Télécharger les sites web qui utilisent RapidSec

À propos de RapidSec

La Content Security Policy est le contrôle que chaque audit de sécurité recommande et que la plupart des équipes ne finissent jamais de déployer. L’obstacle tient à l’arithmétique plutôt qu’au principe. Une politique qui fonctionne doit énumérer chaque source de script, de cadre, de police et d’image qu’un site charge, et tout site doté d’un service marketing charge une cible mouvante qui change à chaque campagne mise en ligne.

RapidSec automatise ce problème, et le faire suppose de placer du code dans le navigateur. Ce qui rend cette entrée intéressante pour la recherche, c’est précisément cette exigence. Presque tous les autres achats de sécurité que fait une entreprise se trouvent en bordure de réseau, dans un circuit de build ou dans une console privée, et ne laissent rien qu’un robot puisse observer. Un produit de gestion de politique doit instrumenter la page qu’il protège, et il devient donc l’une des très rares décisions d’une équipe de sécurité qui soit visible depuis l’extérieur de l’organisation sans le moindre accès privilégié.

La visibilité s’accompagne d’instabilité, et le chiffre a besoin de cette réserve. En octobre 2026 nous détectons l’agent sur 22 sites. Les déploiements de ce type couvrent fréquemment une partie d’un parc plutôt que sa totalité, et les mises en place en mode rapport seul sont souvent retirées une fois la politique finalisée et appliquée, si bien qu’un site peut sortir de la liste au moment même où le client réussit. Le mouvement de cette ligne reflète donc l’état d’avancement du déploiement autant que le nombre de clients, et une série temporelle doit se lire en gardant cela à l’esprit.

Un second raisonnement se tire du même signal. Une entreprise qui a besoin d’une gestion automatisée de sa politique est en général une entreprise dont les pages portent une charge substantielle de scripts tiers, puisqu’un site qui compte trois scripts écrit sa politique une fois à la main et n’y repense plus jamais. La détection tend donc à marquer les propriétés plus importantes, celles qui mènent des opérations marketing actives, dont le parc de tags est compliqué et dont la fonction sécurité a assez de poids pour leur imposer un contrôle.

Le produit est sous licence Proprietary, écrit en JavaScript, et il date de 2019, ce qui le range parmi les outils construits après le moment où la sécurité côté navigateur est passée d’une préoccupation de spécialistes à une case à cocher dans les questionnaires fournisseurs des grandes entreprises. Chaque détection désigne une organisation qui a jugé que la voie manuelle ne fonctionnait pas et qui a payé pour l’alternative, ce qui correspond à une position d’achat précise et assez avancée. L’adresse que nous conservons pour le fournisseur redirige aujourd’hui vers le site d’une autre société de sécurité plutôt que vers une page produit, si bien qu’une détection se lit mieux comme un déploiement qui a survécu à ce changement que comme la preuve d’un abonnement actif aujourd’hui.

Interroger un seul domaine vous dit quels en-têtes ce site envoie aujourd’hui, et des outils gratuits répondent déjà bien à cette question. La liste de la catégorie Security dit qui a acheté un produit pour gérer ces en-têtes, ce qui est une tout autre question et une question que les en-têtes eux-mêmes ne révèlent pas. Les fournisseurs de sécurité qui font du travail concurrentiel, les chercheurs qui étudient l’adoption des politiques sur le terrain et les acheteurs qui cherchent des références auprès d’entreprises au même niveau de maturité ont tous besoin de la population plutôt que de la réponse d’un seul site.