le domaine SUNBURST⁴ est revenu avec un risque 10/10, Botnet C2, avec la sinkhole de la division cyber du FBI enregistrée dans le WHOIS, contre les 1 487 étiquettes que le même indicateur a générées sur OTX.

Figure 15. Recherche d’URL SUNBURST

La capacité de signature est la base X-Force, plus de 260 K vulnérabilités : une recherche Log4Shell a croisé 50 vulnérabilités, 200 signatures, 200 IP d’exploitation, 5 profils de groupes de menaces, 11 analyses de malwares et 3 secteurs, sans aucun SKU supplémentaire.

Figure 16. Suivi de Log4Shell

Le hash WannaCry a renvoyé la famille, le type, la plateforme, une couverture communautaire de 97 % et les données ReversingLabs Titanium avec dates de première et de dernière observation. Les identifiants divulgués sont absents, et la marque est partielle.

Figure 17. Rapport malware WannaCry

Analyse et enrichissement

Le score numérique de risque de 1 à 10 s’accompagne d’une chronologie temporelle d’examen par analyste, le seul modèle de scoring numérique dans un palier gratuit. OTX n’offre aucun score numérique, et GreyNoise utilise 4 catégories. ATT&CK n’apparaît pas sur la page IOC ; il apparaît dans le contenu Premium, et il n’y a pas de graphe de liens visuel.

Attribution

Des profils structurés Threat Group et IRIS ITG existent, et le flux d’avis 2026 est à jour (APT28 PRISMEX, Early Warning). Mais le Freemium ne montre que des exemples, les profils profonds sont Premium, et la plupart des grands APT n’ont pas de profil dédié sous la dénomination ITG d’IBM, de sorte que la réconciliation des alias incombe à l’analyste. Cela reste en retrait des 287 profils d’adversaires de CrowdStrike avec ATT&CK natif dans l’interface.

Plateforme

La recherche à facettes (plus de 10 types plus un filtre de risque), une Watchlist axée sur les vulnérabilités, les Collections et les Notifications font du portail gratuit le plus mature des paliers freemium et communautaires. La lacune est l’accès analyste : pas de RFI dans le produit.

Reporting

La bibliothèque de renseignement finalisé compte plus de 8 types de rapports (Threat Group, OSINT, Malware, Industry, Threat Index) et reste à jour jusqu’en 2026, avec un profil sectoriel Financial Services ventilant secteur et géographie. Passons aux scénarios opérationnels, reformulés ainsi : la notation d’exploitabilité CVSS et les références croisées sont présentes. L’EPSS est absent, et il n’existe pas de chemin industrialisé de la liste des CVE vers l’ordre de correctifs.

Figure 18. Rapport de profil sectoriel Financial Services

Intégration et API

L’export STIX 2 par rapport fonctionne en Freemium, et l’intégration QRadar est native, mais l’API et TAXII commencent à Essentials et le flux en masse à Standard, de sorte que le palier gratuit renvoie un 403 sur les appels d’API. X-Force offre l’interface et facture l’automatisation. OTX fait l’inverse.

Scénarios opérationnels

La surveillance du dark web, les identifiants divulgués, les takedowns et les RFI sont en dehors de la plateforme, certains dans des services X-Force IR et TI distincts. La chasse aux menaces repose sur les Collections, l’export STIX et QRadar, l’opérationnalisation en masse étant liée à l’API payante.

Où il excelle et où il s’arrête court

La base de vulnérabilités XFDB, l’enrichissement par risque numérique et la bibliothèque de renseignement finalisé à jour placent X-Force au-dessus d’OTX et en dessous de CrowdStrike, dans la tranche moyenne-haute. Faiblesses : la date de fin de vie, l’automatisation payante, l’absence de couche d’action intégrée et l’attribution verrouillée derrière Premium. La date de fin de vie d’août 2026 fixe l’horizon utile.

Idéal pour : les analystes qui ont besoin d’un enrichissement d’IOC structuré gratuit et de recherche sur les vulnérabilités dans l’écosystème IBM/QRadar, jusqu’à la migration.

GreyNoise

Figure 19. Tableau de bord d’accueil de GreyNoise

GreyNoise a obtenu 10 confirmés, 7 partiels et 16 absents, le plus faible nombre de critères confirmés des 5 et la portée la plus étroite. Nous avons testé le palier gratuit Community⁵ via une connexion Auth0 sans MFA. GreyNoise classe un seul type d’indicateur. Pour une IP donnée, il renvoie si l’adresse balaye massivement Internet, une classification malveillante, bénigne, suspecte ou inconnue, et des étiquettes décrivant ce qu’elle cible.

Les données proviennent de son propre Global Observation Grid : plus de 5 000 capteurs dans environ 80 pays, de 500 M à 1 Md de sessions par jour et plus de 50 M d’IP observées. Une requête last_seen:1d le jour du test a renvoyé 699 076 IP de scanners actives. Le modèle de paliers limite la profondeur de rétention plutôt que les fonctionnalités. Community offre une fenêtre de 10 jours et un enrichissement de base, avec RIOT, la facette cve: et des fenêtres plus longues dans les paliers supérieurs. 17 des 33 critères sont accessibles dans Community.

Sources de données

GreyNoise possède sa télémétrie de balayage, ce que le flux participatif d’OTX et l’agrégation de Feedly ne font pas, et qui se situe sur un axe différent de la télémétrie des endpoints de CrowdStrike. Le reste de la catégorie est étroit : la source est d’un seul type (IP de balayage), les métadonnées de géolocalisation IP sont techniques plutôt qu’un profil de menace régional, et le dark web est hors périmètre.

Figure 20. Résultats de recherche pour last_seen:1d

Couverture et types de renseignement

GreyNoise a obtenu 0 confirmé, 2 partiels et 3 absents ici, sa catégorie la plus faible. GreyNoise gère un seul type d’indicateur, les adresses IP, plus les données CVE, étiquettes et JA4 liées à l’IP, sans réputation native des hashes, domaines ou URL. Une requête pour 8.8.8.8 (DNS Google) a correctement renvoyé NOT OBSERVED, car un serveur DNS n’est pas un scanner. La facette cve: est verrouillée au-dessus du palier Community. La vue Trends liste les CVE en cours d’exploitation massive au moment de la requête, sans CVSS, EPSS ni données de correctif attachées.

Figure 21. Exploitation en tendance mappée sur les CVE

Analyse et enrichissement

Une IP malveillante (139.59.140.35) a renvoyé une chronologie de classification, 34 étiquettes, un indicateur de spoofing, la géolocalisation (Allemagne, Hesse, Francfort, AS14061 DigitalOcean), le fournisseur d’accès et le rDNS, soit plus de contexte par IP que tout autre service testé. Le risque utilise un modèle catégoriel à 4 classes (malveillant, bénin, suspect, inconnu) avec correspondance de bien connus RIOT plutôt qu’un score numérique ; le jour du test, la distribution en direct était d’environ 84 K malveillants, 20 K bénins, 68 K suspects et 528 K inconnus. Il n’y a pas de mappage ATT&CK.

Attribution

Les 4 critères ont été notés absents. Il n’y a pas d’APT nommés, et les étiquettes d’acteurs désignent des scanners bénins comme Shodan et Censys.

Plateforme

GNQL est un langage de requête basé sur Lucene couvrant les champs IP, classification, étiquettes, acteur, CVE et métadonnées, le seul langage de requête parmi les 5, avec une syntaxe Lucene sur les champs IP, classification, étiquettes, acteur, CVE et métadonnées. Les alertes (une requête GNQL enregistrée vers l’e-mail), une blocklist basée sur des requêtes et un tableau de bord Trends couvrent la surveillance, bien que le tableau de bord soit limité. Le renseignement finalisé et les RFI sont tous deux absents.

Intégration et API

Plus de cinquante intégrations couvrent SIEM, SOAR, TIP et pare-feu (Splunk, Sentinel, QRadar, Tines, ThreatConnect, MISP, OpenCTI, Palo Alto, Fortinet), trois paliers d’API (Community, Enterprise, On-Prem) sont livrés avec le SDK officiel pygreynoise, et chaque requête GNQL sert également d’URL de blocklist compatible pare-feu en direct. La lacune est le STIX/TAXII natif, qui nécessite un pont MISP ou OpenCTI.

Reporting

L’export se fait en JSON et CSV, plus l’URL de blocklist et la livraison d’alertes, et les données sont quasi en temps réel, mais il n’existe pas de format de rapport ni de reporting finalisé ou sectoriel.

Scénarios opérationnels

Le scénario central consiste à réduire le bruit des alertes SOC en classant les scanners connus comme bénins avant qu’ils n’atteignent le SIEM, ainsi que l’analyse d’IP en masse. Aucun des 4 autres ne le fait. Le signal d’exploitation Trends complète les scores basés sur les probabilités, le produit complet étant un module payant. Le takedown et la chaîne d’approvisionnement sont hors périmètre.

Figure 22. Résultats de recherche pour les scanners bénins last_seen:1d

Où il excelle et où il s’arrête court

GreyNoise manque 16 critères qu’il n’a jamais cherché à remplir. Les faiblesses par rapport à une attente de plateforme complète sont une portée limitée aux IP, l’absence d’attribution, l’absence de renseignement finalisé ou de RFI, l’absence de score de risque numérique et l’absence de STIX/TAXII natif. Il fonctionne comme une couche, pas comme une plateforme.

Idéal pour : une couche complémentaire devant un SIEM ou une pile de renseignement sur les menaces existante : triage des alertes, analyse d’IP en masse et vérifications « cette CVE est-elle réellement exploitée ? ». Il ne peut pas servir de plateforme autonome de renseignement sur les menaces, et il ne prétend pas le faire.

AlienVault OTX

Figure 23. Tableau de bord principal d’AlienVault OTX

Le flux gratuit et le moteur d’automatisation, gérés par LevelBlue (anciennement AT&T Cybersecurity / AlienVault). Nous avons testé la console du palier Community,⁶ l’accès le plus fluide des 5, sans carte bancaire, sans compteur d’essai, sans MFA et avec une session persistante. Une clé d’API s’obtient en un clic depuis Settings, et DirectConnect documente l’API REST, les SDK et le serveur TAXII.

Sources de données

OTX traite environ 20 M d’IoC par jour provenant d’environ 200 K participants, avec 95 M d’indicateurs consultables. Les 4 sondes d’IOC historiques ont toutes été trouvées. L’IP Conti C2 (162.244.80.235, CISA AA21-265A) a renvoyé un verdict malveillant, l’ASN AS19624, le DNS passif avec dates de première et de dernière observation, et 28 pulses.

Figure 24. Analyse de l’IP Conti C2

La recherche first-party est mince. Les pulses vérifiés par Alien Labs se fondent dans le flux communautaire, et le renseignement first-party organisé se trouve dans le produit payant USM. Le dark web est absent du noyau gratuit ; il vit dans l’AlienApp de surveillance du dark web USM Anywhere avec SpyCloud.

Couverture et types de renseignement

Chaque sonde historique a renvoyé entre 28 et 50 correspondances de pulses parmi 95 M d’indicateurs consultables. La page gratuit Submit Sample exécute une analyse sandbox statique et dynamique sur les fichiers et URL avec support YARA, une alternative viable aux sandboxes payants.

Figure 25. Soumission de fichiers et d’URL pour analyse

Les données de vulnérabilité forment un squelette partiel (une page d’indicateur CVE avec Exploits 40 et Targeted Products 373, plus le CVSS dans l’API), sans EPSS, KEV ni priorisation. La marque et les identifiants divulgués sont tous deux absents.

Analyse et enrichissement

Il n’y a pas de profil d’acteur structuré, pas de score de risque ajustable, pas de graphe visuel, et les données ATT&CK sont disponibles dans l’API mais pas dans l’interface. Les alias communautaires correspondaient à notre clé de réponse : Sofacy pour APT28, Anunak pour FIN7, Muddled Libra pour Scattered Spider, UTA0218 pour l’activité PAN-OS et Lace Tempest pour MOVEit. En revanche, le domaine SUNBURST portait 1 487 étiquettes, l’entrée du killswitch WannaCry contenait de fausses étiquettes générées par LLM, la plupart des pulses d’acteurs dataient de 2015 à 2017 et l’étiquette d’adversaire LockBit était vide. Sans score de risque numérique, le triage automatisé est difficile.

Attribution

Les étiquettes et pulses d’adversaires existent, et les alias sont bons, mais il n’y a pas de profil structuré et la plupart du contenu est obsolète.

Plateforme

Il existe un tableau de bord et un abonnement à des pulses, mais pas de surveillance d’actifs ou de mots-clés, pas de bibliothèque de renseignement finalisé ni de RFI. OTX est une source de flux plutôt qu’une console de recherche.

Intégration et API

Cette partie est le seul avantage clair d’OTX parmi les 5. Une API REST, des SDK Python, Java et Go, un serveur TAXII natif et l’export STIX/JSON/CSV/OpenIOC/MAEC en font le seul service des 5 à ouvrir un accès programmatique complet sans frais.

Figure 26. AlienVault OTX DirectConnect API

L’API renvoie des données plus riches que l’interface, notamment des ID ATT&CK et des familles de malwares. Une limite de débit non documentée est la contrainte pratique. Les requêtes en masse ont expiré, 4 sur 13 au premier tour, et ont nécessité un nouvel essai et un backoff.

Reporting

Un export de flux IOC puissant en plusieurs formats, mais pas de livraison de rapports ni de reporting sectoriel ou personnalisable.

Scénarios opérationnels

La chasse aux menaces est opérationnalisée via l’API gratuit, OTX Endpoint basé sur osquery et les abonnements à des pulses alimentant les blocklists SIEM. Le takedown, la priorisation des vulnérabilités et la chaîne d’approvisionnement sont tous absents, se trouvant dans des produits distincts payants LevelBlue, USM, SpyCloud ou Tenable.

Où il excelle et où il s’arrête court

Dix critères sont absents du noyau gratuit (dark web, identifiants divulgués, marque, takedown, renseignement finalisé, RFI, rapports sectoriels, priorisation des vulnérabilités et chaîne d’approvisionnement), la plupart présents dans des produits distincts payants LevelBlue, USM ou SpyCloud ; OTX est la base gratuit de cette famille. Faiblesses : aucune note maximale en analyse et attribution, un bruit communautaire élevé sans score de risque et une limite de débit d’API non documentée. OTX alimente bien les machines ; il ne soutient pas à lui seul la prise de décision humaine.

Idéal pour : les équipes qui ont besoin d’un flux d’IOC gratuit à haut volume vers un SIEM, MISP ou TIP, plus une automatisation et une chasse sans frais. OTX alimente bien les machines ; il ne soutient pas à lui seul la prise de décision humaine.

Quel service pour quel scénario

• Vous utilisez Falcon EDR/XDR et suivez les APT : CrowdStrike, pour un renseignement sur les adversaires dans une console unique, le contexte ATT&CK et les campagnes.
• Vous avez besoin d’une couverture dark web, d’identifiants divulgués, de takedown ou d’analyste à la demande : CrowdStrike Recon/Recon+/CAO Elite, la seule option parmi les 5.
• Votre SOC se noie dans les alertes provenant d’IP de balayage : GreyNoise devant le SIEM pour classer le bruit et réduire les faux positifs.
• Vous devez prioriser des milliers de vulnérabilités divulguées : Feedly (EPSS + KEV + CVSS sur une seule carte) ou la XFDB de X-Force tant qu’elle existe ; validez avec les observations d’exploitation de GreyNoise.
• Vous n’avez pas de budget mais avez besoin de flux de renseignement sur les menaces et d’automatisation : l’API gratuit d’OTX, ses SDK et son serveur TAXII.
• Vous avez besoin de rapports finalisés et de newsletters sans embaucher d’analystes : Report Builder et Ask IA de Feedly.

Ne manquez pas nos benchmarks et analyses basées sur les données. Le bouton ouvre Google ; sélectionner AIMultiple confirme que vous souhaitez voir AIMultiple plus souvent dans les résultats de recherche Google.

Ajouter comme source préférée

La pile en couches : comment les 5 services se combinent

Sur les 5 services, nos sondes ont produit 83 notes complètes, 47 partielles et 35 absentes, et aucun produit ne constitue à lui seul un programme complet de renseignement sur les menaces. Une architecture réaliste les traite comme des couches complémentaires plutôt que comme des rivaux :

1. Base de flux gratuite : OTX fournit le volume brut d’IOC et l’automatisation sans frais vers le SIEM/TIP.
2. Filtre anti-bruit : GreyNoise se place devant le SIEM, supprime les alertes bénignes de scanners et signale l’exploitation active.
3. Agrégation et livraison : Feedly compile l’OSINT, extrait les IoC/TTP et produit des rapports ; son enrichissement croise GreyNoise et VirusTotal.
4. Recherche et enrichissement : X-Force couvre les recherches structurées gratuit et la recherche sur les vulnérabilités jusqu’en août 2026, après quoi son rôle devra être repris.
5. Attribution premium et risque numérique : CrowdStrike domine la pile pour le renseignement sur les adversaires nommés, la surveillance du dark web, les takedowns et l’accès analyste.

La bonne question n’est pas « quelle est la meilleure plateforme de renseignement sur les menaces ? » mais « quelle couche je remplis avec quel produit, et qu’est-ce qui remplace X-Force après sa fin de vie ? »

Méthodologie du comparatif de renseignement sur les menaces cyber

Nous avons évalué cinq services de renseignement sur les menaces cyber : AlienVault OTX (Community), IBM X-Force Exchange (Freemium), CrowdStrike Falcon Adversary Intelligence (essai Premium), GreyNoise (Community) et Feedly Threat Intelligence (essai de 30 jours).

Chaque service a été noté selon les mêmes 33 critères répartis en 8 catégories et interrogé avec un jeu de sondes identique. Les 8 catégories correspondent au cycle de vie du renseignement sur les menaces. Les sources de données et la couverture mesurent la collecte, l’analyse et l’attribution mesurent la phase d’analyse, et l’intégration, le reporting et les scénarios opérationnels mesurent la distribution et l’action.

Catégorie 1 : Sources de données et collecte (4 critères)

D’où provient le renseignement, avant tout traitement.

• DK-01 — Couverture OSINT et flux techniques : étendue des sources open source et des flux techniques ingérés.
• DK-02 — Accès dark web et deep web : forums, places de marché, sites de fuites et plateformes chiffrées.
• DK-03 — Réseau de capteurs first-party et recherche originale : télémétrie que le fournisseur génère lui-même, par opposition à la matière collectée auprès d’autrui.
• DK-04 — Couverture linguistique et géographique : portée régionale et multilingue de la collecte.

Cette catégorie sépare les producteurs des compilateurs. Une requête last_seen:1d sur GreyNoise a renvoyé 699 076 IP de scanners actives provenant de son propre réseau de capteurs le jour du test, tandis que la couverture de Feedly repose sur plus de 10 000 sources curées sans réseau de capteurs propre.

Catégorie 2 : Couverture et types de renseignement (5 critères)

Quels types de menaces le service couvre, testés par rapport au jeu de sondes plutôt qu’à la documentation.

• KP-01 — Couverture et volume des IOC : IP, domaines, hashes et URL.
• KP-02 — Renseignement sur les malwares et les outils : familles, analyse sandbox et support YARA.
• KP-03 — Renseignement sur les vulnérabilités : données CVE, scoring et contexte d’exploitation.
• KP-04 — Marque et risque numérique : typosquatting, usurpation et surveillance de domaines.
• KP-05 — Identifiants divulgués et données exposées : recherche de violations et d’exposition d’identifiants.

C’est la catégorie où les frontières entre archétypes apparaissent le plus nettement. Une requête pour 8.8.8.8 sur GreyNoise a renvoyé NOT OBSERVED, ce qui est la bonne réponse pour un serveur DNS plutôt qu’un scanner, et démontre aussi que le produit gère un seul type d’indicateur.

Catégorie 3 : Analyse et enrichissement (4 critères)

Quel degré d’interprétation le service ajoute à un indicateur brut.

• AN-01 — Profondeur d’enrichissement des IOC : ce que renvoie une recherche sur un seul indicateur.
• AN-02 — Scoring de risque et priorisation : numérique, catégoriel ou absent.
• AN-03 — Mappage MITRE ATT&CK : si les techniques sont mappées, et si le mappage est dans l’interface ou l’API.
• AN-04 — Analyse relationnelle et par graphe : pivot entre entités, et existence d’un graphe visuel.

La sonde IP Conti C2 a rendu les différences lisibles. X-Force a renvoyé un risque numérique 1/10 après vieillissement, un historique de catégorisation, une chronologie de 31 événements, l’ASN et le sous-réseau, le WHOIS et le DNS passif. OTX a renvoyé un verdict malveillant, l’ASN AS19624, le DNS passif et 28 pulses contre 157 étiquettes.

Catégorie 4 : Attribution et suivi des acteurs (4 critères)

Si le service nomme les adversaires, et sur quelle base méthodologique.

• AT-01 — Suivi des adversaires nommés et des APT : profils d’acteurs structurés.
• AT-02 — Suivi des campagnes et opérations : campagnes nommées avec chronologies.
• AT-03 — Profils TTP et méthodologie d’attribution : le raisonnement qui relie l’activité à un acteur, plus la réconciliation des alias.
• AT-04 — Profilage sectoriel et géographique des menaces : quels secteurs et pays un acteur cible.

Cette catégorie a produit la plus large dispersion des huit. La sonde à six acteurs a été notée par rapport à la clé de réponse ; un service qui listait un jeu d’alias correspondant à la clé obtenait donc un score différent de celui qui renvoyait une étiquette d’adversaire vide.

Catégorie 5 : Plateforme et utilisabilité (4 critères)

Si le produit est une source de données ou une console dans laquelle un analyste peut travailler.

• PL-01 — Recherche et langage de requête : opérateurs, facettes ou véritable langage de requête.
• PL-02 — Tableau de bord, watchlist et alertes : surfaces de surveillance et règles de notification.
• PL-03 — Bibliothèque de renseignement finalisé : rapports rédigés par des analystes disponibles dans le produit.
• PL-04 — RFI et accès analyste : la capacité de poser une question à un analyste humain.

PL-03 et PL-04 sont les deux critères où les paliers gratuit et payants divergent le plus régulièrement entre les cinq produits.

Catégorie 6 : Intégration et API (4 critères)

Comment le renseignement atteint le reste de la pile de sécurité.

• EN-01 — Support STIX et TAXII : serveur natif, STIX livré par REST ou pont requis.
• EN-02 — Intégration SIEM, SOAR et TIP : connecteurs disponibles.
• EN-03 — Couverture de l’API REST, SDK et documentation : surface programmatique et bibliothèques clientes officielles.
• EN-04 — Distribution et formats des flux : formats d’export et canaux de livraison.

Nous avons testé cette catégorie à la main lorsque le palier le permettait. Sur OTX, nous avons récupéré une clé d’API depuis Settings et exécuté les sondes d’indicateurs via DirectConnect, qui a renvoyé des ID ATT&CK, des étiquettes d’adversaires et des familles de malwares que l’interface n’affichait pas. Sur CrowdStrike, nous avons créé un client API OAuth2 sur la base api.eu-1. Sur X-Force, le palier Freemium a renvoyé un 403, de sorte que l’export STIX par rapport était la seule fonction disponible sans paiement.

Catégorie 7 : Reporting et renseignement finalisé (4 critères)

La couche qui sépare le renseignement traité des données brutes.

• RP-01 — Types de rapports : couverture stratégique, opérationnelle et tactique.
• RP-02 — Fréquence de publication et actualité : à quel point la bibliothèque est à jour.
• RP-03 — Personnalisation et reporting sectoriel : ventilations par secteur et région.
• RP-04 — Export et livraison : formats et canaux de livraison de la production finalisée.

Catégorie 8 : Scénarios opérationnels (4 critères)

Si le renseignement se transforme en action dans un SOC ou un flux de réponse à incident.

• OP-01 — Service de takedown et de remédiation : suppression gérée d’infrastructures malveillantes.
• OP-02 — Flux de priorisation des vulnérabilités : un chemin industrialisé de la liste des CVE vers l’ordre des correctifs.
• OP-03 — Chasse aux menaces et opérationnalisation des IOC : alimenter la chasse, les blocklists et le SIEM avec les indicateurs.
• OP-04 — Renseignement sur les risques tiers et de chaîne d’approvisionnement : exposition des fournisseurs et partenaires.

OP-04 était le critère le plus faible de tout le comparatif, aucun produit n’atteignant une note confirmée.

Qu’est-ce que le renseignement sur les menaces cyber ?

Le renseignement sur les menaces cyber (CTI) désigne la collecte et l’analyse de données brutes sur les menaces actuelles et émergentes, produisant des informations exploitables qui aident les équipes de sécurité à prévenir, détecter et répondre aux cyberattaques. Les services CTI recueillent des données sur les menaces à partir de sources telles que les réseaux de capteurs, le renseignement open source, les forums du dark web et les bases de vulnérabilités, puis les transforment en indicateurs de menace, profils d’acteurs et rapports qui éclairent les décisions.

Le renseignement sur les menaces cyber aide les organisations à anticiper les menaces futures plutôt qu’à réagir aux incidents de sécurité après l’apparition des dégâts. Il fait évoluer les entreprises vers une cyberdéfense proactive : identifier les actifs exposés pour réduire la surface d’attaque, repérer les tendances émergentes des pirates avant une attaque et prioriser les investissements de sécurité en fonction des menaces spécifiques qui visent leur secteur.

Types de renseignement sur les menaces

Le renseignement sur les menaces peut être classé en 4 cadres, et un programme mature de renseignement sur les menaces consomme les 4 :

• Le renseignement stratégique sur les menaces offre une vue de haut niveau du paysage des cybermenaces pour les dirigeants et traduit les complexités techniques en risque commercial pour les parties prenantes concernées. Exemple de notre comparatif : le Threat Index d’IBM et le Threat Hunting Report de CrowdStrike.
• Le renseignement tactique sur les menaces se concentre sur les tactiques, techniques et procédures (TTP) des attaquants, généralement mappées à MITRE ATT&CK. Exemple : les matrices ATT&CK par adversaire de CrowdStrike et l’extraction automatique de TTP de Feedly.
• Le renseignement opérationnel sur les menaces couvre des campagnes et attaques en cours, donnant aux équipes de réponse à incident un contexte en temps réel. Exemple : les rapports d’analyse des menaces X-Force et les campagnes Early Warning.
• Le renseignement technique sur les menaces se compose d’indicateurs de compromission (IOC) tels que les IP, domaines, hashes et URL qui alimentent la détection automatisée. Exemple : les pulses OTX et les classifications d’IP GreyNoise.

Le cycle de vie du renseignement sur les menaces

Le cycle de vie du renseignement sur les menaces comporte 6 étapes qui transforment les données brutes en renseignement sur les menaces actionnable :

1. Exigences : définir ce que l’équipe de sécurité et les parties prenantes doivent savoir.
2. Collecte de données : recueillir les données brutes à partir de flux, capteurs, OSINT et du dark web.
3. Traitement : normaliser, dédupliquer et structurer les données collectées.
4. Analyse : convertir les données traitées en évaluations, scores et rapports.
5. Distribution : livrer le renseignement aux personnes et aux outils qui agissent dessus, tels que SIEM, SOAR et pare-feu.
6. Retour d’expérience : les parties prenantes rapportent ce qui a fonctionné, ce qui éclaire les ajustements afin que le programme s’adapte à l’évolution des menaces.

Nos 8 catégories de comparatif correspondent à ce cycle de vie : les sources de données et la couverture mesurent la collecte, l’analyse et l’attribution mesurent la phase d’analyse, et l’intégration, le reporting et les scénarios opérationnels mesurent la distribution et l’action.

Pourquoi intégrer le renseignement sur les menaces aux opérations de sécurité ?

• Alertes précoces : combiner les flux de renseignement sur les menaces avec un SIEM classe les activités à haut risque dès leur apparition dans les journaux, avant qu’un incident ne s’aggrave.
• Moins de faux positifs : des alertes de haute fidélité, comme la classification des scanners bénins de GreyNoise, réduisent la fatigue d’alerte afin que les analystes de sécurité enquêtent sur les menaces réelles.
• Réponse à incident plus rapide : un contexte immédiat sur les opérations de malwares et les acteurs malveillants améliore les capacités de réponse à incident et aide à isoler les systèmes compromis avant tout mouvement latéral.
• Correctifs éclairés par la menace : des milliers de vulnérabilités logicielles sont divulguées chaque année ; les scores tenant compte de l’exploitation (EPSS, KEV, ExPRT.IA, observations GreyNoise) priorisent celles qui sont exploitées.
• Allocation éclairée des ressources : les organisations qui utilisent le renseignement sur les menaces peuvent orienter les ressources de cybersécurité vers les vecteurs d’attaque et les acteurs malveillants potentiels pertinents pour leur secteur.

FAQ

Citez ce benchmark

Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.

@misc{dogan2026,
  author = {Dogan, Sedat and PhD., Ezgi Arslan,},
  title  = {{Les 5 meilleurs services de renseignement sur les menaces cyber comparés}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/cyber-threat-intelligence-services}},
  note   = {AIMultiple. Consulté le 31 août 2026}
}

Liens de référence

1.

End-of-Life Summary - Palo Alto Networks

2.

Login | Falcon

3.

IBM X-Force Exchange

4.

avsvmcloud.com

5.

GreyNoise Visualizer | GreyNoise Visualizer

6.

LevelBlue - Open Threat Exchange

Sedat Dogan

CTO

Suivre

Sedat est un leader en technologie et en sécurité de l’information avec 20 ans d’expérience en développement logiciel, infrastructure réseau et cybersécurité. Sedat :
- A 20 ans d’expérience en tant que hacker white-hat et gourou du développement, avec une expertise approfondie des langages de programmation et des architectures de serveurs.
- Est conseiller d’administration auprès d’un VC qui investit dans des entreprises technologiques en phase de démarrage et chez Ödeal, une plateforme de paiement numérique régionale servant 125 000 commerçants.
- A dirigé l’infrastructure technologique et la cybersécurité de sept élections nationales, et a été reconnu au Hall of Fame de la cybersécurité par des leaders technologiques mondiaux dont Twitter.

Voir le profil complet

Recherche effectuée par

Ezgi Arslan, PhD.

Analyste du secteur

Suivre

Ezgi est titulaire d'un doctorat en administration des affaires avec une spécialisation en finance et travaille comme analyste du secteur chez AIMultiple. Elle pilote la recherche et les analyses à l'intersection de la technologie et des affaires, avec une expertise couvrant la durabilité, les enquêtes et l'analyse des sentiments, les applications d'agents IA dans la finance, l'optimisation des moteurs de réponse, la gestion des pare-feu et les technologies d'approvisionnement.

Voir le profil complet

Soyez le premier à commenter

Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.

Nom

Adresse email

Commentaire

0/450

Publier un commentaire