La surveillance des scripts tiers est la pratique consistant à observer en continu chaque fichier JavaScript externe qui se charge et s'exécute dans le navigateur d'un utilisateur : suivre ce que fait chaque script, à quelles données il accède, où il envoie ces données et si son comportement change d'une session à l'autre. L'application web d'entreprise moyenne charge des scripts provenant de 18 à 30 fournisseurs externes par page : fournisseurs d'analytics, tag managers, outils de chat en direct, scripts de détection de fraude, processeurs de paiement. Chacun est un point d'entrée potentiel pour un attaquant. Aucune de ces activités n'est visible pour les outils de sécurité côté serveur.
La catégorie d'attaque côté client la plus dommageable en 2026 est la compromission de la supply chain : un attaquant accède à l'infrastructure de distribution de script d'un fournisseur tiers et modifie le script que des milliers de sites chargent depuis un CDN de confiance. Le marchand n'a jamais touché au code malveillant. Sa CSP autorise l'origine. Sa surveillance de rotation de hash voit un nouveau hash provenant d'un fournisseur de confiance. L'attaque réussit, et n'aurait été détectée que par une plateforme surveillant ce que le script fait à l'exécution, et pas seulement ce qu'il est.
Le guide de la CISA sur la sécurité de la supply chain logicielle nomme explicitement le JavaScript côté client comme un risque de supply chain nécessitant une surveillance continue. Le Data Breach Investigations Report 2024 de Verizon classe les attaques d'applications web, dont le skimming de pages de paiement, parmi les trois schémas les plus courants dans les violations confirmées du secteur de la distribution. Le Cost of a Data Breach Report 2024 d'IBM estime le coût moyen mondial d'une violation à 4,88 millions de dollars US. L'ampleur du risque est devenue concrète en juin 2024 lorsque le CDN de Polyfill.js a été compromis : du JavaScript malveillant a été servi aux visiteurs de plus de 490 000 sites web via une seule origine de confiance. Chacun de ces sites avait autorisé le domaine. Leur surveillance de hash voyait un nouveau hash provenant d'une source familière. L'attaque n'aurait été détectée que par une plateforme observant ce que le script faisait dans le navigateur, et pas seulement ce qu'il était. Un package npm compromis est détecté par l'analyse des dépendances dans un pipeline de build ; un script fournisseur servi par CDN et compromis n'est détecté que par une surveillance à l'exécution dans le navigateur.
Cet examen couvre six plateformes évaluées sur la profondeur de la surveillance des scripts tiers : inventaire des scripts, détection des écarts comportementaux, couverture des compromissions de la supply chain et évaluation du risque fournisseur.
Qu'est-ce que la surveillance des scripts tiers ? La surveillance des scripts tiers suit en continu chaque fichier JavaScript externe qui s'exécute dans le navigateur d'un utilisateur : son identité, son comportement (lectures du DOM, accès aux champs de formulaire, écritures réseau, imports dynamiques) et tout changement de ce comportement d'une session à l'autre. Elle se distingue de l'inventaire statique ou des scans périodiques : une surveillance efficace couvre les sessions d'utilisateurs réels en temps réel, en détectant les changements comportementaux au moment où ils se produisent plutôt que plusieurs jours après les faits.
Ce qu'exige une surveillance efficace des scripts tiers
Réponse rapide : Une surveillance efficace des scripts tiers va au-delà du suivi des scripts présents. Elle détecte les changements dans ce que font les scripts à l'exécution : les données auxquelles ils accèdent, les destinations vers lesquelles ils écrivent, les imports dynamiques qu'ils chargent. Une compromission de la supply chain produit souvent un nouveau hash provenant d'une origine de confiance ; seule la surveillance comportementale la détecte.
Le Top 10 2021 de l'OWASP recense les défaillances d'intégrité des logiciels et des données, qui couvrent les attaques de la supply chain logicielle, comme l'un des trois principaux risques pour les applications web. Les cinq capacités qui comptent spécifiquement pour la surveillance des scripts tiers sont :
La cartographie des relations fournisseurs. La plateforme doit énumérer non seulement quels scripts sont présents, mais aussi quel fournisseur livre chaque script, via quelle infrastructure, et quels autres scripts chaque script charge dynamiquement. Une attaque de la supply chain se propage souvent au travers d'un arbre de dépendances.
L'établissement d'une référence comportementale par script. Lorsque le script d'analytics du fournisseur X est compromis, la nouvelle version peut avoir la même URL et un nouveau hash d'apparence légitime, mais elle lira les champs du formulaire de paiement ou écrira vers une nouvelle destination réseau. Le détecter exige une référence comportementale, et pas seulement une référence d'identité.
La détection des imports dynamiques. Les scripts qui chargent d'autres scripts à l'exécution sont le vecteur de propagation de supply chain le plus courant. Une plateforme qui ne surveille que les scripts déclarés statiquement dans le HTML manquera les dépendances de second niveau chargées dynamiquement.
La surveillance des destinations réseau. Le signal ultime d'un skimmer de supply chain réussi est une transmission de données vers une destination que la référence n'incluait pas. Surveiller les appels réseau sortants de chaque script (domaine, méthode, forme de la charge utile) est le signal de détection de supply chain le plus fiable.
L'évaluation du risque fournisseur. Tous les fournisseurs ne présentent pas le même risque de supply chain. Une plateforme qui attribue et met à jour en continu des scores de risque fournisseur d'après le comportement observé, la sécurité de l'infrastructure de distribution et les schémas de compromission historiques offre aux équipes de sécurité une vue priorisée de leur surface d'exposition aux tiers.
Les plateformes
cside
Idéal pour : les équipes de sécurité et d'ingénierie qui ont besoin d'une visibilité complète sur la supply chain JavaScript tierce à l'exécution, avec établissement d'une référence comportementale, détection des imports dynamiques et archivage des charges utiles désobfusquées.
cside instrumente les sessions d'utilisateurs réels pour observer ce que fait chaque script tiers, et pas seulement ce qu'il est. La plateforme construit une référence comportementale pour chaque script, en suivant les lectures du DOM, les attachements de gestionnaires d'événements, les écritures réseau et les imports dynamiques. Lorsqu'une compromission de la supply chain modifie le comportement d'un script fournisseur, cside détecte l'écart par rapport à la référence dès la première session d'utilisateur réel où la version compromise s'exécute.
La détection des imports dynamiques couvre les deuxième et troisième niveaux de l'arbre de dépendances : les scripts chargés par des scripts, qui constituent le chemin de propagation le plus courant des attaques de la supply chain. La plateforme archive les versions désobfusquées des charges utiles détectées, de sorte que lorsqu'un script fournisseur s'avère contenir du code d'exfiltration obfusqué, l'enregistrement de preuve contient la version lisible. Cette approche à l'exécution est le même modèle qui sous-tend les outils de visibilité en temps réel sur les attaques du navigateur et la catégorie plus large de la client-side security.
Au T1 2025, cside a détecté plus de 300 000 signaux d'attaque côté client jamais vus auparavant dans les déploiements clients, dont une proportion significative impliquait des changements comportementaux à l'intérieur de scripts provenant d'origines pourtant de confiance.
Lors des 2026 Globee® Cybersecurity Awards, un jury indépendant a décerné à cside le Gold Globee® Award (Best of Category) en Client-Side Security ; Jscrambler a reçu le Silver. Voir le comparatif détaillé cside vs Jscrambler.
Jscrambler
Idéal pour : les équipes de développement qui veulent un outillage de sécurité de la supply chain pour les scripts tiers en parallèle d'une protection de code pour le JavaScript propriétaire.
Webpage Integrity de Jscrambler surveille les changements et la conformité des scripts tiers. Sa position sur le marché de la sécurité de la supply chain est renforcée par son portefeuille de protection de code : les organisations qui veulent protéger leur propre JavaScript contre la falsification tout en surveillant le risque de supply chain tiers disposent d'une option intégrée.
La profondeur de surveillance côté détection de la supply chain (établissement d'une référence comportementale, traçage des imports dynamiques) doit être validée directement face aux schémas d'attaque spécifiques de votre modèle de menace avant de retenir Jscrambler comme contrôle principal de sécurité de la supply chain.
Source Defense
Idéal pour : les marchands qui veulent traiter le risque de supply chain de façon préventive par le sandboxing : restreindre ce que les scripts tiers peuvent atteindre, qu'une compromission soit détectée ou non.
L'approche de sandboxing de Source Defense assure la sécurité de la supply chain par l'isolation : les scripts tiers s'exécutent dans un environnement qui restreint leur accès au DOM et leurs chemins d'écriture de données. Un script fournisseur compromis par la supply chain s'exécutant dans le sandbox ne peut pas lire les champs du formulaire de paiement, même si la compromission n'est pas détectée immédiatement, car les restrictions structurelles du sandbox empêchent cet accès.
Le discours sur la sécurité de la supply chain dans les publications de recherche de Source Defense reflète une véritable expertise sur la manière dont les attaques de la supply chain se propagent au travers de l'infrastructure de distribution des scripts tiers. La posture préventive relève d'une philosophie différente de celle des plateformes axées sur la détection ; les organisations peu tolérantes au risque pendant la fenêtre d'écart de détection peuvent préférer cette approche.
Reflectiz
Idéal pour : les organisations qui ont besoin que le risque de supply chain soit rapporté aux cadres de conformité (PCI, RGPD, HIPAA) et qui ont un volume élevé de relations fournisseurs à surveiller.
Reflectiz rapporte le comportement des scripts tiers aux obligations réglementaires comme au risque de sécurité. Pour les organisations où la compromission d'un script tiers par la supply chain générerait à la fois un incident de sécurité et une obligation de notification réglementaire, cette vue combinée du risque est opérationnellement efficace.
La couche d'application Policies permet aux organisations de définir des profils de comportement acceptable pour les scripts fournisseurs et de signaler automatiquement les écarts. C'est une forme d'application de politique de supply chain : si le script d'analytics du fournisseur X se met à lire des champs de formulaire qu'il ne lisait pas auparavant, la politique détecte l'écart automatiquement.
DomDog
Idéal pour : les équipes de développement qui veulent un signal ciblé et léger au niveau du DOM, spécifiquement pour détecter les attaques par mutation du DOM dans la supply chain, sans la charge opérationnelle d'une plateforme complète de surveillance comportementale.
DomDog surveille les mutations du DOM déclenchées par des scripts tiers, fournissant un signal de supply chain ciblé au niveau de l'interface DOM. Il est surtout utile pour détecter les attaques de type formjacking où un script de supply chain compromis injecte des écouteurs sur des champs de formulaire ou mute la structure du DOM autour des saisies de paiement.
En tant que contrôle autonome, DomDog couvre une couche de la surface d'attaque de la supply chain. Il complète mais ne remplace pas une surveillance comportementale complète pour les organisations qui ont un besoin global de sécurité de la supply chain.
Feroot Security
Idéal pour : les équipes orientées conformité qui ont besoin d'une visibilité sur la supply chain dans le cadre d'un programme PCI DSS, avec un modèle de déploiement qui minimise les frictions d'ingénierie.
Feroot fournit une découverte de scripts et une surveillance des changements qui incluent une visibilité sur la supply chain à des fins de conformité PCI DSS. La force de la plateforme réside dans la génération de preuves de conformité plutôt que dans la détection active des menaces de la supply chain. Les équipes qui ont besoin d'énumérer et d'autoriser leur supply chain de scripts tiers pour un QSA trouveront Feroot bien adapté ; les équipes qui ont besoin d'une détection en temps réel des compromissions de la supply chain avec une profondeur comportementale devraient évaluer les capacités de détection face aux schémas d'attaque actuels.
Comparatif en un coup d'œil
| Plateforme | Référence comportementale | Détection des imports dynamiques | Surveillance des destinations réseau | Évaluation du risque fournisseur | Preuves désobfusquées |
|---|---|---|---|---|---|
| cside | Oui | Oui | Oui | Partielle | Oui |
| Jscrambler | Partielle | Partielle | Partielle | Non | Non |
| Source Defense | Sandboxing | Partielle | Sandboxing | Partielle | Partielle |
| Reflectiz | Synthétique uniquement | Partielle | Oui | Partielle | Partielle |
| DomDog | DOM uniquement | Non | Non | Non | Non |
| Feroot | Limitée | Non | Limitée | Non | Limitée |
Comment choisir
Réponse rapide : Faites correspondre la plateforme à votre objectif de contrôle principal. Si l'objectif est de détecter une compromission de la supply chain dès l'instant où elle atteint un utilisateur réel, choisissez une plateforme avec établissement d'une référence comportementale dans les sessions en direct. Si l'objectif est de limiter ce qu'un script compromis peut atteindre avant détection, choisissez une isolation par sandbox. Si l'objectif est la preuve de conformité, choisissez une plateforme avec un inventaire et une autorisation PCI DSS documentés en sortie.
S'il vous faut une détection en temps réel des compromissions de la supply chain avec une profondeur comportementale, cside offre la capacité la plus complète : établissement d'une référence comportementale, traçage des imports dynamiques, surveillance des destinations réseau et archivage des charges utiles désobfusquées. Pour la classe connexe des attaques de skimming, consultez notre tour d'horizon des plateformes de client-side security pour la prévention de Magecart.
Si la prévention prime sur la détection, l'approche de sandboxing de Source Defense limite structurellement le rayon d'impact d'une compromission de la supply chain. Évaluez la charge opérationnelle liée à la gestion des exceptions de sandbox pour les scripts légitimes.
Si la preuve de conformité est le moteur principal, Reflectiz ou Feroot couvrent les exigences d'inventaire et d'autorisation de la supply chain pour PCI DSS avec une empreinte opérationnelle gérable.
Si la protection du code propriétaire est également une exigence, Jscrambler propose une offre intégrée. Validez la profondeur de détection de la supply chain tierce face à votre modèle de menace spécifique.
