Votre site a changé. Votre équipe le sait déjà.

Oui, ainsi que dans Microsoft Teams, Google Chat, Telegram, par e-mail ou vers n'importe quel webhook que vous hébergez. Connectez le canal une fois, puis dirigez-y vos règles. Une règle peut publier dans plusieurs canaux, et deux règles sur le même site peuvent atteindre des équipes différentes.

Bloquer, c'est le rôle de la Content Security Policy, et vous devriez en avoir une. Ce qu'une politique ne sait pas faire, c'est distinguer un bon changement d'un mauvais à l'intérieur d'un prestataire que vous avez déjà approuvé : c'est exactement ainsi que British Airways a été compromis. La politique ferme les portes ; les alertes vous préviennent quand quelque chose bouge dans une pièce où vous avez déjà laissé entrer quelqu'un.

Les règles sont évaluées à mesure que les rapports arrivent, et les navigateurs les envoient peu après le chargement de la page. En pratique, vous êtes prévenu d'un nouveau script dès la prochaine page vue qui le charge, pas lors d'un balayage nocturne. À titre de comparaison, Cloudflare Page Shield regroupe ses alertes de nouvelle ressource par jour et ses alertes de changement de code jusqu'à toutes les 24 heures.

C'est le mode d'échec habituel, et il vient du fait d'alerter sur des rapports bruts. Les vôtres arrivent dédupliqués, regroupés par directive et par origine, et les faux positifs d'extensions de navigateur sont déjà signalés. Vous pouvez aussi limiter chaque règle aux pages qui comptent : le checkout et le blog ne partagent jamais la même règle.

C'est la moitié détection et alerte de l'exigence. La 11.6.1 demande un mécanisme de détection des changements et des altérations qui alerte le personnel en cas de modification non autorisée des pages de paiement et de leurs en-têtes HTTP, telles que reçues par le navigateur du consommateur, au moins tous les sept jours. Les rapports CentralCSP viennent du navigateur du consommateur et ses règles se déclenchent à leur arrivée. Associez-la à l'inventaire de scripts pour la 6.4.3 et exportez les deux comme preuves.

Non. Les alertes s'appuient sur le même en-tête de réponse que la surveillance. Les navigateurs génèrent eux-mêmes les rapports : rien à installer, rien à maintenir à jour, et aucun script tiers ajouté aux pages que vous cherchez justement à protéger.

Oui. Les règles sont une ressource REST avec des jetons à portée limitée, et les mêmes opérations sont disponibles via le serveur MCP intégré : intégrer cent sites devient une boucle plutôt qu'un après-midi.