Combien de temps faut-il pour connecter un site ?

Un seul en-tête de réponse. Ajoutez-le au niveau de votre CDN, reverse proxy, framework ou application, et les rapports apparaissent dès que de vrais utilisateurs naviguent. Il n'y a aucun agent JavaScript ni SDK à déployer.

CentralCSP peut-il casser mon application ?

Non. Collecter des rapports ne change rien au comportement de vos pages. Pour la CSP, commencez avec Content-Security-Policy-Report-Only, examinez les violations réelles et passez en mode strict seulement quand la politique tourne proprement.

Est-ce juste un collecteur de rapports CSP ?

Non. CentralCSP déduplique et classe les rapports, conserve le JSON brut avec fichier source, ligne et colonne, inventorie les scripts avec leurs hash d'intégrité, signale les CVE connues, construit la politique depuis le trafic de production, note votre posture, route les alertes et exporte des preuves d'audit.

Remplace-t-il Sentry ou un WAF ?

Non. Ces outils couvrent les erreurs applicatives et la télémétrie réseau et serveur. CentralCSP couvre les scripts, requêtes et violations de politique qui s'exécutent dans les navigateurs de vos utilisateurs, puis renvoie ce signal vers votre stack existante.

Puis-je utiliser les données dans ma propre automatisation ?

Oui. Tout ce qui est dans le tableau de bord est disponible via l'API REST, les webhooks et les exports CSV, chronologiques et de rapports bruts. Les agents IA peuvent piloter la plateforme via le serveur MCP intégré.

Où sont hébergées les données ?

En France, chez OVH. Elles ne quittent jamais l'UE.

Pour les développeurs

Livrez le site. Gardez le navigateur sous surveillance.

Un seul en-tête de réponse collecte les rapports CSP et de sécurité de votre trafic réel : des violations à déboguer, des alertes à traiter. Sans agent, sans SDK.

1.5B: rapports ingérés
12: types de rapports collectés
0: agent ou SDK à installer
100%: Résidence des données dans l'UE

L'angle mort

Vos outils serveur s'arrêtent à la réponse.

Scripts tiers, code injecté et violations de politique s'exécutent dans le navigateur, après que la page a quitté votre infrastructure. CentralCSP collecte le signal que les navigateurs émettent déjà et le renvoie vers votre stack.

01 - Navigateurs

Signaux natifs de la Reporting-API depuis votre vrai trafic de production.

csp-violation
deprecation
intervention
network-error
crash

02 - Point de collecte

Votre endpoint de reporting managé.

MyEndpoint.report.centralcsp.com

Normalisation et déduplication
Classement par type de rapport et origine
Enrichissement avec le contexte source
Score et inventaire

03 - Votre stack

Le signal arrive là où vous travaillez déjà.

Tableau de bord en direct
REST API
Serveur MCP

Trafic de production réel

Les rapports viennent des navigateurs de vos vrais visiteurs, pas d'un crawler pointé sur une URL de staging.

Contexte au niveau source

Chaque violation conserve son fichier source, sa ligne, sa colonne, sa directive, son navigateur et son origine.

Zéro dépendance à l'exécution

Rien ne se charge sur vos pages. Les navigateurs rapportent nativement, l'impact sur les performances est donc nul.

Mise en place

Un en-tête. C'est ça, l'intégration.

Déployez-le depuis le CDN, le reverse proxy, le framework ou la couche applicative, selon ce que vous maîtrisez.

en-tête de réponse

Reporting-Endpoints:

default="https://MyEndpoint.report.centralcsp.com"

Vous avez déjà une CSP ? Pointez sa directive report-to vers le même endpoint et chaque violation y arrive aussi.

Ajoutez votre site
Créez le site dans votre tableau de bord et copiez son endpoint de reporting managé.
Déployez l'en-tête
Déployez depuis votre edge ou votre application. Les rapports affluent immédiatement depuis les navigateurs de vrais visiteurs.
Routez le signal
Suivez le tableau de bord en direct, branchez les alertes sur vos canaux, récupérez tout via l'API.

Outils gratuits

Essayez la boîte à outils sécurité complète.

Six outils, sans compte requis. Les mêmes moteurs que ceux de la plateforme.

Inventaire complet des en-têtes
Constats classés par sévérité
Résultats sur une page partageable

Scanner un site

Constats directive par directive
Un score global clair
Propulsé par le moteur de la plateforme

Évaluer une politique

Vérification de l'endpoint et des liaisons
Couverture par type de rapport
Alertes sur les rapports perdus

Vérifiez votre configuration

Chaque en-tête, noté
Des correctifs pour ce qui manque
Relancez l'analyse après déploiement

Analyser les en-têtes de sécurité

Analyse en direct de votre site
Comparaison avec votre secteur
Évaluez votre maturité

Comparez votre site

Flux de violations en direct
Construisez et testez vos politiques sur place
Fonctionne sur la page que vous consultez

Installer l'extension

Le tableau de bord

Tout se passe au même endroit.

Rapports, scores, inventaires et preuves pour chaque site que vous livrez, derrière un seul login.

Tendances sur des millions de rapports
Rapports détaillés par navigateur
Des millions de rapports, agrégés

Automatisation

Tout le tableau de bord, via l'API.

Rapports, inventaires, scores et preuves sont tous interrogeables. Automatisez l'ajout de sites, exportez tout, ou laissez vos agents IA piloter via MCP.

API REST complète avec clés API de workspace
Webhooks, exports CSV et rapports bruts
Serveur MCP intégré pour les agents IA
Alertes vers Slack, Teams ou n'importe quel webhook

Voir la plateforme API et MCP

GET /reports/csp-violation/raw

$ curl -G https://api.centralcsp.com/v1/websites/$WEBSITE/reports/csp-violation/raw \

-H "Authorization: Bearer $CENTRALCSP_TOKEN" \

-d range=90d -d limit=50

{

"data": [

{

"type": "csp-violation",

"receivedAt": "2026-07-14T09:12:04.295Z",

"url": "https://my-store.com/checkout",

"userAgent": { "family": "Chrome", "version": "138.0", "os": "macOS" },

"data": {

"blocked_url": "https://cdn.evil-analytics.io/t.js",

"effective_directive": "script-src-elem",

"source_file": "https://my-store.com/checkout.js",

"line_number": 184,

"column_number": 22,

"disposition": "enforce"

}

],

"pagination": { "hasMore": true, "total": 40495687 }

}

Au-delà de la revue de code

Des réponses pour le reste de l'équipe.

Ce que la conformité, la revue de sécurité et les achats demanderont, couvert par la même plateforme.

01 - Conformité
Preuves PCI DSS
Si votre page de paiement est dans le périmètre, les exigences 6.4.3 et 11.6.1 sont couvertes à partir du même signal.
02 - Revue de sécurité
Contrôles entreprise
Les contrôles que votre revue de sécurité exige, déjà en place. Données hébergées en France, chez OVH.
03 - Accès
Équipe et accès
Faites venir toute l'équipe sans partager un seul identifiant, et délimitez qui voit quoi.

Tarifs

Au prix d'un side project. Conçu pour la production.

Start couvre une vraie collecte sur votre premier site en production : tous les types de rapports, le tableau de bord en direct et des analyses illimitées. Passez au niveau supérieur quand vous avez besoin d'automatisation.

12 types de rapports, un en-tête
Analyses illimitées
Générateur de politique
Essai gratuit de 14 jours

39,99 €/ mois

Essai gratuit de 14 jours

Applications3
Utilisateurs5
Rapports / mois250 000

Fonctionnalités du forfait

Prise en charge complète du Reporting-API
Analyses illimitées
Inventaire des scripts
Accès équipe et RBAC
Générateur de politique

Démarrer l'essai gratuit

Le signal

Les rapports que vous lirez en premier.

Un seul endpoint collecte les douze types. Voici les trois que la plupart des développeurs ouvrent dès le premier jour.

csp-violation
Violations CSP
Une ressource a été bloquée, ou l'aurait été, par votre Content Security Policy.
Voir la doc
csp-hash
Hachages de scripts
Le hachage de chaque script exécuté par la page, la matière première des politiques par hachage.
Voir la doc
network-error
Erreurs réseau
Les échecs DNS, TLS et de connexion que votre serveur ne voit jamais, consignés par le navigateur lui-même.
Voir la doc

Voir les 12 types de rapports navigateur

FAQ

Questions fréquentes

Mise en œuvre, sécurité et automatisation : les réponses.

Ajoutez l'en-tête. Voyez ce que voit le navigateur.

Commencez avec un site et du vrai trafic de production. Essai gratuit de 14 jours, aucun agent à déployer.

Démarrer l'essai gratuit Scannez votre site

Livrez le site. Gardez le navigateur sous surveillance.

Vos outils serveur s'arrêtent à la réponse.

Trafic de production réel

Contexte au niveau source

Zéro dépendance à l'exécution

Un en-tête. C'est ça, l'intégration.

Ajoutez votre site

Déployez l'en-tête

Routez le signal

Essayez la boîte à outils sécurité complète.

Scanner CSP

Évaluateur CSP

Vérificateur Reporting-API

Scanner d'en-têtes de sécurité

Comparateur de sécurité

Extension Chrome

Tout se passe au même endroit.

Tout le tableau de bord, via l'API.

Des réponses pour le reste de l'équipe.

Preuves PCI DSS

Contrôles entreprise

Équipe et accès

Au prix d'un side project. Conçu pour la production.

Start

Les rapports que vous lirez en premier.

Questions fréquentes

Ajoutez l'en-tête. Voyez ce que voit le navigateur.