Sécurité supply chain
Chaque script que vos visiteurs exécutent, et ce qu'il contient.
Votre pare-feu ne voit jamais les scripts tiers dans les navigateurs de vos visiteurs. Nous, si : chaque script, sa bibliothèque et sa version, et l'instant où il change ou récolte une CVE.
0 script ajouté
Rapport natif des navigateurs
Trafic de vrais visiteurs
Pas un instantané de crawler
Détection des CVE
Fingerprinting du contenu
Résidence des données dans l'UE
France, chez OVH
La menace
La brèche qui ne touche jamais votre serveur.
Dans une attaque supply chain côté client, le fournisseur est compromis et votre page livre la charge malveillante. Vos serveurs restent propres, vos logs restent muets, et les dégâts se produisent dans les navigateurs de vos visiteurs. Trois incidents, trois portes d'entrée.
Polyfill.io, 2024
Le domaine polyfill.io a changé de mains en février. En juin, le CDN derrière lui injectait des redirections malveillantes dans les pages de plus de 100 000 sites qui intégraient une seule balise script. Le code esquivait les comptes admin et les outils d'analytics : les sites qui ne testaient que leurs propres pages ne voyaient rien.
Le rapport de SansecBritish Airways, 2018
Des attaquants Magecart ont modifié environ 22 lignes d'un fichier Modernizr sur ba.com. Pendant 15 jours, chaque formulaire de paiement a envoyé les cartes vers un domaine attaquant. Environ 400 000 clients touchés ; l'amende de l'ICO s'est conclue à 20 millions de livres.
L'avis de sanction de l'ICOnpm chalk et debug, 2025
18 paquets totalisant 2,6 milliards de téléchargements hebdomadaires ont livré des versions malveillantes après le phishing d'un mainteneur. La charge s'exécutait dans les navigateurs des utilisateurs finaux, détournant fetch et les API de wallets. Tous les contrôles de build sont passés à l'installation ; l'attaque a tourné après le build.
L'analyse d'Aikido
Comment ça marche
Un en-tête de réponse en entrée. Chaque script comptabilisé.
Aucun agent à charger, aucun proxy dans votre chaîne de livraison, aucun robot qui visite votre site. Les navigateurs de vos vrais visiteurs sont les capteurs.
01 - Collecter
Les navigateurs rapportent chaque script exécuté
Ajoutez un en-tête de réponse. Dès lors, les navigateurs de vos vrais visiteurs rapportent l'URL et le hash de chaque script que vos pages exécutent : first-party, tiers, et le tag que votre tag manager a chargé hier soir.
02 - Analyser
Nous identifions ce que chaque script contient
Le contenu de chaque script est fingerprinté et analysé pour identifier la bibliothèque, le framework ou le fournisseur derrière lui, et sa version. Cette identité est confrontée aux bases de CVE connues et au statut de cycle de vie : obsolète, non maintenu, en fin de vie.
03 - Agir
Changements et CVE deviennent des alertes
Un nouveau script, un hash modifié, une nouvelle origine sortante ou une CVE fraîche notifie Slack, Teams, Google Chat, Telegram ou l'e-mail dès que les navigateurs le rapportent. Corrigez le constat, ou bloquez le vecteur avec une CSP construite depuis les mêmes rapports.
'%20gradientUnits='userSpaceOnUse'%3e%3cstop%20offset='0'%20style='stop-color:%235a62c3'/%3e%3cstop%20offset='.5'%20style='stop-color:%234d55bd'/%3e%3cstop%20offset='1'%20style='stop-color:%233940ab'/%3e%3c/linearGradient%3e%3cpath%20d='M21.8%20125h218.3c12.1%200%2021.8%209.8%2021.8%2021.8v218.3c0%2012.1-9.8%2021.8-21.8%2021.8H21.8C9.8%20387%200%20377.2%200%20365.2V146.8c0-12%209.8-21.8%2021.8-21.8'%20style='fill:url(%23microsoft-teams_svg__SVGID_1_)'/%3e%3cpath%20d='M188.4%20208.1h-43.6v118.8H117V208.1H73.5V185h114.9z'%20style='fill:%23fff'/%3e%3c/svg%3e)
'%20gradientUnits='userSpaceOnUse'%3e%3cstop%20offset='0'%20style='stop-color:%231d93d2'/%3e%3cstop%20offset='1'%20style='stop-color:%2338b0e3'/%3e%3c/linearGradient%3e%3ccircle%20cx='256'%20cy='256'%20r='256'%20style='fill:url(%23telegram_svg__a)'/%3e%3cpath%20d='m173.3%20274.7%2030.4%2084.1s3.8%207.9%207.9%207.9%2064.5-62.9%2064.5-62.9l67.3-129.9-169%2079.1z'%20style='fill:%23c8daea'/%3e%3cpath%20d='m213.6%20296.3-5.8%2062s-2.4%2019%2016.5%200c19-19%2037.2-33.6%2037.2-33.6'%20style='fill:%23a9c6d8'/%3e%3cpath%20d='m173.8%20277.7-62.5-20.4s-7.5-3-5.1-9.9c.5-1.4%201.5-2.6%204.5-4.7C124.6%20233.1%20367%20146%20367%20146s6.8-2.3%2010.9-.8c2%20.6%203.6%202.3%204%204.4.4%201.8.6%203.7.5%205.5%200%201.6-.2%203.1-.4%205.4-1.5%2023.8-45.7%20201.6-45.7%20201.6s-2.6%2010.4-12.1%2010.8c-4.7.2-9.3-1.6-12.6-4.9-18.6-16-82.8-59.2-97-68.6-.6-.4-1.1-1.1-1.2-1.9-.2-1%20.9-2.2.9-2.2s111.8-99.4%20114.8-109.8c.2-.8-.6-1.2-1.8-.9-7.4%202.7-136.2%2084.1-150.4%2093-.9.2-2%20.3-3.1.1'%20style='fill:%23fff'/%3e%3c/svg%3e)
Un inventaire construit par votre trafic réel.
Les skimmers se camouflent : ils se déclenchent sur de vrais checkouts dans de vraies sessions et restent dormants face aux crawlers et aux sandboxes. L'inventaire de CentralCSP vient de ce que les navigateurs de vos vrais visiteurs ont exécuté, donc un script qui ne dérape qu'en production figure quand même sur la liste.
- Scripts first-party et tiers, par page
- Dernières apparitions issues du trafic en direct
- Nouveaux scripts signalés dès leur apparition
Une CVE dans un tag marketing reste votre CVE.
Le nom de fichier d'un script ne dit rien du jQuery qu'il contient. CentralCSP fingerprinte le contenu de chaque script, résout la bibliothèque et la version qu'il embarque, et le confronte aux bases de CVE et au statut de maintenance. Vous corrigez la version vulnérable avant que quelqu'un d'autre ne la trouve.
- Fingerprinting du contenu, pas seulement de l'URL
- CVE connues rattachées à la version exacte
- Versions en fin de vie et non maintenues signalées
Le SBOM que votre pipeline de build ne peut pas produire.
Votre CI scanne ce qui est dans le dépôt. La charge du tag manager, le widget de chat et le snippet d'analytics n'y passent jamais, et la compromission npm de septembre 2025 a franchi tous les contrôles de build avant de faire ses dégâts dans les navigateurs. Ce SBOM liste ce qui a réellement tourné côté client.
- Technologies et versions depuis les pages en production
- Couvre les scripts qui ne passent jamais par votre dépôt
- Exportez-le pour vos revues de sécurité et audits
Une donnée qui quitte la page est un rapport, pas un mystère.
Le web skimming a deux signatures : un fichier qui a changé, et des données qui filent vers une origine jamais approuvée. Les navigateurs savent rapporter les deux. Une violation d'intégrité se déclenche quand un script ne correspond plus à son hash SRI ; un rapport de connexion se déclenche quand la page parle à une origine non déclarée.
- Connexions sortantes vers des origines inconnues rapportées
- Incohérences SRI rapportées par le navigateur lui-même
- Changements de hash suivis script par script
Prévention
La détection vous prévient. La configuration bloque.
Les rapports qui construisent votre inventaire durcissent aussi votre politique : verrouillez ce qui peut se charger et où les données peuvent aller, puis laissez le navigateur appliquer.
Une CSP issue du trafic réel
Le CSP builder transforme les rapports collectés en une politique taillée pour votre site : sources de scripts limitées à ce que vous utilisez vraiment, connect-src et form-action fermés aux origines inconnues, pour qu'un skimmer n'ait nulle part où envoyer les données.
- Construite depuis les rapports de production
- Destinations d'exfiltration verrouillées
- Report-only d'abord, appliquée une fois stable
Intégrité sur vos assets
Épinglez vos scripts statiques avec Subresource Integrity et un fichier substitué refuse de s'exécuter. Les navigateurs rapportent chaque incohérence, donc l'altération se voit même là où vous ne pouvez pas épingler.
- Hash SRI générés en quelques secondes
- Violations d'intégrité rapportées en direct
- Couvre le mode de défaillance de polyfill.io
En-têtes notés en continu
Les scanners gratuits notent votre CSP et vos en-têtes de sécurité comme un attaquant les lit : quelles origines peuvent exécuter du code, quelles destinations peuvent recevoir des données, quel reporting vous auriez pendant un incident.
- Scan de la CSP et des en-têtes
- Configuration de reporting vérifiée
- Gratuit, sans compte
Approches
Trois façons de surveiller vos scripts.
Chaque produit de sécurité côté client répond différemment à une même question : que faut-il ajouter à votre site pour obtenir la visibilité ? Voici la comparaison honnête que les vendeurs évitent.
| CentralCSP | Agent injecté | Livraison par proxy | |
|---|---|---|---|
| N'ajoute rien à votre page | Oui: Rien, un en-tête | Non: Son propre script | Non: Un proxy sur le chemin |
| Voit de vraies sessions visiteur | Oui: Chaque navigateur rapporte | Oui: Tant que son script tourne | Partiellement: Trafic proxifié seulement |
| Attrape les skimmers furtifs | Oui: Se déclenche sur de vrais checkouts | Partiellement: Sauf s'il est esquivé | Partiellement: Si la charge est inspectée |
| Bloque les scripts malveillants dans la page | Partiellement: Via votre CSP | Oui: Blocage dans le navigateur | Oui: Bloque à l'edge |
| N'ajoute ni poids de page ni latence | Oui: Zéro octet ajouté | Non: S'exécute sur chaque page | Non: Latence à chaque fetch |
| N'ajoute aucune surface d'attaque | Oui: Jamais dans la page | Non: Un tiers de plus | Non: Il sert votre code |
Vérifiez votre exposition
À quel point votre site est-il exposé, là, maintenant ?
Deux minutes : voyez quelles origines peuvent exécuter du code sur vos pages aujourd'hui, et si vous en entendriez seulement parler quand l'une tourne mal.
Gratuit, sans compte. Les résultats arrivent sur une page partageable.
Adopté par des équipes du monde entier
Vous encaissez des paiements ? C'est désormais obligatoire.
Depuis mars 2025, PCI DSS v4 exige un inventaire justifié de chaque script de page de paiement (6.4.3) et des alertes sur les changements non autorisés (11.6.1). C'est exactement le périmètre de cette page, pointé sur votre checkout, avec les exports de preuves que votre évaluateur demande.
Voir les preuves PCI DSS- Inventaire des scripts avec justifications
- Alertes de changement et d'altération
- Exports de preuves CSV et PDF
- SBOM pour l'évaluateur
FAQ
Questions fréquentes
Les attaques supply chain côté client et comment nous les attrapons, en clair.
Découvrez ce que vos pages ont exécuté aujourd'hui.
Ajoutez l'en-tête cet après-midi et l'inventaire se construit tout seul avec vos prochains visiteurs. Essai gratuit, sans agent, sans proxy, sans changement de code.