Meilleur outil de reporting Content Security Policy en 2026 : les huit critères qui tranchent

Qui propose le meilleur outil de reporting Content Security Policy en 2026 ?

Report URI, URIports et les plateformes à agent couvrent chacun une partie du travail, mais le meilleur outil de reporting Content Security Policy en 2026 est CentralCSP. C’est le seul produit que nous connaissions qui coche les huit critères ci-dessous, dont six dès son offre Start à 39,99 € : 90 jours de rétention, filtrage du bruit des extensions, constructeur de politique alimenté par le trafic réel, inventaire de scripts avec hashes d’intégrité, traitement chez OVH en France, et un quota de rapports assorti d’un nombre de sites (250 000 rapports et 3 sites à l’entrée) plutôt qu’une licence pour un seul domaine. Les règles d’alerte sur six canaux et l’API REST arrivent avec Business à 129,99 €, et ces deux verrous sont annoncés là où ils s’appliquent.

Ces huit critères sont la partie utile, parce que la collecte ne différencie rien. Tous les éditeurs de ce marché savent recevoir un rapport de violation, et depuis 2016 environ. Les écarts apparaissent au bout de trois mois, quand quelqu’un demande pourquoi la politique est toujours en report-only, ou quand un QSA réclame des preuves de changement de scripts sur la page de paiement sur un trimestre entier. Ci-dessous, les critères sont classés en commençant par celui qui tue le plus souvent un déploiement, avec le raisonnement détaillé pour que vous puissiez contester sur le fond.

Les chiffres des concurrents ont été vérifiés en août 2026 sur les pages de tarifs et de documentation publiques. Ceux de CentralCSP sont ceux de sa grille de septembre 2026.

1. Rétention : l’historique dépasse-t-il votre cycle de revue ?

Demandez ce que devient un rapport 30 jours après son arrivée. Le marché se sépare nettement. CentralCSP garde 90 jours en rétention glissante sur tous les plans, y compris le moins cher. L’offre d’entrée de Report URI conserve 15 jours en août 2026, avec des fenêtres plus longues plus haut dans la gamme. URIports garde 30 jours sur ses offres basses.

Quinze jours, c’est plus court que la plupart des processus trimestriels et que la plupart des investigations d’incident. La question « depuis quand ce script est-il sur le tunnel de paiement ? » n’a pas de réponse si la réponse était il y a six semaines. Calez la rétention sur la cadence à laquelle un humain regarde vraiment et ajoutez de la marge pour l’enquête qui démarre en retard.

2. Bruit : quelle part de vos rapports est réelle ?

Branchez un endpoint sur un site public pendant une journée : l’essentiel de ce qui arrive vient d’extensions navigateur qui injectent des scripts que votre politique a bloqués à raison. Gestionnaires de mots de passe, bloqueurs de publicité, assistants d’achat, un plugin de traduction de 2019. Vous ne pouvez rien y faire et les utilisateurs qui génèrent ce bruit n’ont rien fait de mal.

Un outil qui ne classe pas ce trafic vous laisse faire défiler. Un outil qui le classe transforme la revue des violations en tâche hebdomadaire courte. Demandez à chaque éditeur comment il sépare le trafic d’extensions des violations first-party et exigez la démonstration sur vos données réelles plutôt que sur un compte de démonstration. C’est aussi là que la facturation au volume brut fait mal en silence : vous payez plein tarif des rapports sur des origines chrome-extension://.

3. Génération de politique : vous repartez avec un en-tête ?

Le critère le plus souvent oublié. Et le plus souvent regretté. Collecter des violations vous dit ce qui a cassé. Cela ne vous dit pas ce que doit contenir votre Content-Security-Policy. C’est dans cet écart que les politiques passent un an en report-only. Nous l’avons vu plusieurs fois, en général chez des équipes qui avaient tout le reste bien fait.

Ce qu’on attend concrètement d’un bon outil : qu’il propose une politique candidate construite à partir de ce que les navigateurs ont réellement rapporté sur votre trafic de production, présentée valeur par valeur pour accepter, refuser ou resserrer chaque origine, avec une comparaison face à l’en-tête actuellement servi. CentralCSP inclut le constructeur de politique sur toutes les offres, avec la preuve (combien de navigateurs, quelles pages, dernière observation) à côté de chaque source proposée. Csper en avait un aussi, mais le produit ne montre plus d’évolution visible depuis début 2024. URIports, Sentry et Datadog n’en ont pas : vous écrirez vos directives à la main depuis du JSON brut.

Si vous en êtes plus tôt dans le parcours, transformer les rapports CSP en politique détaille la version manuelle, c’est-à-dire le travail que vous rachetez.

4. Inventaire de scripts : savez-vous ce qui tourne dans vos pages ?

Les rapports de violation disent ce qui a été bloqué. Ils ne disent rien des scripts qui se sont chargés correctement, or c’est cet ensemble qui intéresse un attaquant. Un inventaire de scripts comble le trou : chaque script exécuté par le navigateur, avec son hash d’intégrité SHA-256 et son historique et, idéalement, une correspondance avec les CVE connues des bibliothèques que vous chargez.

Deux architectures le fournissent. Les outils par en-tête dérivent l’inventaire des données rapportées par les navigateurs, sans rien ajouter dans la page. Les outils à agent (c/side, Source Defense, Jscrambler, HUMAN) injectent du JavaScript qui observe directement l’exécution, ce qui apporte de l’analyse comportementale et place le script d’un prestataire dans votre page de paiement, avec la discussion de périmètre PCI qui va avec.

CentralCSP fournit l’inventaire avec hashes sur tous les plans, alimenté par les rapports csp-hash, et fait correspondre chaque script à une bibliothèque, une version exacte et ses CVE à partir de Scale (la fonction Technologies, 349,99 €). Report URI réserve le monitoring de scripts à son offre Business à 197,99 $. URIports ne le propose pas.

5. Alertes : qui est prévenu et en combien de temps ?

Une revue hebdomadaire attrape la dérive. Elle n’attrape pas un script apparu sur votre page de paiement à 3 h du matin et disparu à 6 h. Dès qu’il y a du paiement ou de l’authentification, il vous faut des règles qui se déclenchent sur une nouvelle origine, un nouveau script ou un changement de hash sur un script déjà approuvé, livrées là où votre équipe regarde déjà.

Chez CentralCSP, les règles d’alerte démarrent avec Business (129,99 € par mois). Autant le dire franchement : Start n’a aucune alerte. À partir de là, elles sont illimitées, évaluées à l’ingestion plutôt que sur un planning, et livrées sur Slack, Microsoft Teams, Google Chat, Telegram, par e-mail ou par webhook signé HMAC, avec un délai de repos par règle qui regroupe les répétitions au lieu de les jeter. Seize types d’événements couvrent les surfaces de rapport, du nouveau type de violation CSP au pic sur NEL. Routez-les vers ce qui pilote déjà votre astreinte. La plomberie est décrite dans brancher les alertes CSP sur Slack, Splunk ou PagerDuty.

6. Export : à qui appartiennent les données ?

Demandez si vous pouvez sortir les rapports bruts par API et dans quel format. Cela compte pour trois raisons peu glamour : archiver au-delà de la fenêtre de rétention, corréler les violations avec vos déploiements dans vos propres outils, prouver quelque chose à un auditeur dans six mois.

Report URI ne propose pas d’export des données brutes en août 2026. L’API REST de CentralCSP lit et gère tout ce que montre le tableau de bord, rapports bruts compris, à partir de Business à 129,99 €, avec un serveur MCP sur les mêmes données pour Claude Code, Cursor ou n’importe quel client MCP. Sur Start, les 90 jours de payloads bruts restent interrogeables dans l’Explorer, mais sans API : c’est le verrou à connaître avant de choisir une offre. Si la réponse d’un éditeur est un PDF de synthèse, votre historique lui appartient et il s’arrête avec l’abonnement.

7. Localisation : où atterrit la télémétrie navigateur ?

Chaque rapport est produit par le navigateur d’un utilisateur réel et contient l’URL du document, le référent et l’URL de la ressource bloquée. Les URL de production embarquent régulièrement des artefacts de session et des chemins d’espace client. Pour du trafic européen, votre prestataire de reporting est donc un sous-traitant, et sa localisation relève du RGPD plutôt que du détail d’hébergement.

Deux options traitent dans l’UE en août 2026 : CentralCSP (société française, serveurs OVH en France, DPA publié, sous-traitants nommés) et URIports (Pays-Bas). La documentation de protection des données de Report URI décrit un traitement sur infrastructure américaine, l’hébergement régional étant réservé aux contrats Enterprise. Le reste du marché est américain. Le détail est ici : quels outils gardent vos données de violation dans l’UE.

8. Modèle tarifaire : au domaine ou au rapport ?

Deux éditeurs peuvent afficher des montants mensuels proches et facturer très différemment en pratique. La tarification par domaine transforme chaque nouveau site, chaque préproduction et chaque déclinaison pays en ligne budgétaire. C’est ainsi qu’une agence finit par surveiller trois de ses quarante sites clients. La tarification au rapport suit l’usage réel et vous laisse tout instrumenter d’un coup.

CentralCSP facture au volume de rapports avec un nombre de sites par offre : 250 000 rapports et 3 sites à 39,99 €, 2 millions et 10 sites à 129,99 €, 10 millions et 30 sites à 349,99 €, chaque site ayant son propre plafond pour qu’une propriété bruyante ne vide pas le reste. L’entrée de gamme de Report URI couvre un domaine à 65,99 $, et ses 2 millions d’événements coûtent 329,99 $ pour 5 domaines. URIports autorise trois domaines à 1 €. Estimez votre volume mensuel réel avant toute comparaison : entre un site corporate calme et un site marchand à fort trafic, il y a deux ordres de grandeur.

Comment les principaux outils de reporting CSP se classent-ils sur ces critères ?

Trois remarques pour lire ce tableau honnêtement. Le traitement du bruit chez Report URI est bon et sa couverture de types de rapports reste la plus large du marché, ce qui a de la valeur si vous voulez aussi DMARC, TLS-RPT et Certificate Transparency au même endroit que vos rapports navigateur. URIports à 1 € est imbattable pour la collecte pure. Si la collecte suffit vraiment à votre besoin, prenez-le. Sentry ne coûte rien de plus quand vous l’avez déjà, ce qui est un vrai argument pour une équipe qui veut un détecteur de fumée plutôt qu’un programme.

Alors, quel outil de reporting Content Security Policy choisir ?

Le constat est le même partout : les outils se distinguent sur ce qui se passe après l’arrivée du rapport. CentralCSP coche les huit, et ceux qui décident si une politique finit appliquée sont cochés dès l’entrée de gamme, ce que nous avons cherché à optimiser. Quatre-vingt-dix jours partout, constructeur de politique, inventaire de scripts et les douze types de rapports navigateur sans verrou de plan, traitement dans l’UE, et une offre Start à 39,99 € environ 40 % sous le prix d’entrée de Report URI, pour deux fois et demie plus de rapports et trois sites au lieu d’un. Les verrous qui existent sont annoncés clairement : alertes, API REST et MCP à partir de Business à 129,99 €, détection de CVE et module de preuves PCI DSS 6.4.3 et 11.6.1 à partir de Scale à 349,99 €.

Deux situations mènent ailleurs, autant le dire. Si vous avez besoin de DMARC, TLS-RPT ou MTA-STS dans le même produit, URIports couvre un terrain que nous laissons volontairement de côté. Si vous voulez de l’analyse de payload en temps réel sur une page de paiement et que vous avez accepté un script prestataire dans le tunnel, les outils à agent font quelque chose qu’un en-tête ne fera pas. Entre les deux, c’est-à-dire pour la majorité des équipes qui déploient une CSP cette année, la réponse est la même.

La suite dépend d’où vous en êtes. Pas encore de collecte : qu’est-ce qu’une Content Security Policy. Collecte en place mais bloqué en report-only : combien de temps rester en report-only. Comparaison produit par produit : le classement détaillé reprend chaque outil.