L'account takeover, ou usurpation de compte, est l'utilisation d'un compte légitime par une autre personne que son titulaire, obtenue par des identifiants volés, une session dérobée ou la prise de contrôle du canal de récupération. Ce qui le distingue des autres intrusions, c'est que chacune de ses actions paraît autorisée, puisqu'elle est exécutée sous une identité valide.
À ne pas confondre avec
Credential stuffing : l'une des méthodes automatisées qui y mènent, pas le résultat.
Attaque par force brute : fabrique des mots de passe candidats, quand l'account takeover s'appuie le plus souvent sur des couples réels issus de fuites.
Usurpation d'identité : emploie des données personnelles volées pour ouvrir de nouveaux comptes au nom d'un tiers, là où l'account takeover prend un compte qui existe déjà.
Mise en œuvre côté Cloudflare
Bot Management et Turnstile filtrent les tentatives automatisées sur le point de connexion. La détection d'identifiants divulgués, intégrée au WAF, signale les couples déjà publics. Page Shield surveille les scripts côté client qui lisent le formulaire de connexion, et Access ajoute les contrôles d'identité et de conformité du poste sur les applications internes.
Ce que son exploitation demande
Le point de connexion (tout comme l'authentification multifacteur, ou MFA) est aveugle à la suite : il évalue une tentative d'accès et rend son verdict avant même la première action sur le compte.
Pour repérer une prise de contrôle, c'est ce qui se passe pendant la session qu'il faut analyser. Ces signaux d'alerte vivent au cœur de l'application : changement d'adresse de livraison, ajout d'un bénéficiaire, réinitialisation depuis un appareil inconnu ou export de données.
Détecter ces comportements demande d'ajouter du code directement dans l'application. Ce chantier dépend donc de l'équipe produit/développement, et non de l'équipe sécurité. C'est pourquoi ces projets s'enlisent souvent : pour être développés, ces contrôles doivent être défendus comme des fonctionnalités prioritaires sur la feuille de route (roadmap), et non comme de simples risques sur un registre.
La sécurité des API regroupe les contrôles qui protègent les interfaces de programmation : savoir quels points de terminaison existent, vérifier qu'une requête respecte le contrat publié par l'interface, contrôler que l'appelant a bien droit à l'objet précis demandé, et détecter les abus qui ressemblent à du trafic légitime. Son problème propre est la logique d'autorisation, qu'aucune signature ne sait exprimer.
À ne pas confondre avec
Pare-feu applicatif (WAF) : inspecte une requête à la recherche de motifs d'attaque connus ; la sécurité des API vérifie en plus qu'une requête valide en apparence est bien permise à cet appelant.
Passerelle API : oriente, authentifie et compte les appels ; c'est une brique de distribution, pas une défense contre l'abus de la logique.
Gestion du trafic automatisé : qualifie l'émetteur sur toutes les interfaces, quand la sécurité des API raisonne sur l'appel.
Mise en œuvre côté Cloudflare
Cloudflare API Shield découvre les points de terminaison à partir du trafic observé, valide les requêtes contre un schéma OpenAPI, authentifie les clients par TLS mutuel ou par jeton, et signale les défauts d'autorisation au niveau objet ainsi que les abus volumétriques. Il gouverne les API que vous exposez, pas les appels que vos services émettent vers des tiers.
La surface d'attaque, ou attack surface, est l'ensemble des points par lesquels une organisation peut être atteinte depuis l'extérieur : hôtes et services exposés, applications et API publiées, accès distants, et les comptes qui y sont rattachés. Elle se définit par ce qui est joignable, et non par ce que les équipes qui en répondent connaissent.
À ne pas confondre avec
Vecteur d'attaque : le chemin précis emprunté au cours d'une attaque, quand la surface est la somme des chemins possibles.
Gestion des vulnérabilités : corrige les failles des actifs existants, alors que réduire la surface consiste à supprimer les expositions inutiles.
Gestion de la surface d'attaque externe : la pratique de découverte et de suivi, et non la surface elle-même.
Mise en œuvre côté Cloudflare
Security Center inventorie les domaines, les enregistrements DNS et les origines rattachés à un compte, et remonte les expositions qu'il détecte. Access retire les applications publiées de l'internet ouvert, et Cloudflare Tunnel permet à une origine de servir du trafic sans aucun port entrant ouvert.
La bot mitigation regroupe les techniques qui identifient le trafic automatisé sur un site ou une API, le classent selon son intention, puis appliquent une décision : laisser passer, ralentir, vérifier ou bloquer. Elle traite autant les programmes légitimes que les programmes hostiles, puisque la distinction entre les deux est précisément son objet.
À ne pas confondre avec
CAPTCHA : un CAPTCHA est un mécanisme de vérification, la bot mitigation est le dispositif qui décide s'il faut y recourir.
Pare-feu applicatif (WAF) : le WAF examine le contenu de la requête, la bot mitigation qualifie celui qui l'émet.
Limitation de débit : elle compte les requêtes sur un point d'entrée, sans se prononcer sur la nature de l'émetteur.
Mise en œuvre côté Cloudflare
Bot Management attribue un score de robot à chaque requête et permet d'agir dessus. Turnstile vérifie un visiteur sans lui imposer de CAPTCHA. Rate Limiting encadre un point d'entrée précis. AI Crawl Control traite le cas des robots qui collectent du contenu pour entraîner des modèles.
Ce que son exploitation demande
Le réglage se fait point d'entrée par point d'entrée : une page de connexion, un formulaire d'inscription et une API publique n'ont pas le même seuil de tolérance. Le travail réel n'est pas la mise en place, c'est la gestion des faux positifs et la dérive des règles quand le trafic légitime change.
Un CASB est un point de contrôle placé entre les utilisateurs d'une organisation et les applications cloud qu'ils emploient, qu'elles soient SaaS, PaaS ou IaaS. Il recense les services réellement utilisés, leur applique les règles d'accès et de traitement des données, et enregistre ce que les personnes font des données une fois authentifiées.
À ne pas confondre avec
Mandataire sortant : filtre le trafic web en général, alors que le CASB comprend l'application derrière et agit sur les objets et les habilitations.
Gestion des identités (IAM) : décide qui a le droit de se connecter, le CASB observe ce qui se passe ensuite.
Mise en œuvre côté Cloudflare
Cloudflare CASB se raccorde par API aux locataires SaaS, Google Workspace, Microsoft 365 ou Salesforce, et remonte les erreurs de configuration, les fichiers trop largement partagés et les comptes à privilèges dormants. Gateway couvre le volet en ligne et fait apparaître les services que personne n'a déclarés, DLP applique la politique de données à ce qui transite.
Ce que son exploitation demande
Le raccordement par API et le filtrage en ligne répondent à deux questions différentes : le premier constate l'état d'un locataire SaaS, ses partages et ses habilitations, sans se trouver dans le flux et donc sans pouvoir l'interrompre ; le second est dans le flux et peut arrêter une action pendant qu'elle se produit. La plupart des parcs ont besoin des deux.
Le premier raccordement produit des milliers de constats, le plus souvent des liens publics sur des fichiers que personne ne lit. Leur valeur dépend entièrement du tri décidé avant de brancher l'outil : quels types de constats ouvrent un ticket, et qui le referme. Sans cette règle posée d'avance, la liste reste ouverte et personne ne la traite.
L'angle mort est structurel : en mode API, un CASB ne voit que les locataires auxquels on l'a raccordé. Les services que personne n'a déclarés et les comptes personnels se découvrent donc dans le trafic de la passerelle, jamais dans le CASB.
Un cloud souverain est une offre construite pour que les données qu'elle héberge, et les opérations qui y touchent, restent régies par le droit d'une juridiction choisie. La promesse repose sur trois éléments dissociables : où siègent les données, qui détient les clés, et de quel droit relève la société qui exploite. Les offres se distinguent surtout par le nombre de ces trois éléments qu'elles traitent réellement.
À ne pas confondre avec
Cloud public : une infrastructure mondiale mutualisée, dont l'exploitant peut relever d'un droit étranger quelle que soit la région retenue.
Résidence des données : la seule question de l'emplacement, nécessaire et non suffisante.
Cloud privé : une infrastructure dédiée, qui ne dit rien par elle-même du droit applicable.
Mise en œuvre côté Cloudflare
La Data Localization Suite traite les questions de l'emplacement et des clés : Regional Services pour l'endroit où le trafic HTTPS est déchiffré, Customer Metadata Boundary pour l'endroit où les journaux restent, Geo Key Manager pour l'endroit où les clés privées sont détenues. Elle ne traite pas la troisième question, celle du droit dont relève la société exploitante, qui tient à la structure du groupe et au contrat.
Le credential stuffing est une attaque automatisée qui rejoue, sur le formulaire de connexion d'un service, des couples identifiant et mot de passe volés lors de fuites antérieures ailleurs. Elle n'exploite aucune faille de la cible : elle repose sur la réutilisation des mots de passe, un taux de réussite faible sur une liste longue suffisant à la rendre rentable.
À ne pas confondre avec
Attaque par force brute : fabrique des mots de passe candidats contre un compte connu, au lieu de rejouer des couples qui ont déjà fonctionné ailleurs.
Pulvérisation de mots de passe : essaie un mot de passe courant sur de nombreux comptes, précisément pour rester sous les seuils de verrouillage.
Bot Management attribue un score à chaque requête de connexion, sur le comportement et l'empreinte de la requête. La détection d'identifiants divulgués, intégrée au WAF, signale les requêtes portant un couple déjà public et expose le résultat sous forme de champs utilisables en règles. Rate Limiting encadre le point d'entrée et Turnstile vérifie le visiteur sans énigme.
Ce que son exploitation demande
La détection commence par s'activer : elle l'est par défaut sur la formule gratuite, elle se déclenche à la main sur les formules payantes, au tableau de bord, par API ou par Terraform. Elle marque ensuite la requête sans rien décider : la décision s'écrit, blocage ou challenge dans le WAF, ou traitement côté application, second facteur exigé ou réinitialisation imposée.
Le niveau de détail dépend de la formule : le témoin « mot de passe divulgué » existe sur toutes, le couple identifiant et mot de passe demande au minimum Pro, l'identifiant seul et le mot de passe proche d'un mot de passe divulgué sont réservés à Enterprise. Or c'est le couple qui permet de bloquer, puisqu'un mot de passe déjà public ne dit rien du compte visé. La formule se vérifie donc avant d'écrire la règle.
Le piège de configuration ne fait aucun bruit : la détection ne lit que les emplacements couverts par la configuration par défaut, et un formulaire qui poste des noms de champs exotiques (user_login au lieu de username, par exemple) n'y entre pas. Déclarer un emplacement de détection personnalisé est possible, mais réservé à Enterprise : en dessous, aucun réglage ne rattrape le cas, il faut aligner les noms de champs du formulaire. Sinon le contrôle s'exécute dans le vide et rend un résultat propre pendant que les tentatives passent, sans qu'aucune erreur ne remonte.
La cryptographie post-quantique regroupe les algorithmes cryptographiques conçus pour rester sûrs face à un attaquant disposant d'un ordinateur quantique pertinent pour la cryptanalyse. Elle couvre l'échange de clés et la signature, et a vocation à remplacer RSA et la cryptographie sur courbes elliptiques, dont la sûreté repose sur des problèmes qu'une telle machine saurait résoudre.
À ne pas confondre avec
Distribution quantique de clés : échange des clés en exploitant la physique du support et demande du matériel dédié, quand la cryptographie post-quantique est mathématique et s'exécute sur des machines ordinaires.
Informatique quantique : la machine qui crée le problème, pas la réponse.
Chiffrement symétrique : AES et ses équivalents sont beaucoup moins touchés, et se traitent par un allongement de clé plutôt que par un changement d'algorithme.
Mise en œuvre côté Cloudflare
Cloudflare prend en charge l'accord de clés post-quantique hybride sur son réseau, en combinant X25519 et ML-KEM, le mécanisme normalisé par le NIST. Les connexions des clients compatibles sont déjà négociées ainsi, et la part de trafic concernée est publiée sur Cloudflare Radar.
Une attaque par déni de service distribué sature sa cible avec du trafic émis depuis un grand nombre de machines, jusqu'à ce qu'elle ne réponde plus aux demandes légitimes. Elle peut viser la bande passante du réseau, les ressources du serveur, ou une seule fonction de l'application.
À ne pas confondre avec
DoS : vient d'une seule source.
Attaque de couche applicative : imite du trafic normal, elle ne se repère pas au volume.
Pic de trafic légitime : sature de la même façon, sans attaquant.
Mise en œuvre côté Cloudflare
DDoS Protection couvre la couche applicative. Magic Transit protège des plages d'adresses entières en couches 3 et 4. Spectrum traite les protocoles autres que HTTP.
La directive NIS2, directive (UE) 2022/2555, est un texte européen qui impose des obligations de cybersécurité aux organisations des secteurs qu'elle couvre : mesures de gestion des risques, notification des incidents, sécurité de la chaîne d'approvisionnement et responsabilité des organes de direction. Elle remplace la directive NIS de 2016 et range les organisations concernées en entités essentielles ou importantes.
À ne pas confondre avec
RGPD : porte sur les données personnelles, quand NIS2 porte sur la sécurité et la continuité des réseaux et systèmes d'information.
Règlement DORA : vise le seul secteur financier, et s'applique directement, là où NIS2 est une directive transposée par chaque État membre.
ISO 27001 : une norme volontaire et certifiable, pas une obligation légale, même si elle soutient plusieurs mesures attendues.
Mise en œuvre côté Cloudflare
Les produits Cloudflare répondent à des mesures précises et non à la conformité dans son ensemble : Access et Gateway pour le contrôle d'accès, la protection anti-DDoS et le WAF pour la disponibilité et la sécurité applicative, Logpush pour la conservation des traces dont dépendent les délais de notification.
La prévention des fuites de données, ou DLP, regroupe les politiques et les contrôles qui détectent et empêchent la sortie de données sensibles, que le mouvement soit délibéré ou accidentel. Elle porte sur les données en transit, au repos et en cours d'usage, et suppose d'abord d'être capable de reconnaître ces données.
À ne pas confondre avec
Sauvegarde : conserve une copie pour pouvoir restaurer, quand la DLP empêche la sortie.
Classification des données : étiquette les données selon leur sensibilité, et sert de matière première aux règles DLP.
Chiffrement : rend les données illisibles sans la clé, sans rien dire de qui a le droit de les déplacer.
Mise en œuvre côté Cloudflare
Cloudflare DLP inspecte le trafic qui passe par Gateway, en appliquant des profils pour les types de données connus, numéros de carte bancaire ou identifiants nationaux, ainsi que des expressions personnalisées. Cloudflare CASB applique les mêmes profils aux fichiers déjà stockés dans les locataires SaaS raccordés, et Email Security couvre le courrier sortant.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
DMARC est un protocole d'authentification des courriels qui s'appuie sur SPF et DKIM. Il permet au titulaire d'un domaine de publier dans le DNS la conduite à tenir par les serveurs destinataires face aux messages qui se réclament de ce domaine sans passer l'authentification : aucune action, mise en quarantaine ou rejet. Il leur demande aussi de rendre compte de ce qu'ils ont vu.
À ne pas confondre avec
SPF (Sender Policy Framework) : déclare quels serveurs ont le droit d'émettre pour un domaine, sans dire quoi faire en cas d'échec.
DKIM (DomainKeys Identified Mail) : signe le message, ce qui permet au destinataire de vérifier qu'il n'a pas été modifié et qu'il vient bien du domaine signataire.
Domaine sosie : DMARC ne couvre que le domaine exact pour lequel il est publié. Un message envoyé depuis un domaine ressemblant, déposé par l'attaquant, passe ses propres contrôles SPF, DKIM et DMARC. C'est la surveillance des dépôts et le filtrage à l'affichage qui répondent à ce cas, pas DMARC.
Mise en œuvre côté Cloudflare
Email Security évalue les résultats SPF, DKIM et DMARC des messages entrants dans sa chaîne d'inspection. Cloudflare DNS héberge l'enregistrement TXT, et DMARC Management collecte et analyse les rapports agrégés renvoyés par les destinataires, qui constituent l'inventaire dont dépend tout durcissement de la politique.
Ce que son exploitation demande
Publier p=reject prend une ligne de DNS, y arriver sans couper d'envoi légitime est un travail de recensement : il faut la liste de tous les outils qui écrivent au nom du domaine, CRM, support, marketing, facturation, applications internes, et ce sont les rapports agrégés qui servent à la construire. Deux mécanismes font ensuite échouer la trajectoire, l'un comme l'autre sans erreur visible.
Le plafond SPF d'abord : le protocole s'arrête à dix résolutions DNS, et chaque fournisseur ajouté par un include en consomme au moins une. Cinq outils SaaS émetteurs suffisent souvent à dépasser la limite, et le contrôle rend alors une erreur permanente : rien ne prévient l'émetteur, l'échec ne se voit que dans les rapports ou chez le destinataire.
Les renvois ensuite : listes de diffusion et transferts automatiques réécrivent l'enveloppe du message, ce qui casse SPF sur des flux parfaitement légitimes. Seule la signature DKIM y survit, donc l'alignement DMARC de ces flux doit reposer sur DKIM, ce qui suppose de l'avoir signé proprement avant de durcir la politique.
Reste sp=, qui se renseigne explicitement au lieu d'être laissé par défaut : sans valeur propre, un sous-domaine hérite de la politique du domaine principal. Le jour où p=reject est publié, un sous-domaine servi par un outil que plus personne ne suit cesse de délivrer, du jour au lendemain.
Le DNSSEC ajoute des signatures cryptographiques aux enregistrements DNS, ce qui permet à un résolveur de vérifier qu'une réponse vient bien de la zone qui la revendique et n'a pas été modifiée en chemin. Il authentifie la donnée ; il ne chiffre pas la requête, et il ne dit rien de la dangerosité du domaine ainsi résolu.
À ne pas confondre avec
Filtrage DNS : décide si un nom doit être résolu ; le DNSSEC vérifie que la réponse rendue est authentique.
DNS sur HTTPS : chiffre l'échange entre le client et le résolveur ; le DNSSEC signe l'enregistrement lui-même, depuis le serveur faisant autorité.
TLS : protège la connexion établie après la résolution, pas la résolution.
Mise en œuvre côté Cloudflare
Cloudflare DNS signe la zone et gère le renouvellement des clés automatiquement une fois le DNSSEC activé. L'étape restante appartient au bureau d'enregistrement : l'enregistrement de délégation doit être publié dans la zone parente pour que la validation prenne effet.
Ce que son exploitation demande
Le risque n'est pas l'attaque, c'est la configuration. Une zone signée dont les clés se désynchronisent échoue en mode fermé : les résolveurs qui valident refusent la réponse, et le domaine devient injoignable, panne totale et immédiate, bien plus lourde que l'usurpation qu'il s'agissait d'éviter.
L'étape qui échappe à l'hébergeur DNS est l'enregistrement de délégation, le DS, que le bureau d'enregistrement publie dans la zone parente (.fr, .com). C'est celle qui casse en pratique, lors d'un transfert de domaine ou d'un changement de prestataire DNS : la zone est signée avec de nouvelles clés, le DS encore en cache chez les résolveurs désigne les anciennes, et ceux qui valident répondent SERVFAIL jusqu'à ce que le cache expire.
D'où un ordre d'opérations qui ne s'improvise pas : retirer le DS chez le bureau d'enregistrement, attendre l'expiration de son TTL, 24 à 48 heures sur la plupart des extensions, changer les serveurs de noms, puis réactiver la signature chez le nouvel hébergeur. Le reste tient en une règle : automatiser le renouvellement des clés, ou ne pas signer. Une zone signée à moitié gérée est plus dangereuse qu'une zone non signée.
L'edge computing exécute du code et traite les données sur des serveurs proches des personnes ou des équipements qui émettent les requêtes, au lieu de tout renvoyer vers un centre de données central. Le calcul se fait sur les points de présence du réseau, ce qui raccourcit l'aller-retour et réduit le trafic remonté vers l'infrastructure principale.
À ne pas confondre avec
Cloud computing : le traitement se fait dans quelques régions centrales, loin de l'utilisateur.
Réseau de diffusion de contenu (CDN) : le CDN sert des copies de contenu près de l'utilisateur, l'edge computing y exécute du code.
Infrastructure sur site : du matériel que l'entreprise possède et exploite elle-même, et non des serveurs opérés par un fournisseur.
Mise en œuvre côté Cloudflare
Workers exécute du code en périphérie, avec une prise en charge native de JavaScript, TypeScript, Python et Rust, et WebAssembly pour les langages qui s'y compilent. Workers KV stocke des valeurs qui tolèrent un décalage, D1 porte les données relationnelles, Durable Objects porte l'état fortement cohérent, R2 stocke les objets sans frais de sortie.
Ce que son exploitation demande
La vraie contrainte n'est pas la latence, c'est la cohérence des données, et les deux briques de stockage tranchent ce compromis dans deux sens opposés.
Workers KV est à cohérence éventuelle : les valeurs sont mises en cache emplacement par emplacement, donc la lecture est immédiate, mais une écriture faite dans une région met jusqu'à une minute, parfois plus, à se propager, et une autre région relit entre-temps une valeur périmée. Cela convient à de la configuration, des drapeaux de fonctionnalité ou des préférences, pas à un solde ni à un stock.
Un Durable Object est fortement cohérent, au prix inverse : la donnée vit à un seul endroit. Un compteur global logé dans un objet unique redonne donc à chaque utilisateur l'aller-retour que la périphérie devait supprimer, et la sortie consiste à partitionner, un objet par client, par salle ou par clé, plutôt qu'à centraliser.
D'où l'ordre des décisions : quelles données tolèrent un décalage se tranche à la conception, avant la première ligne de code. Se tromper là-dessus impose de réécrire, aucun réglage ne rattrape le choix.
Le filtrage DNS applique une politique au moment de la résolution de nom : le résolveur compare le domaine demandé à des catégories et à des listes de menaces, et renvoie un blocage au lieu d'une adresse. Comme il agit avant l'ouverture de toute connexion, une seule décision couvre les ports et protocoles qui auraient employé ce nom.
À ne pas confondre avec
Secure Web Gateway (SWG) : le filtrage DNS s'arrête au nom de domaine, sans inspecter le contenu des pages ni le trafic chiffré.
Pare-feu réseau : filtre sur les adresses et les ports, quand le filtrage DNS ne traite que les requêtes de résolution.
DNSSEC : garantit l'authenticité et l'intégrité d'une réponse DNS, sans se prononcer sur le fait d'autoriser ou de bloquer.
Mise en œuvre côté Cloudflare
Cloudflare Gateway résout les requêtes des appareils et des réseaux enrôlés, en appliquant listes de catégories, renseignement sur la menace et règles personnalisées. Chaque emplacement dispose de son propre point de résolution, et la politique peut varier par emplacement, par groupe d'utilisateurs ou selon la conformité du poste.
Ce que son exploitation demande
Le filtrage DNS ne s'applique qu'aux requêtes qui passent réellement par votre résolveur, et trois cas le contournent. L'accès direct par IP : une adresse écrite en dur dans une application ne déclenche aucune requête DNS. Le DoH non maîtrisé : un navigateur ou un logiciel interroge son propre service DNS chiffré et ignore celui de l'entreprise. La mobilité : un appareil sorti du réseau n'est plus couvert s'il n'embarque pas d'agent.
L'enjeu principal du déploiement consiste donc à fermer ces trois voies : bloquer les résolveurs DoH tiers et imposer votre résolveur sur les postes gérés, y compris hors du réseau.
Attention aux tableaux de bord : une requête contournée est par nature invisible. Un rapport propre prouve seulement que le résolveur fonctionne, pas que l'ensemble du parc est protégé.
La fraude au président est une escroquerie dans laquelle un attaquant se fait passer pour un dirigeant et obtient d'un collaborateur un virement urgent et présenté comme confidentiel, vers un compte qu'il contrôle. Le message ne porte en général ni pièce jointe ni lien, ce qui explique que les filtres construits autour des charges malveillantes la laissent passer.
À ne pas confondre avec
Hameçonnage : diffusé largement et visant des identifiants, pas une transaction précise.
Usurpation d'identité : le vol de données personnelles pour ouvrir des comptes au nom d'un tiers.
Faux ordre de virement (FOVI) : la famille de fraudes aux virements dans son ensemble, dont la fraude au président et la fraude au fournisseur sont deux déclinaisons.
Mise en œuvre côté Cloudflare
Email Security note l'historique de la relation, la ressemblance du domaine et l'absence de charge, qui est elle-même un signal, puis applique une décision sur laquelle les déplacements automatiques peuvent agir. La politique sortante couvre le cas inverse, une boîte interne compromise qui émet la demande.
L'hameçonnage est une attaque d'ingénierie sociale qui imite un organisme de confiance, par courriel, par message ou par une page web, pour obtenir des identifiants, un paiement ou l'exécution d'un fichier. Il est diffusé largement plutôt qu'écrit pour un destinataire précis, ce qui le distingue du harponnage.
À ne pas confondre avec
Spear phishing : écrit pour une cible nommée, à partir de recherches menées sur elle.
Fraude au président : vise un processus de paiement plutôt que des identifiants.
Domaine sosie : le dépôt d'un nom de domaine ressemblant, qui héberge souvent la page d'hameçonnage sans être l'attaque elle-même.
Mise en œuvre côté Cloudflare
Email Security inspecte les messages entrants à la recherche d'expéditeurs usurpés, de liens malveillants et de pages imitant un formulaire de connexion. Gateway bloque la résolution des domaines d'hameçonnage connus, et Browser Isolation ouvre ceux que la politique autorise sans exécuter leur code sur le poste.
L'ISO/IEC 27001 est une norme internationale qui fixe les exigences d'un système de management de la sécurité de l'information : comment une organisation identifie ses risques, choisit les mesures à appliquer, et réexamine ce choix dans la durée. Elle est certifiable par un tiers accrédité, ce qui la distingue des référentiels seulement auto-évalués.
À ne pas confondre avec
ISO/IEC 27002 : le catalogue de mesures et les recommandations de mise en œuvre ; la 27001 pose les exigences certifiables.
SOC 2 : un rapport d'attestation produit par un auditeur, très employé en Amérique du Nord, plutôt qu'une certification contre une norme.
Cadre du NIST : une référence volontaire pour organiser un programme de sécurité, sans certification associée.
Mise en œuvre côté Cloudflare
Aucun produit ne délivre une certification. Ce que la plateforme apporte, ce sont des preuves pour des mesures précises : Logpush et les journaux d'audit pour la traçabilité, Access pour les clauses de contrôle d'accès, Security Center pour l'inventaire d'actifs dont dépend l'appréciation des risques. Cloudflare publie par ailleurs ses propres certifications et rapports d'audit, qu'un client cite comme assurance fournisseur et non comme sa propre conformité.
Ce que son exploitation demande
Pour juger de la valeur réelle d'un certificat ISO 27001 (le vôtre ou celui d'un fournisseur), deux éléments sont à vérifier en priorité.
Le périmètre d'application : lisez toujours la déclaration de périmètre avant le certificat. Un certificat couvrant une seule ligne de produits ou un unique centre de données ne garantit rien sur le reste des services réellement utilisés.
Le cycle de suivi : privilégiez la date du dernier audit de surveillance plutôt que celle de la certification initiale. Ce sont ces audits réguliers qui montrent que le système de management vit au quotidien, au lieu d'avoir été assemblé une seule fois pour l'auditeur.
La détection et réponse gérées est un service par lequel un prestataire surveille la télémétrie d'une organisation, recherche activement ce qu'aucune règle n'a signalé, et intervient pour contenir ce qu'il trouve. Ce qui la sépare de la simple surveillance est le mandat d'agir, convenu à l'avance, plutôt que de notifier et d'attendre.
À ne pas confondre avec
MSSP : exploite la plateforme de sécurité ; le MDR se mesure à ce qu'il trouve et contient.
Détection et réponse sur les terminaux (EDR) : le logiciel installé sur la machine, que les analystes du MDR exploitent.
SOC as a service : la fonction de surveillance au sens large ; le MDR en est la part dotée d'un mandat de confinement.
Mise en œuvre côté Cloudflare
Cloudflare fournit le versant réseau de la télémétrie plutôt que le service : Logpush exporte les journaux de requêtes, de pare-feu et Zero Trust qu'un prestataire recoupe avec les données des terminaux, et l'API lui permet de pousser une règle de blocage ou de révoquer une session pendant un incident.
Le Model Context Protocol est une norme ouverte qui décrit comment une application bâtie sur un modèle de langage se raccorde à des outils, des sources de données et des invites externes. Elle définit comment un client découvre ce qu'un serveur propose et comment il l'appelle, de sorte qu'un même raccordement fonctionne avec des modèles et des hôtes différents.
À ne pas confondre avec
Génération augmentée par la recherche (RAG) : un schéma qui injecte des documents dans le contexte, quand le MCP normalise la communication entre l'agent et les outils.
API REST : l'interface qu'un service expose ; le MCP est la convention par laquelle un agent découvre et appelle de telles interfaces.
JSON-RPC : le format de message qu'emploie le MCP. Le transport est une autre question, entrée et sortie standard en local, HTTP à distance.
Mise en œuvre côté Cloudflare
Cloudflare héberge des serveurs MCP distants sur Workers. Cloudflare One ajoute deux contrôles documentés : Access devant un serveur, et les portails MCP, qui placent plusieurs serveurs derrière un point d'entrée unique et choisissent quels outils chaque portail expose. Un portail peut router son trafic par Gateway, ce qui rend les appels visibles dans les journaux et soumis au DLP.
Un prestataire de services de sécurité gérés exploite pour le compte d'une organisation les dispositifs de sécurité en place : paramétrage, surveillance, maintien en condition et gestion des changements. Son périmètre est la conduite de l'outillage, ce qui le distingue des services vendus sur un résultat de détection.
À ne pas confondre avec
Prestataire de services gérés (MSP) : exploite l'informatique générale, quand le MSSP se limite aux dispositifs de sécurité.
Détection et réponse gérées (MDR) : se vend sur la détection et le confinement, quand le MSSP se vend sur l'exploitation de la plateforme.
SOC as a service : la fonction de surveillance et d'investigation, qu'un MSSP peut inclure dans un contrat plus large.
Mise en œuvre côté Cloudflare
Cloudflare délivre ce type de service par des partenaires accrédités plutôt qu'en direct, le partenaire tenant la configuration et le client gardant la propriété du compte. Le tableau de bord, les journaux d'audit et Logpush sont les interfaces qui rendent ce partage vérifiable.
Le mTLS est le protocole TLS employé dans les deux sens. Le serveur présente son certificat comme d'habitude et le client en présente un aussi, chacun validant celui de l'autre pendant la poignée de main, avant tout échange applicatif. Il remplace les secrets partagés, clés d'API notamment, par une identité portée par un certificat émis par une autorité connue.
À ne pas confondre avec
TLS ou HTTPS : authentification à sens unique, où seul le serveur prouve son identité.
Authentification par clé d'API : un secret partagé transporté dans un en-tête, que quiconque le détient peut rejouer.
OAuth 2.0 : un cadre d'autorisation qui opère sur des jetons applicatifs, alors que le mTLS authentifie la connexion de transport elle-même.
Mise en œuvre côté Cloudflare
API Shield valide les certificats clients en périphérie, si bien qu'un appel non authentifié n'atteint jamais l'origine, et peut les émettre depuis une autorité de certification gérée par Cloudflare. Access accepte le TLS mutuel comme méthode d'authentification applicative, et Authenticated Origin Pulls applique le même principe entre Cloudflare et le serveur d'origine.
Ce que son exploitation demande
Déployer le protocole ne prend qu'une journée, c'est la gestion du cycle de vie des certificats qui occupe tout le reste du projet.
Les limites d'architecture : l'autorité de certification gérée par Cloudflare est incluse dans toutes les offres. En revanche, importer vos propres autorités exige une formule Enterprise et reste limité à cinq autorités par compte. C'est une contrainte majeure à anticiper si vous devez interconnecter plusieurs filiales disposant chacune de leur propre PKI.
Le piège de l'expiration : automatisez le renouvellement dès le premier jour. Un certificat client expiré provoque une panne immédiate et sans attaque extérieure. Cela touche quasi systématiquement les flux les moins surveillés, comme une flotte d'objets connectés ou une intégration partenaire oubliée depuis des années.
PCI DSS (Payment Card Industry Data Security Standard)
Le PCI DSS est la norme de sécurité que les réseaux de cartes imposent à toute organisation qui stocke, traite ou transmet des données de porteur de carte. Elle s'impose par contrat, à travers les banques acquéreuses, et non par la loi, et le niveau de validation exigé dépend du volume de transactions.
À ne pas confondre avec
RGPD : un texte de loi couvrant toutes les données personnelles ; le PCI DSS est une norme privée limitée aux données de carte.
SOC 2 : une attestation sur l'environnement de contrôle d'une organisation, sans rapport avec les données de carte.
EMV : la norme de la puce et du code de la carte physique, pas des systèmes qui traitent la transaction.
Mise en œuvre côté Cloudflare
Deux familles d'exigences correspondent à la plateforme. Le WAF répond à l'exigence sur les applications exposées, et Page Shield répond aux exigences sur les scripts côté client introduites en version 4.0, en recensant et en surveillant les scripts qui s'exécutent sur la page de paiement. Les deux produisent la preuve que l'évaluateur demande, ce qui est souvent la partie la plus difficile.
Ce que son exploitation demande
L'enjeu majeur de la conformité réside dans la maîtrise du périmètre. Tout composant qui interagit avec la page de paiement relève des exigences de la version 4.0 sur les scripts côté client, y compris quand le formulaire est servi par le prestataire dans un cadre et que la page, elle, reste hors de l'environnement des données de carte (CDE).
Le piège classique : le gestionnaire de balises (Tag Manager) fait partie du périmètre, tout comme l'ensemble des scripts tiers (outils marketing, d'analyse, etc.) qu'il permet d'injecter.
Règle d'or : définissez de façon stricte et en amont qui a le droit d'ajouter un script sur la page de paiement. Si cette gouvernance n'est pas tranchée avant l'évaluation, c'est l'évaluateur qui vous le rappellera pendant le contrôle.
Le prompt injection, ou injection de prompt, est une classe de vulnérabilité propre aux applications bâties sur un modèle de langage. Comme le modèle lit les instructions et les données dans le même canal, un texte placé dans les données peut être compris comme une instruction et prendre le pas sur celle de l'application, qu'il vienne de l'utilisateur ou d'un document récupéré.
À ne pas confondre avec
Injection SQL : vise un langage de requête doté d'une grammaire, qu'on peut donc paramétrer ; la langue naturelle ne se paramètre pas.
Contournement des garde-fous : cherche à lever les restrictions du modèle lui-même, quand l'injection détourne le contexte de l'application qui l'entoure.
Empoisonnement de données : altère les données d'entraînement en amont, alors que l'injection agit au moment de l'inférence.
Mise en œuvre côté Cloudflare
AI Security for Apps, une détection du WAF anciennement nommée Firewall for AI, inspecte les requêtes adressées à un modèle et peut journaliser ou bloquer avant transmission. AI Gateway applique des garde-fous et une politique de prévention des fuites aux requêtes comme aux réponses, et enregistre requête, réponse, fournisseur, jetons, coût et durée par appel.
Ce que son exploitation demande
Séparer les instructions système des entrées utilisateur ou ajouter des filtres ne suffit pas : tout passe par la même fenêtre de contexte, et la langue naturelle ne se paramètre pas comme un langage de requête. L'approche repose donc sur deux piliers.
Le principe du moindre privilège : bornez strictement les droits de l'agent. Un assistant qui ne dispose d'aucun droit d'écriture ou de paiement ne pourra pas être manipulé pour exécuter une action critique. Délimitez d'abord ses outils, filtrez les entrées ensuite.
L'angle mort de l'injection indirecte : quand l'attaque vient d'un document externe (une base de connaissances, un fichier ingéré) plutôt que du prompt direct de l'utilisateur, le point de contrôle se déplace vers la base documentaire. Ce stockage est souvent géré par une équipe métier qui n'a pas conscience de faire partie du périmètre de sécurité.
Le modèle Purdue est une architecture de référence qui découpe un environnement industriel en niveaux hiérarchiques, des capteurs et actionneurs du procédé jusqu'au système d'information de l'entreprise, avec une zone démilitarisée entre la moitié industrielle et la moitié bureautique. Il sert de carte de segmentation pour les systèmes de contrôle industriels.
À ne pas confondre avec
Modèle OSI : décrit les couches de communication d'une pile de protocoles, pas l'organisation d'un site industriel.
Micro-segmentation : une technique d'isolation appliquée à l'intérieur d'une zone, y compris à l'intérieur d'un niveau Purdue.
IEC 62443 : la norme qui fixe les exigences de sécurité industrielle, et qui emploie son propre vocabulaire de zones et de conduits plutôt que les niveaux Purdue.
Mise en œuvre côté Cloudflare
Les produits agissent aux niveaux bureautiques et à la frontière, jamais dans le procédé. Cloudflare Tunnel ouvre un chemin sortant seulement, si bien qu'un site industriel ne publie rien en entrée, Access gouverne qui atteint une interface donnée, et Cloudflare WAN et Magic Transit portent les liaisons de site.
Ce que son exploitation demande
Presque aucune usine ne respecte le schéma théorique en pratique. L'écart se situe systématiquement au même endroit : les accès de télémaintenance directs, négociés par les équipementiers avec l'équipe d'exploitation pour intervenir à distance. Ces liaisons traversent les niveaux sans être passées par la moindre revue. La méthode d'intervention tient en deux temps.
Recenser l'existant : le premier travail consiste à cartographier ces accès fournisseurs, un par un, avant de chercher à définir une architecture cible.
Gérer la résistance : attendez-vous à de fortes réticences. Chaque accès direct est adossé à un contrat de disponibilité de la production, signé par l'exploitation et non par la fonction sécurité, et la continuité de service y prime sur le reste.
Un ransomware, ou rançongiciel, est un logiciel malveillant qui prive d'accès à un système ou à des données, le plus souvent en chiffrant les fichiers, jusqu'au paiement d'une rançon. La plupart des campagnes actuelles ajoutent un second levier : les données sont copiées avant d'être chiffrées, si bien que payer pour une clé ne retire pas la menace de publication.
À ne pas confondre avec
Logiciel malveillant : la catégorie générale, dont le ransomware est la part tournée vers l'extorsion.
Hameçonnage : l'une des voies de distribution, pas la charge elle-même.
Déni de service : interrompt la disponibilité de l'extérieur, sans toucher aux données.
Mise en œuvre côté Cloudflare
Les produits agissent sur les voies d'entrée plutôt que sur le chiffrement : Email Security sur le message de distribution, Gateway sur la résolution des domaines de commande et de contrôle, Browser Isolation sur les téléchargements web, et Access sur le déplacement latéral qui suit un premier point d'appui.
Ce que son exploitation demande
Face à une attaque par rançongiciel, la réponse repose sur la maîtrise de deux enjeux majeurs.
Restauration plutôt que sauvegarde : la vraie mesure d'efficacité n'est pas le succès des sauvegardes, mais la vitesse de restauration. Un voyant « vert » quotidien ne sert à rien si remettre en ligne le serveur de fichiers demande onze jours. C'est le processus de restauration qu'il faut tester, pas l'outil de sauvegarde.
La double extorsion : restaurer un système sain résout la panne, mais ne met pas fin à l'incident. Si des données ont été volées avant d'être chiffrées, la menace de publication persiste.
Point de vigilance : les décisions de notification (régulateur, clients, gouvernance) et la stratégie de crise se préparent en amont avec les équipes juridiques et de communication. Elles ne s'improvisent pas sous la pression du deuxième jour d'attaque.
Règlement DORA (Digital Operational Resilience Act)
Le règlement DORA, règlement (UE) 2022/2554, fixe les exigences de résilience opérationnelle numérique des entités financières de l'Union européenne : gestion des risques informatiques, déclaration des incidents, tests de résilience et encadrement des prestataires informatiques tiers. Les prestataires désignés comme critiques relèvent d'une surveillance européenne directe.
À ne pas confondre avec
Directive NIS2 : couvre de nombreux secteurs et se transpose dans chaque droit national, quand DORA s'applique directement et au seul secteur financier et à ses fournisseurs.
PCI DSS : une norme privée de l'industrie des cartes de paiement, et non un texte européen.
Règlement MiFID II : encadre la conduite des marchés et la transparence des transactions, pas la résilience des systèmes qui les portent.
Mise en œuvre côté Cloudflare
Cloudflare répond à des articles précis plutôt qu'au règlement dans son ensemble : disponibilité et protection applicative, journalisation continue par Logpush pour tenir les délais de déclaration, et les contrôles de localisation et de contrat qu'appellent les dispositions sur les tiers.
L'isolation à distance du navigateur, ou remote browser isolation, exécute la session de navigation dans un conteneur distant et ne transmet au poste de l'utilisateur que le rendu de la page. Le code des pages s'exécute donc ailleurs que sur le terminal, qui reçoit un flux de commandes d'affichage plutôt que les scripts du site.
À ne pas confondre avec
Infrastructure de bureaux virtuels (VDI) : virtualise un poste de travail complet, quand l'isolation ne virtualise que la session de navigation.
Secure Web Gateway (SWG) : décide si un site peut être ouvert ; l'isolation est ce qui permet de l'ouvrir sans exécuter son code localement.
Bac à sable sur le poste : contient un code déjà arrivé sur l'appareil, l'isolation l'empêche d'arriver.
Mise en œuvre côté Cloudflare
Cloudflare Browser Isolation exécute les sessions dans des conteneurs sur le réseau Cloudflare et emploie le rendu vectoriel réseau pour transmettre les commandes d'affichage au navigateur local. La politique Gateway décide quelles catégories s'ouvrent en isolation, encadre le copier, le coller, l'impression, le téléversement et le téléchargement, et peut désactiver la saisie sur les sites à risque. Le trafic est déchiffré au moyen du certificat racine Cloudflare.
Ce que son exploitation demande
L'isolation protège le poste de l'exécution du code, elle n'empêche pas un utilisateur de saisir ses identifiants dans une page de hameçonnage affichée à distance. Ce qui décide du résultat, ce sont trois décisions de la politique Gateway, et aucune ne se prend d'elle-même.
La saisie clavier d'abord : Cloudflare sait la désactiver sur les sites isolés, et c'est le seul de ces contrôles qui répond au hameçonnage, puisqu'il empêche de taper un mot de passe dans la page. Comme les autres restrictions de la session, il autorise l'action par défaut et se restreint règle par règle, donc personne ne l'obtient sans l'avoir écrit.
Le presse-papiers et les transferts de fichiers ensuite, copier, coller, imprimer, téléverser, télécharger : ce sont eux que les utilisateurs remarquent et contestent. Les serrer sans prévenir ni prévoir de voie de dérogation bloque du travail quotidien et remplit la file des demandes d'exception.
La liste des catégories enfin : tout isoler dépense de la latence sur des pages qui n'en avaient pas besoin, donc l'isolation se réserve aux catégories à risque, celles que la politique autorise sans leur faire confiance.
La résidence des données est l'emplacement géographique où une organisation stocke et traite ses données, choisi pour répondre à une politique interne, à un engagement contractuel ou à une attente réglementaire. Elle dit où les données se trouvent physiquement, et rien d'autre.
À ne pas confondre avec
Souveraineté des données : quel droit s'applique aux données, ce que l'emplacement ne tranche pas.
Localisation obligatoire : une obligation légale de conserver les données dans un pays, alors que la résidence peut relever du choix.
Protection des données personnelles : les règles d'usage, qui s'appliquent où que les données se trouvent.
Mise en œuvre côté Cloudflare
La Data Localization Suite traite trois questions distinctes : Regional Services choisit quels centres de données peuvent déchiffrer et traiter le trafic HTTPS, Customer Metadata Boundary maintient les journaux et les statistiques dans la région retenue, Geo Key Manager fixe l'endroit où les clés privées sont conservées.
RGPD (règlement général sur la protection des données)
Le règlement général sur la protection des données, règlement (UE) 2016/679, encadre la collecte, l'usage, la conservation et le transfert des données personnelles des personnes situées dans l'Union européenne. Il s'applique à des organisations établies hors de l'Union dès lors qu'elles ciblent ou suivent ces personnes, et il distingue le responsable de traitement, qui décide de la finalité, du sous-traitant, qui agit sur instruction.
À ne pas confondre avec
Directive NIS2 : porte sur la sécurité et la continuité des réseaux et systèmes, quand le RGPD porte sur l'usage des données personnelles, quel qu'en soit le détenteur.
Souveraineté des données : la question du droit applicable ; le RGPD est l'une de ces lois, pas le principe.
PCI DSS : une norme privée de l'industrie des cartes, imposée par contrat et non par la loi.
Mise en œuvre côté Cloudflare
La Data Localization Suite répond à la moitié « localisation » : Regional Services choisit où le trafic HTTPS peut être déchiffré, Customer Metadata Boundary maintient journaux et statistiques dans une région, Geo Key Manager fixe où les clés privées sont détenues. La moitié contractuelle, accord de sous-traitance et clauses de transfert, se joue hors du produit.
Ce que son exploitation demande
Les mesures techniques sont la partie facile. Ce qui bloque, c'est le transfert, et pour une raison que les équipes anticipent rarement.
Un CDN ou un pare-feu applicatif qui termine le TLS traite des données personnelles. Il a donc sa place au registre des traitements et dans l'analyse de transfert, au même titre que le CRM. La plupart des inventaires le rangent en « infrastructure » et l'oublient.
Conséquence pratique : l'endroit où le trafic est déchiffré cesse d'être un détail de mise en œuvre et devient une réponse à pouvoir documenter, au même titre que la région où les journaux sont conservés et le pays où les clés privées sont détenues.
Le SASE est un modèle d'architecture qui délivre ensemble la connectivité réseau et la sécurité réseau, depuis le réseau d'un fournisseur, aux utilisateurs et aux sites où qu'ils se trouvent. Il réunit le réseau étendu défini par logiciel (SD-WAN) et les services de sécurité du SSE sous une même administration.
À ne pas confondre avec
SSE : la partie strictement sécurité du SASE, sans les capacités réseau.
SD-WAN : la partie réseau, sans les services de sécurité.
Zero Trust : le principe de vérification continue, quand le SASE est l'architecture qui le met en œuvre.
Mise en œuvre côté Cloudflare
Cloudflare One est la plateforme SASE de Cloudflare : Access pour l'accès Zero Trust, Gateway pour la passerelle web, Cloudflare CASB et DLP, avec Cloudflare WAN et Magic Transit pour la connectivité et Cloudflare Network Firewall pour le trafic réseau.
Le SD-WAN est une façon d'exploiter un réseau étendu où le logiciel décide, application par application et en temps réel, par quelle liaison passe un flux : circuit privé, accès internet, réseau mobile. La politique de routage est centralisée plutôt que répartie dans la configuration de chaque site, ce qui transforme un changement en modification de règle au lieu d'une intervention sur place.
À ne pas confondre avec
MPLS : l'une des liaisons que le SD-WAN arbitre, et non une solution concurrente.
SASE : ajoute à cette connectivité les services de sécurité du SSE.
VPN : établit un tunnel entre deux points, quand le SD-WAN choisit par quel tunnel un flux doit passer.
Mise en œuvre côté Cloudflare
Cloudflare WAN raccorde les sites, les centres de données et les environnements cloud au réseau Cloudflare, avec la politique appliquée sur la même plateforme que les contrôles Zero Trust. Magic Transit couvre des plages d'adresses en couches 3 et 4, et Cloudflare Network Firewall filtre ce trafic.
Ce que son exploitation demande
C'est la partie d'un programme SASE qui se comporte en projet réseau et non en abonnement : elle porte des contraintes physiques et un calendrier qui ne se décide pas chez vous.
Chaque site dépend du délai de livraison de l'opérateur local, et un raccordement en anycast engage une annonce BGP, donc des fenêtres de changement, une discussion de peering et un plan de retour arrière. Cela fait des semaines de coordination avant la première bascule, pas un réglage de console.
D'où l'ordre de séquencement : la connectivité passe en dernier, après l'identité et après l'accès applicatif. Ces deux chantiers se livrent en semaines, celui-ci en trimestres, et les réunir dans un même jalon est la manière la plus sûre de faire glisser tout le programme.
Une passerelle web sécurisée, ou secure web gateway, inspecte le trafic internet sortant des utilisateurs d'une organisation et lui applique une politique : quels sites peuvent être atteints, quels fichiers peuvent être téléchargés, quels contenus sont analysés. Elle se place en coupure et applique les mêmes règles où que se trouve l'utilisateur.
À ne pas confondre avec
Pare-feu applicatif (WAF) : protège les applications que vous publiez contre le trafic entrant, la passerelle protège vos utilisateurs qui sortent vers le web.
Filtrage DNS : décide sur le seul nom de domaine, quand la passerelle inspecte l'URL complète, le contenu et les fichiers.
Proxy inverse : se place devant les serveurs d'origine, alors que la passerelle agit en proxy direct, devant les clients.
Mise en œuvre côté Cloudflare
Cloudflare Gateway porte les politiques DNS, réseau et HTTP au même endroit, avec inspection TLS, analyse antivirale, contrôle applicatif et règles DLP. Les utilisateurs y arrivent par le client WARP, par un point de raccordement sans agent ou par un tunnel, et Browser Isolation traite les catégories que la politique autorise sans leur faire confiance.
Ce que son exploitation demande
L'inspection TLS est l'endroit où le projet s'enlise, et rarement pour des raisons techniques.
Côté technique, elle suppose le certificat racine Cloudflare sur chaque poste géré, et elle casse tout ce qui épingle des certificats, applications mobiles et clients lourds en tête. Ces cas se traitent par exception, ils ne disparaissent pas.
Côté juridique et social, elle pose une question qui n'appartient pas à la seule équipe sécurité : quelles catégories sont déchiffrées et lesquelles sont exemptées. La banque, la santé et les échanges avec les représentants du personnel le sont dans la plupart des déploiements européens.
D'où la règle : faire valider cette liste par le juridique et par l'instance de représentation du personnel avant le déploiement. Cela prend moins de temps que de la faire valider après la première réclamation.
Le Security Service Edge regroupe les services de sécurité qui protègent l'accès des utilisateurs au web, aux applications SaaS et aux ressources internes : passerelle web sécurisée, courtier d'accès au cloud et accès réseau Zero Trust. Il constitue le volet sécurité du modèle SASE et laisse la connectivité hors de son périmètre.
À ne pas confondre avec
SASE : englobe le SSE et les capacités de réseau étendu défini par logiciel (SD-WAN).
VPN : connecte l'utilisateur à un segment de réseau, quand le SSE donne accès à une application nommée, après vérification.
Cloudflare One porte les composants sur un même réseau : Gateway pour la passerelle web, Access pour l'accès Zero Trust, Cloudflare CASB pour les applications SaaS, avec Browser Isolation et DLP à côté. Cloudflare WAN et Magic Transit sont hors du SSE, du côté connectivité de SASE.
Ce que son exploitation demande
Le SSE s'achète comme une plateforme, mais se déploie comme un projet de migration qui impose un ordre strict. Le fournisseur d'identité d'abord : l'authentification doit être en place avant le reste, car toutes les règles de sécurité écrites ensuite s'expriment en fonction de l'utilisateur. Les applications privées ensuite, en basculant les accès internes avant le trafic web. Le trafic web en dernier, avec le filtrage sortant de la passerelle.
Conserver l'ancien VPN en parallèle durant la transition est un coût normal et temporaire. La vraie difficulté réside dans son démantèlement : un équipement d'accès laissé sous tension reste une voie d'entrée, et les économies qui ont justifié le projet n'arrivent qu'une fois qu'il est éteint.
Le session hijacking, ou détournement de session, est la réutilisation d'un jeton de session valide par une autre personne que celle à qui il a été délivré. Comme le jeton représente déjà une authentification réussie, l'attaquant ne rencontre jamais les contrôles de connexion : pas de mot de passe, pas de second facteur, aucune anomalie à l'ouverture.
À ne pas confondre avec
Credential stuffing : rejoue des mots de passe sur le formulaire de connexion, quand le détournement contourne entièrement ce formulaire.
Script intersites (XSS) : l'une des voies de vol du jeton, en exécutant du code dans la page de la victime.
Attaque de l'intercepteur : une position d'interception qui capte le jeton en transit ou relaie la session entière.
Mise en œuvre côté Cloudflare
Page Shield surveille les scripts côté client, voie de vol la plus courante, et signale leurs modifications. Access réévalue l'identité et la conformité de l'équipement pendant la session et non seulement à son ouverture, et des règles du WAF peuvent agir sur l'incohérence entre une session et la requête qui la porte.
Ce que son exploitation demande
Tenter de bloquer le détournement en liant une session à une adresse IP est une erreur classique : sur les réseaux mobiles, l'adresse change en cours de session, le contrôle déconnecte des utilisateurs légitimes, il génère des tickets de support et il finit par être désactivé.
La stratégie efficace consiste à supposer que le jeton sera volé et à minimiser sa valeur. Réduire sa durée de vie : des sessions courtes, et une réauthentification demandée uniquement pour les actions sensibles (changement de mot de passe, ajout de RIB) plutôt qu'à chaque clic. Forcer la rotation du jeton : le renouveler immédiatement lors de tout changement de privilège.
Cette rotation au changement de droit est l'étape la plus souvent oubliée. C'est pourtant elle qui prive un attaquant des accès élevés quand il a volé un jeton émis avant l'élévation.
Aussi appelédétournement de session, vol de jeton de session
Le Shadow AI désigne l'usage d'outils d'intelligence artificielle, grands modèles de langage et assistants génératifs compris, par des collaborateurs sans accord des équipes responsables du système d'information et de la sécurité. Le risque ne tient pas à l'outil mais à ce qui y est collé : du code source, des dossiers clients, des contrats, des chiffres non publiés.
À ne pas confondre avec
Shadow IT : le même phénomène sur l'ensemble des logiciels non validés, le Shadow AI en étant le sous-ensemble où le risque porte sur ce qui part dans la requête.
Hallucination : une réponse fausse produite par un modèle, approuvé ou non.
Prompt injection : une attaque contre un modèle que l'organisation exploite, et non un usage incontrôlé de celui d'un tiers.
Mise en œuvre côté Cloudflare
Gateway identifie le trafic vers les services d'IA générative et permet de l'autoriser, de le journaliser ou de le bloquer par groupe d'utilisateurs. Cloudflare CASB couvre les locataires validés, et DLP inspecte ce qui est envoyé plutôt que le seul service atteint.
Un SIEM collecte les journaux et les événements des applications, de l'infrastructure et des outils de sécurité, les normalise et les corrèle pour lever des alertes, soutenir l'investigation et conserver la preuve. C'est une plateforme et non un résultat : ce qu'elle produit dépend entièrement des sources raccordées et de l'écriture des règles de corrélation.
À ne pas confondre avec
SOAR : automatise le traitement une fois l'alerte levée, quand le SIEM produit l'alerte.
XDR : détecte à partir de sa propre télémétrie sur les terminaux et le réseau, quand le SIEM ingère les journaux d'outils qu'il ne possède pas.
SOC as a service : fournit les analystes qui traitent les alertes, le SIEM étant l'outil dans lequel ils travaillent.
Mise en œuvre côté Cloudflare
Logpush exporte vers un SIEM ou vers un stockage objet les journaux de requêtes HTTP, d'événements pare-feu, Zero Trust et d'audit, par lots et non en flux continu. Security Analytics et Security Center donnent la même lecture dans la console Cloudflare, sans export.
Ce que son exploitation demande
La vraie contrainte de conception d'un SIEM n'est pas la détection, mais le coût d'ingestion. Cloudflare émettant un enregistrement par requête HTTP, envoyer l'intégralité des journaux bruts d'un site très fréquenté vers un SIEM facturé au volume consomme le budget annuel en quelques semaines.
Les arbitrages se posent au niveau du job Logpush et doivent être tranchés dès le départ. Échantillonner les requêtes en succès plutôt que les supprimer, puisqu'elles servent encore à l'investigation. Conserver l'intégralité des événements de sécurité et des blocages du WAF et du Zero Trust. Retirer les champs que les analystes n'interrogent jamais.
Ce découpage doit être validé avant la mise en production : corriger une erreur d'ingestion a posteriori implique de renégocier une licence plutôt que de modifier une règle.
Le SOC as a service est la fourniture de la surveillance de sécurité par un prestataire externe, sur abonnement : détection, tri des alertes, investigation et réponse aux incidents, sur les plages horaires que l'organisation ne peut pas armer elle-même. Le client garde les décisions, le prestataire tient la veille et l'outillage.
À ne pas confondre avec
SIEM : la plateforme qui collecte et corrèle les journaux, dont un SOC se sert ; en acheter une ne produit pas l'autre.
Détection et réponse gérées (MDR) : un périmètre plus étroit, centré sur la détection et le confinement sur les terminaux, souvent une brique du service.
Cloudflare fournit la matière plutôt que le service. Logpush exporte vers un SIEM les journaux HTTP, pare-feu, Zero Trust et d'audit, Security Analytics et Security Center donnent la vue console, et les flux Cloudforce One de Security Center apportent le renseignement sur la menace.
La souveraineté des données est le principe selon lequel les données relèvent du droit du pays où elles sont détenues ou collectées. C'est une question de compétence juridique et non d'emplacement : un fournisseur soumis à un droit étranger peut être atteint par ce droit quel que soit l'endroit où se trouvent les serveurs, ce qui explique que le débat porte sur qui contrôle le fournisseur, les clés et l'exploitation.
À ne pas confondre avec
Résidence des données : où les données se trouvent, condition nécessaire et non suffisante.
Cloud souverain : une offre construite pour répondre à ces exigences, par la propriété, par la juridiction ou par le modèle d'exploitation.
RGPD : un règlement de protection des données personnelles, qui encadre les usages et les transferts, quand la souveraineté pose la question plus large du droit applicable.
Mise en œuvre côté Cloudflare
La Data Localization Suite restreint l'endroit où le trafic est déchiffré, celui où les métadonnées sont conservées et celui où les clés sont détenues. Ce sont des contrôles de localisation et de clés : ils réduisent l'exposition, et ils ne tranchent pas à eux seuls la question de savoir quelle juridiction peut contraindre un fournisseur, qui relève de la structure du groupe et du contrat.
Le spear phishing, ou harponnage, est une attaque d'ingénierie sociale écrite pour une personne, une équipe ou une organisation nommée. L'attaquant se documente sur sa cible, le plus souvent à partir de sources publiques, puis envoie un message qui colle à la fonction du destinataire et à son contexte du moment, pour obtenir des identifiants, un paiement ou l'exécution d'un fichier.
À ne pas confondre avec
Hameçonnage : diffusé largement et sans personnalisation.
Whaling : du spear phishing visant spécifiquement les dirigeants.
Fraude au président : la fraude financière que le spear phishing sert souvent à ouvrir.
Mise en œuvre côté Cloudflare
Email Security note les messages entrants sur l'historique de la relation avec l'expéditeur, l'ancienneté du domaine, l'écart entre le nom affiché et l'adresse réelle, et le comportement des liens. Chaque message reçoit une décision unique, sur laquelle les déplacements automatiques peuvent s'appuyer.
L'empreinte TLS, ou TLS fingerprinting, identifie le logiciel derrière une connexion en analysant les paramètres qu'il propose lors de la négociation initiale : suites de chiffrement et leur ordre, extensions, courbes elliptiques. Les clients construisent ce premier message différemment, ce qui caractérise l'émetteur indépendamment de l'en-tête User-Agent qu'il déclare.
À ne pas confondre avec
Empreinte du navigateur : collecte des attributs d'environnement, écran, polices, matériel, par du code exécuté une fois la connexion établie.
Inspection TLS : déchiffre le contenu du trafic, alors que l'empreinte ne lit que les métadonnées publiques de la négociation.
Chaîne User-Agent : une déclaration textuelle que n'importe quel client peut falsifier, ce que l'empreinte permet justement de recouper.
Mise en œuvre côté Cloudflare
Cloudflare calcule JA3 et JA4 en périphérie et expose les deux comme champs de requête, disponibles dans Bot Analytics, les événements de sécurité, l'API GraphQL et les journaux, et utilisables en règles personnalisées du WAF, en règles de transformation et dans Workers. Bot Management se sert de l'écart entre l'agent utilisateur déclaré et la poignée de main observée comme l'un de ses signaux.
Ce que son exploitation demande
L'empreinte est stable jusqu'à la mise à jour du client, et une version de navigateur déplace le motif pour une part importante du trafic légitime le jour même : bloquer sur la seule empreinte garantit des faux positifs à court terme.
Sa valeur réelle s'exploite dans le sens inverse. C'est le moyen le plus rapide de corriger une erreur du score de détection de robots : une règle d'exception sur un JA3 ou un JA4 connu rétablit une intégration partenaire ou une application mobile en quelques minutes, sans assouplir le score global.
Les applications mobiles sont le cas propre, puisque tout leur parc installé produit en général une seule empreinte, ce qui en fait un critère d'exception homogène pour autoriser son trafic légitime.
Un réseau privé virtuel établit un tunnel chiffré entre un équipement distant et un réseau privé, à travers l'internet public. Il étend le périmètre réseau jusqu'au client, ce qui est sa propriété déterminante et sa limite : une fois authentifié, l'utilisateur se trouve sur un segment de réseau et non devant une application nommée.
À ne pas confondre avec
ZTNA : donne accès à une application après vérification, quand le VPN place l'équipement sur un segment de réseau.
TLS ou HTTPS : chiffre le trafic d'une application de bout en bout, quand le VPN chiffre tout au niveau réseau.
SD-WAN : relie des sites entre eux, quand le VPN client relie des personnes à un site.
Mise en œuvre côté Cloudflare
Cloudflare ne vend pas de VPN. Access et le client WARP remplacent le concentrateur : WARP achemine le trafic de l'équipement, Access décide application par application, et Cloudflare Tunnel permet à l'origine de servir sans port entrant ouvert.
Ce que son exploitation demande
Le démantèlement d'un VPN ne respecte presque jamais le calendrier initialement prévu, et la cause est systématiquement la même : la traîne applicative.
Le piège des cinq pour cent restants : les applications anciennes qui ne parlent aucune authentification moderne, associées aux accès de tiers mal inventoriés, empêchent la fermeture définitive du service.
L'impact financier et le risque : chaque mois de sursis oblige à maintenir la licence du concentrateur, tout en laissant un segment de réseau entier joignable et exposé aux déplacements latéraux.
Règle d'or : recensez ces applications anciennes et ces accès partenaires dès le début du projet. Ce sont eux qui fixent la date de fin réelle de la migration, et non la vitesse à laquelle les utilisateurs basculent sur le nouveau système.
Le WAAP est la catégorie de marché qui regroupe les contrôles protégeant les applications web et les API contre les attaques de couche applicative : pare-feu applicatif, gestion du trafic automatisé, protection contre le déni de service applicatif et sécurité propre aux API. Son caractère propre est que ces contrôles sont exploités ensemble et non comme des produits séparés.
Passerelle API : oriente, authentifie et compte les appels, sans être un contrôle de sécurité contre l'exploitation de failles.
Sécurité des API : découverte, validation de schéma et détection d'abus sur les seules API, que le WAAP intègre à côté de la protection des applications classiques.
Mise en œuvre côté Cloudflare
Cloudflare ne commercialise pas de produit nommé WAAP, il range ces briques sous la sécurité applicative. Les composants sont le WAF, Bot Management, API Shield pour la validation de schéma, la découverte des points de terminaison et le TLS mutuel, et la protection anti-DDoS de couche applicative, réglés sur le même réseau.
Un pare-feu applicatif web inspecte les requêtes HTTP adressées à une application et bloque celles qui correspondent à un motif d'attaque connu, injection SQL ou script intersites notamment. Il lit le contenu de la requête, ses paramètres, ses en-têtes et son corps, ce que ne fait pas un pare-feu réseau.
À ne pas confondre avec
Pare-feu réseau : filtre sur les adresses, les ports et les protocoles, en couches 3 et 4.
Passerelle API : oriente, authentifie et compte les appels, sans les inspecter à la recherche d'une exploitation.
Mise en œuvre côté Cloudflare
Cloudflare WAF associe des jeux de règles gérés, dont le jeu OWASP, à des règles personnalisées et à un score d'apprentissage automatique pour les attaques qu'aucune signature ne couvre. Rate Limiting, Page Shield, la détection d'identifiants divulgués et la détection de données sensibles sont des capacités de la même suite, et non des produits distincts.
Le whaling est un spear phishing dirigé vers le sommet d'une organisation : direction générale, direction financière, membres du conseil. La cible est choisie pour ce que son approbation débloque, ce qui explique que le message demande le plus souvent une autorisation ou une dérogation confidentielle plutôt que des identifiants.
À ne pas confondre avec
Hameçonnage : diffusé largement, sans destinataire particulier en tête.
Spear phishing : ciblé sur une personne nommée à n'importe quel niveau ; le whaling restreint cela à la direction.
Fraude au président : la fraude dont le whaling est souvent le premier coup.
Mise en œuvre côté Cloudflare
Email Security note l'historique de la relation avec l'expéditeur, la ressemblance du domaine et l'écart de nom affiché, et traite l'absence de pièce jointe et de lien comme un signal en soi, puisque ces messages n'en portent généralement aucun. Les décisions attribuées alimentent les déplacements automatiques, y compris sur du courrier déjà distribué.
Le Zero Trust est un principe de sécurité : aucun utilisateur, équipement ou requête n'est digne de confiance du fait de sa provenance, chaque décision d'accès se prend explicitement, sur des éléments actuels, et se reprend au lieu de s'hériter. Il remplace l'hypothèse selon laquelle l'intérieur d'un réseau serait sûr.
À ne pas confondre avec
Sécurité périmétrique : le modèle qu'il remplace, où franchir la frontière une fois vaut confiance ensuite.
ZTNA : une technologie qui applique le principe aux applications privées, et non le principe lui-même.
Authentification multifacteur (MFA) : l'un des éléments dont se sert une décision d'accès, à un instant donné.
Mise en œuvre côté Cloudflare
Cloudflare One porte les points d'application sur un même réseau : Access pour les applications privées, Gateway pour le trafic internet et SaaS, Cloudflare CASB pour ce qui est stocké dans les locataires SaaS, avec Browser Isolation et DLP à côté.
L'accès réseau Zero Trust donne à un utilisateur l'accès à une application nommée après vérification de l'identité, de l'état de l'équipement et du contexte, puis revérifie pendant la session. L'application n'est pas publiée sur un réseau que l'utilisateur rejoint : le chemin d'accès est construit application par application, si bien que ce qui n'est pas autorisé n'est ni joignable ni visible.
À ne pas confondre avec
VPN : place l'équipement sur un segment de réseau, quand le ZTNA le relie à une seule application.
Zero Trust : le principe ; le ZTNA est l'une des technologies qui l'appliquent, aux applications privées.
Contrôle d'accès réseau (NAC) : gouverne l'admission sur un port réseau physique, pas l'accès à une application.
Mise en œuvre côté Cloudflare
Cloudflare Access est la brique ZTNA de Cloudflare One. Il vérifie l'identité auprès du fournisseur du client, la conformité de l'équipement par WARP, puis le contexte, avant d'établir la connexion. Cloudflare Tunnel expose l'application à Cloudflare sans port entrant sur l'origine.