# Changelog (/fr/blog/changelog) Aujourd'hui, nous remplaçons le site, le dashboard et la documentation CentralCSP par une nouvelle version, et nos offres évoluent. Si vous êtes déjà client, votre plan, votre tarif et vos endpoints de reporting ne changent pas. Vous vous connectez désormais sur [app.centralcsp.com](https://app.centralcsp.com). CentralCSP a commencé comme un outil de reporting pour la [politique de sécurité du contenu (CSP)](/fr/docs/web-security/policies/content-security-policy). Vous ajoutiez un header, nous récupérions les rapports de violation, et nous vous aidions à [en tirer une politique](/platform/csp-builder). C'est toujours le cœur du produit. Mais le produit ne s'arrête plus au reporting CSP, il couvre la sécurité côté client, c'est-à-dire tout ce que les navigateurs de vos utilisateurs peuvent vous apprendre sur votre site. L'ancienne plateforme n'était pas taillée pour ça. Nous l'avons donc reconstruite, et pas seulement pour accepter de nouveaux types de rapports. La nouvelle plateforme ingère et agrège tous les types de rapports, avec de meilleures performances sur les gros volumes. Elle tourne entièrement dans l'UE, en France chez OVH, et son interface a été repensée, plus lisible et plus rapide à utiliser. Le site, le dashboard et la documentation reposent tous sur la même base, une plateforme de sécurité côté client bâtie sur la [Reporting API](/fr/docs/web-security/reporting-api) du navigateur. ## Ce qui est sorti le 13 septembre [#ce-qui-est-sorti-le-13-septembre] * Un nouveau dashboard sur [app.centralcsp.com](https://app.centralcsp.com), conçu autour de tous les types de rapports navigateur, pas seulement CSP. * La surveillance de [12 types de rapports navigateur](/fr/docs/web-security/reporting-api/reports), avec le header unique que vous envoyez déjà. * Des alertes sur six canaux, avec des règles personnalisées et sans quota mensuel. * Technologies, un SBOM côté client avec détection de version et de CVE, sur les plans Scale et Enterprise. * Un module PCI DSS v4 refait, avec la surveillance des pages de paiement et des exports de preuves prêts à remettre à votre auditeur. * Deux systèmes de rôles et un contrôle des accès par site, pour que chacun ne voie que les sites sur lesquels il travaille. * Une API REST complète et un serveur MCP intégré, pour que vos agents fassent tout ce que vous faites à la main dans l'interface. * Un nouveau [site de documentation](/fr/docs/platform/get-started) et un nouveau site web, le tout en anglais et en français. * Sept outils gratuits utilisables sans compte, dont le scanner et l'évaluateur CSP refaits et trois nouveaux outils. * De nouveaux plans, Start, Business et Scale. Les clients actuels conservent leur plan et leur tarif. * Les quotas de rapports repartent de zéro pour chaque workspace, septembre démarre donc à neuf sur la nouvelle plateforme. ## Nouvelles fonctionnalités [#nouvelles-fonctionnalités] Chaque fonctionnalité ci-dessous renvoie vers la documentation qui la détaille. ### Un seul header, tous les types de rapports [#un-seul-header-tous-les-types-de-rapports] L'ancien CentralCSP ingérait deux types de rapports, les violations CSP et les hashes de scripts. La nouvelle section [Rapports](/fr/docs/platform/monitoring) en ingère 12, avec le header [`Reporting-Endpoints`](/fr/docs/web-security/reporting-api/headers/reporting-endpoints) que vous avez déjà en production : ```http Reporting-Endpoints: default="https://MyEndpoint.report.centralcsp.com" ``` Les 12 types, chacun avec son dashboard et ses filtres : * [Violations CSP](/fr/docs/platform/monitoring/csp), ce que vos pages chargent et que la politique n'autorise pas. * [Hashes CSP](/fr/docs/platform/monitoring/script-hash), chaque script qui s'exécute sur une page, et s'il a changé. * [Violations Integrity](/fr/docs/platform/monitoring/integrity-policy), les scripts chargés sans vérification d'intégrité. * [Violations Permissions-Policy](/fr/docs/platform/monitoring/permissions-policy), les fonctionnalités du navigateur que vos pages utilisent encore. * [Violations Document-Policy](/fr/docs/platform/monitoring/document-policy), les anciennes API que vos documents appellent encore. * [Dépréciations](/fr/docs/platform/monitoring/deprecation), le code qu'une prochaine version de navigateur cassera. * [Interventions](/fr/docs/platform/monitoring/intervention), ce que le navigateur a modifié de lui-même. * [Crashs](/fr/docs/platform/monitoring/crash), les pages qui font planter l'onglet. * [Rapports Connection-Allowlist](/fr/docs/platform/monitoring/connection-allowlist), les destinations vers lesquelles vos pages se connectent. * [Violations COEP](/fr/docs/platform/monitoring/coep), les ressources cross-origin qui empêchent l'isolation. * [Violations COOP](/fr/docs/platform/monitoring/coop), les authentifications en popup qu'une politique d'opener casserait. * [Erreurs réseau (NEL)](/fr/docs/platform/monitoring/nel), les échecs de requête que vos logs serveur ne voient jamais. NEL fait exception, il exige le header historique `Report-To` en plus de `Reporting-Endpoints`. Chaque payload brut arrive dans l'[Explorer](/fr/docs/platform/monitoring/explorer), quel que soit son type. L'idée est simple. Vos logs serveur s'arrêtent à votre serveur. Ces rapports sont le seul signal qui vienne des navigateurs de vos utilisateurs, et les violations CSP n'en sont qu'une partie. Si un script de checkout change, si un service tiers se met à échouer, ou si une page fait planter le navigateur, le navigateur le signale. Nous récupérons désormais l'ensemble. Documentation : [Rapports](/fr/docs/platform/monitoring) pour le produit, [Types de rapports](/fr/docs/web-security/reporting-api/reports) pour les standards sous-jacents. ### Des alertes adaptées à votre stack [#des-alertes-adaptées-à-votre-stack] L'ancien système d'alertes couvrait Slack, Teams, l'email et les webhooks, avec trois familles de règles et un quota d'alertes mensuel par plan. Le nouveau envoie sur [six canaux](/fr/docs/platform/features/alerting/channels) : * [Slack](/fr/docs/platform/features/alerting/channels/slack) * [Microsoft Teams](/fr/docs/platform/features/alerting/channels/teams) * [Google Chat](/fr/docs/platform/features/alerting/channels/google-chat) * [Telegram](/fr/docs/platform/features/alerting/channels/telegram) * [Email](/fr/docs/platform/features/alerting/channels/email) * [Webhooks signés](/fr/docs/platform/features/alerting/channels/webhook) Derrière eux, [16 types de règles](/fr/docs/platform/features/alerting/rules) couvrent tous les types de rapports : nouvelle origine sur une page, changement de hash d'un script, pic de violations, nouvelle CVE dans une bibliothèque chargée par vos visiteurs, changement sur une page de paiement, entre autres. Chaque envoi est enregistré dans [Deliveries](/fr/docs/platform/features/alerting/deliveries) : vous voyez ce qui s'est déclenché, où l'alerte est partie, et si le canal l'a acceptée. Les quotas d'alertes disparaissent. Sur les plans qui incluent les alertes, elles sont illimitées. Documentation : [Alerting](/fr/docs/platform/features/alerting), [Démarrer](/fr/docs/platform/features/alerting/get-started), [Règles](/fr/docs/platform/features/alerting/rules), [Canaux](/fr/docs/platform/features/alerting/channels). ### Savoir quels scripts s'exécutent chez vos visiteurs [#savoir-quels-scripts-sexécutent-chez-vos-visiteurs] L'[inventaire de scripts](/fr/docs/platform/features/script-inventory) liste chaque script observé sur vos pages de paiement, avec les pages où il apparaît et l'historique complet de son hash. Quand un script justifié change, il revient en revue. Pour en savoir plus, consultez la [page supply-chain](/platform/supply-chain) ou l'[article sur l'inventaire de scripts](/fr/blog/script-inventory). Documentation : [Inventaire de scripts](/fr/docs/platform/features/script-inventory), [Hashes CSP](/fr/docs/platform/monitoring/script-hash). ### Technologies, un SBOM côté client avec détection de CVE [#technologies-un-sbom-côté-client-avec-détection-de-cve] Le nombre de vulnérabilités publiées augmente chaque année, et la recherche de vulnérabilités assistée par l'IA accélère encore le rythme. Corriger ne sert à rien si vous ne savez pas ce qui tourne, et le côté client est justement la partie que la plupart des équipes ne savent pas lister : les bibliothèques dans vos bundles, les copies sur CDN, et les scripts qu'un tag manager injecte sur chaque page. [Technologies](/fr/docs/platform/features/technologies) tient cette liste pour vous. C'est un inventaire logiciel (SBOM) des bibliothèques JavaScript que les navigateurs de vos visiteurs chargent, construit à partir des hashes que les navigateurs remontent déjà, sans crawler ni agent. Chaque version de bibliothèque porte son statut de cycle de vie (à jour, pas à jour, dormante ou obsolète) et les CVE qui la concernent, avec la sévérité, la plage de versions affectées et le fichier de script qui la transporte. Deux règles d'alerte l'accompagnent. **New vulnerability** se déclenche quand un avis est publié pour une version déjà en production, au-dessus d'une sévérité minimale que vous choisissez. **Outdated or deprecated version** se déclenche quand une bibliothèque prend du retard ou cesse d'être maintenue, pour que la mise à jour arrive avant le prochain avis plutôt qu'après. Exportez l'inventaire en CSV, ou interrogez-le par l'API et l'outil MCP `list_technologies`. Technologies est inclus dans les plans Scale et Enterprise. Documentation : [Technologies](/fr/docs/platform/features/technologies), [Démarrer](/fr/docs/platform/features/technologies/get-started), [Examiner une technologie](/fr/docs/platform/features/technologies/review). Pour aller plus loin, lisez [comment détecter les bibliothèques JavaScript vulnérables sur un site en production](/fr/blog/detect-vulnerable-javascript-libraries) et [quelles versions de jQuery sont vulnérables](/fr/blog/vulnerable-jquery-version). ### Les preuves PCI DSS v4, reconstruites [#les-preuves-pci-dss-v4-reconstruites] Le [module PCI DSS](/fr/docs/platform/features/pci-dss) est désormais un espace de conformité à part entière. Vous déclarez vos [pages de paiement](/fr/docs/platform/features/pci-dss/payment-pages), la plateforme inventorie les scripts qui s'y exécutent, puis vous [autorisez et justifiez](/fr/docs/platform/features/pci-dss/justifying-scripts) chacun d'eux. Quand un script justifié change, le changement est signalé pour être revu et peut déclencher une alerte. Les preuves pour les exigences 6.4.3 et 11.6.1 [s'exportent en CSV et en PDF](/fr/docs/platform/features/pci-dss/evidence-export), dans un format écrit pour la personne qui va les lire, votre évaluateur. Notre position ne change pas. CentralCSP vous aide à respecter [6.4.3 et 11.6.1](/fr/blog/csp-pci-dss-v4) en produisant les preuves. Il ne certifie pas la conformité. Le module est inclus dans les plans Scale et Enterprise. Documentation : [PCI DSS](/fr/docs/platform/features/pci-dss), [Démarrer](/fr/docs/platform/features/pci-dss/get-started), [Export de preuves](/fr/docs/platform/features/pci-dss/evidence-export). ### Rôles, groupes et accès par site [#rôles-groupes-et-accès-par-site] Le contrôle des accès a été reconstruit autour de deux [systèmes de rôles](/fr/docs/platform/team/roles-and-permissions) indépendants : * Les **rôles workspace** (Owner, Admin, Member) décident qui administre le compte, ses membres, ses clés API et sa facturation. * Les **rôles website** (Viewer, Analyst, Manager, Admin) décident de ce qu'une personne peut faire sur un site donné. Ils s'attribuent site par site dans **Paramètres** > **Contrôle des accès**. L'accès n'est donc plus tout ou rien. Une agence n'a le rôle Analyst que sur le site dont elle s'occupe. Une équipe paiement a Manager sur le site de checkout, et rien d'autre. Plutôt que d'attribuer les rôles site par site et personne par personne, réunissez les gens dans un [groupe](/fr/docs/platform/team/groups) et donnez un rôle à ce groupe sur le site. L'arrivée d'un nouveau membre tient alors en une seule action, et toutes les attributions restent visibles au même endroit, ainsi que dans le [journal d'audit](/fr/docs/platform/security/audit-log). Documentation : [Rôles et permissions](/fr/docs/platform/team/roles-and-permissions), [Groupes](/fr/docs/platform/team/groups), [Accès aux sites](/fr/docs/platform/team/website-access). ### Une API, et un serveur MCP [#une-api-et-un-serveur-mcp] Tout ce que fait le dashboard passe désormais par une [API REST](/fr/docs/api-mcp/api) : sites, rapports, inventaire de scripts, métriques, règles d'alerte, membres et journal d'audit. S'y ajoute un [serveur MCP intégré](/fr/docs/api-mcp/mcp), pour que Claude Code, Cursor ou n'importe quel client MCP puisse interroger vos rapports, inspecter votre inventaire de scripts et gérer vos règles d'alerte avec des [tokens à portée limitée et révocables](/fr/docs/api-mcp/mcp/permissions). La [référence API et MCP](/fr/docs/api-mcp) couvre les deux, inclus à partir du plan Business. Documentation : [API et MCP](/fr/docs/api-mcp), [Démarrer](/fr/docs/api-mcp/get-started), [Clés API](/fr/docs/platform/integrations/api-keys). ### Une nouvelle documentation, et tout en français [#une-nouvelle-documentation-et-tout-en-français] La documentation a désormais son propre site, en trois sections : * [Platform](/fr/docs/platform/get-started), le fonctionnement du produit. * [Web Security](/fr/docs/web-security), les standards eux-mêmes : la Reporting API, CSP et chacune de ses directives, COOP, COEP, Permissions-Policy, NEL et le reste. * [API et MCP](/fr/docs/api-mcp), la référence. Le blog passe de `/articles` à [`/blog`](/fr/blog). Le site, le dashboard et la documentation sont désormais entièrement disponibles en français. Toutes les données sont hébergées en France chez OVH et ne quittent jamais l'UE. ## Outils gratuits, refaits et enrichis [#outils-gratuits-refaits-et-enrichis] Sept outils fonctionnent sur n'importe quelle URL publique, sans compte. Le scanner et l'évaluateur ont été reconstruits sur le même moteur d'analyse que la plateforme : ils vérifient plus que le seul header CSP et expliquent chaque constat au lieu de se contenter de lui donner une note. Trois outils sont nouveaux. ### Scanner CSP [#scanner-csp] Pointez le [scanner CSP](/tools/csp-scanner) vers une URL en production. Il lit la politique que la page sert réellement, headers et balises ``, et la passe en revue directive par directive : ce que chacune autorise, où la politique se rabat sur `default-src`, quelles sources l'élargissent, et quelles faiblesses (`'unsafe-inline'`, wildcards, un CDN autorisé qui héberge un contournement) un attaquant pourrait exploiter. Lancez-le sur votre propre site avant et après un changement, ou sur une page que vous n'avez pas écrite. ### Évaluateur CSP [#évaluateur-csp] L'[évaluateur CSP](/tools/csp-evaluator) fait la même revue sur une politique que vous collez, bien avant qu'elle n'arrive en production. Mêmes vérifications, mêmes sévérités, rien à déployer. Utilisez l'évaluateur pendant que vous rédigez une politique, et le scanner une fois qu'elle est déployée. ### Scanner de security headers [#scanner-de-security-headers] Nouveau. Le [scanner de security headers](/tools/security-headers) évalue chaque header de sécurité qu'une URL renvoie, pas seulement CSP : `Strict-Transport-Security`, `X-Content-Type-Options`, `Referrer-Policy`, `Cross-Origin-Resource-Policy`, les attributs de cookies, sans oublier les headers dépréciés et ceux qui divulguent des informations, que vous devriez supprimer. Chaque résultat renvoie vers la [référence des headers](/fr/docs/web-security/security-headers), qui explique contre quoi il protège et quelle valeur définir. ### Vérificateur Reporting API [#vérificateur-reporting-api] Nouveau. Le [vérificateur Reporting API](/tools/reporting-api) répond à une seule question : le reporting est-il vraiment branché ? Il vérifie que [`Reporting-Endpoints`](/fr/docs/web-security/reporting-api/headers/reporting-endpoints) (ou l'ancien [`Report-To`](/fr/docs/web-security/reporting-api/headers/report-to)) est présent et bien formé, et que le groupe d'endpoints désigné par votre politique y figure bien. Lancez-le après avoir déployé le header, plutôt que d'attendre des rapports qui n'arriveront jamais. ### Comparez votre site [#comparez-votre-site] Nouveau. L'outil [Compare your site](/tools/compare) situe votre configuration par rapport au jeu de données de notre rapport annuel [State of the Web](/state-of-the-web), construit à partir de 521 442 domaines scannés. Vous voyez où vous vous situez par rapport à votre secteur, de quoi dire à un décideur où vous en êtes, et pas seulement ce qui vous manque. ### Générateurs de hash et extension [#générateurs-de-hash-et-extension] Le [générateur de hash CSP](/tools/csp-hash) produit la valeur `'sha256-...'` qui autorise un script ou un style inline, et le [générateur SRI](/tools/sri-hash) produit la valeur `integrity` d'une URL de script ou de feuille de style. L'[extension Chrome](/fr/blog/centralcsp-chrome-extension) applique une politique en local sur de vraies pages, pour que vous voyiez ce qu'elle bloquerait avant de la déployer. ## De nouveaux plans [#de-nouveaux-plans] Les anciens plans Starter, Advanced, Pro et Corporate ne sont plus commercialisés. La nouvelle gamme compte trois plans en libre-service, plus Enterprise, tarifés en euros, avec une facturation annuelle à dix fois le prix mensuel (deux mois offerts). La comparaison complète est sur la [page des tarifs](/pricing). | Plan | Prix | Rapports par mois | Sites web | Utilisateurs | | ---------- | ------------- | ----------------- | ---------- | ------------ | | Start | 39,99 €/mois | 250 000 | 3 | 5 | | Business | 129,99 €/mois | 2 000 000 | 10 | 25 | | Scale | 349,99 €/mois | 10 000 000 | 30 | 100 | | Enterprise | Sur devis | Sur mesure | Sur mesure | Sur mesure | Le ticket d'entrée est plus élevé que celui de l'ancien plan Starter, mais le plan d'entrée est bien plus large : * **Start** inclut 250 000 rapports par mois là où Starter en incluait 15 000, cinq utilisateurs au lieu d'un, les 12 types de rapports et l'inventaire de scripts. * **Business** ajoute l'API, le serveur MCP et les alertes illimitées. * **Scale** ajoute le module PCI DSS v4, Technologies avec la détection de CVE, le SSO et le journal d'audit. Ce qui reste identique sur tous les plans : * La configuration à un seul header et les sous-domaines de reporting personnalisés. * Le builder de politique et les scans illimités. * La rétention de 90 jours et l'hébergement dans l'UE. ## Si vous êtes déjà client [#si-vous-êtes-déjà-client] ### Votre plan et votre prix ne changent pas [#votre-plan-et-votre-prix-ne-changent-pas] Rien ne change sur votre facture. Votre plan actuel, votre prix, vos quotas et vos fonctionnalités sont conservés tant que vous gardez votre abonnement. Les nouveaux plans s'appliquent aux inscriptions à partir du 13 septembre. Vous profitez aussi de la nouvelle plateforme. Votre plan garde toutes les fonctionnalités qu'il inclut aujourd'hui et récupère les 12 types de rapports, avec leurs dashboards et l'Explorer, dès votre première connexion. Les fonctionnalités arrivées avec les nouveaux plans, comme le serveur MCP ou le module PCI DSS v4, restent liées à la nouvelle gamme. Pour y accéder, vous pouvez changer de plan depuis la [page de facturation](/fr/docs/platform/billing/manage-billing). ### Votre quota de rapports repart de zéro [#votre-quota-de-rapports-repart-de-zéro] Nous avons remis le compteur de rapports à zéro pour chaque workspace au moment de la sortie. Ce que vous aviez déjà consommé ce mois-ci sur votre limite mensuelle de rapports ne compte plus, septembre repart donc de 0 sur la nouvelle plateforme. Votre limite, elle, ne change pas. Seul le compteur est réinitialisé, c'est une opération unique liée à cette version, et il recommence à se réinitialiser le premier de chaque mois à partir d'octobre. Vous voyez où vous en êtes dans **Paramètres** > **Utilisation**, décrit dans [Utilisation du workspace](/fr/docs/platform/billing/usage). ### Vos données et vos endpoints sont migrés [#vos-données-et-vos-endpoints-sont-migrés] Votre compte, vos sites web, vos rapports historiques, vos politiques et vos règles d'alerte sont migrés automatiquement. Vos endpoints de reporting continuent de fonctionner tels quels, il n'y a rien à redéployer. Seule différence visible, vous vous connectez désormais sur [app.centralcsp.com](https://app.centralcsp.com). ### Les connexions SSO doivent être reconfigurées [#les-connexions-sso-doivent-être-reconfigurées] Si votre workspace se connecte en SSO, la connexion doit être reconfigurée sur la nouvelle plateforme. Nous avons contacté directement chaque client concerné avant la sortie, donc dans la plupart des cas c'est déjà fait. Si le SSO pose problème après la migration, une connexion qui échoue ou un utilisateur qui arrive sans ses accès habituels, [écrivez-nous](/contact/?topic=sso) et nous corrigerons le problème. ## Questions fréquentes [#questions-fréquentes] ### Quels sont les nouveaux plans CentralCSP ? [#quels-sont-les-nouveaux-plans-centralcsp-] Start, Business et Scale, plus Enterprise sur devis. Le tableau de comparaison complet est sur la [page des tarifs](/pricing). ### Mon prix va-t-il changer ? [#mon-prix-va-t-il-changer-] Non. Les abonnements en cours conservent leur prix et leurs quotas actuels, sans limite de durée. Si vous voulez passer sur les nouveaux plans, le changement se fait depuis la page de facturation, et il est définitif. ### Dois-je changer mon header de reporting ? [#dois-je-changer-mon-header-de-reporting-] Non. Votre endpoint et votre sous-domaine personnalisé continuent de fonctionner exactement comme avant. ### Dois-je faire quelque chose pour le SSO ? [#dois-je-faire-quelque-chose-pour-le-sso-] Seulement si nous vous avons contacté. Les connexions SSO sont reconfigurées sur la nouvelle plateforme, et chaque client concerné a été prévenu avant la sortie. Si la connexion par SSO ne fonctionne pas, [contactez-nous](/contact/?topic=sso). ### Où sont passés les docs et les anciens articles ? [#où-sont-passés-les-docs-et-les-anciens-articles-] La documentation a son [propre site](/fr/docs/platform/get-started) et le blog est passé de `/articles` à [`/blog`](/fr/blog). Les anciennes URL des articles et de la documentation redirigent vers leurs nouvelles adresses, vos favoris et vos liens continuent donc de fonctionner. ### Puis-je passer à un nouveau plan ? [#puis-je-passer-à-un-nouveau-plan-] Oui, depuis la page de facturation du dashboard. Regardez d'abord ce que vous y gagneriez sur la [page des tarifs](/pricing), car vous ne pourrez pas revenir à un plan qui n'est plus commercialisé. ### Mon quota de rapports a-t-il été réinitialisé ? [#mon-quota-de-rapports-a-t-il-été-réinitialisé-] Oui. Chaque workspace démarre ce mois-ci à zéro rapport consommé, quoi qu'il ait consommé avant la sortie. Votre limite mensuelle reste la même, et les réinitialisations mensuelles habituelles reprennent en octobre. ### Mes données sont-elles affectées par la migration ? [#mes-données-sont-elles-affectées-par-la-migration-] Non. Les rapports, les politiques et les paramètres sont migrés automatiquement, et la rétention reste de 90 jours. Les données sont hébergées en France chez OVH. ## La suite [#la-suite] Cette version est une base, une seule plateforme pour tous les signaux que les navigateurs remontent sur votre site. Nous allons continuer à construire dessus : de nouveaux types de rapports au fur et à mesure que les navigateurs les publient, une analyse plus poussée, et plus de preuves pour les personnes à qui vous rendez des comptes. Connectez-vous sur [app.centralcsp.com](https://app.centralcsp.com) pour retrouver vos sites sur la nouvelle plateforme, ou [démarrez un essai gratuit](/pricing) si vous nous découvrez. Si quelque chose semble anormal après la migration, [contactez-nous](/contact) et nous le corrigerons.