Bloquez les attaques côté client avant qu'elles n'atteignent les utilisateurs
La plupart des outils de sécurité ne peuvent pas voir à l'intérieur du navigateur, où les pirates cachent des codes malveillants dans les scripts des sites web qui ne sont pas surveillés.
Votre site Web repose sur des dizaines de scripts côté client.
Un seul script compromis peut récupérer des données pendant des semaines, tout en restant invisible pour les outils de sécurité traditionnels.
Les CSP, les crawlers et les agents JS ont été conçus pour lutter contre les menaces statiques. Les attaques modernes contournent ces approches grâce à un code dynamique.
PCI DSS La version 4.0.1 nécessite une surveillance côté client.GDPR Elle pénalise les entreprises en cas de fuites de données provenant de scripts malveillants ou mal configurés.
Choisissez votre approche en matière de sécurité
Sélectionnez la méthode qui correspond le mieux à vos besoins en matière de sécurité et à vos exigences techniques.
Méthode Script
Le plus facile"Je me soucie de la sécurité côté client et j'ai besoin d'un outil facile à expliquer au reste de l'équipe."
Nous vérifions le comportement des scripts dans le navigateur et récupérons les scripts de notre côté. Nous ne nous plaçons pas dans le chemin d'un script, sauf si vous nous le demandez explicitement.
- Le plus facile à mettre en œuvre
- Aucun impact sur les performances
- Possibilité d'arrêter les actions des scripts ou de bloquer par URL, hachage ou domaine
- Il n'est pas toujours garanti que la charge utile du script soit identique à celle reçue par l'utilisateur, mais elle s'en rapproche.
- Aucun gain de performance sur les scripts statiques ou optimisables
Operating Model
Autoriser le script à fonctionner directement pour les scripts auxquels je fais confiance, les scripts auxquels je ne fais pas confiance bénéficient d'un traitement de sécurité complet.
Méthode de numérisation
Le plus rapide"Je n'ai pas la possibilité d'ajouter un script au site web."
cside informations sur les menaces recueillies par des milliers d'autres sites web totalisant des milliards de visiteurs.
- Bon marché
- Rapide et facile à installer
- Les attaques côté client sont dynamiques, un scan statique est par nature moins susceptible de détecter une attaque.
- Une attaque très ciblée pourrait réussir à échapper à la détection.
Operating Model
Analyse statique alimentée par les informations sur les menaces provenant de notre réseau.
Pourquoi nous adoptons cette approche
Contrairement aux systèmes d'exploitation modernes, les navigateurs ne prennent pas en charge nativement les fournisseurs de sécurité tiers.CSP et SRI ont leurs limites, nous devons donc faire preuve de créativité. La plupart des détections côté client utilisantJavaScript dans le navigateur sont faciles à rétroconcevoir et à contourner. Malheureusement, des détections côté client trop strictes peuvent endommager certaines bibliothèques côté client. Un script de sécurité côté client sert avant tout à encapsuler les API pouvant être utilisées par des acteurs malveillants et à surveiller les scripts qui les utilisent. Le problème est que tous les scripts ne fonctionnent pas correctement avec cela. C'est pourquoi nous avons adopté une approche beaucoup plus élaborée pour les utilisateurs les plus soucieux de la sécurité. En combinant les détections dans le navigateur avec celles de notre propre moteur, nous créons un scénario équilibré qui offre le meilleur de tous les mondes. Nous équilibrons la capacité de détection avec la facilité d'utilisation et la résilience, et donnons finalement au client la possibilité de choisir l'approche qui lui convient.
Conçu pour les secteurs traitant des données clients sensibles
Prestataires de services de paiement
Protégez les données de paiement sensibles et respectez la conformité PCI.
commerce électronique
Empêchez le skimming des cartes et protégez les flux de paiement des clients.
Hospitalité
Sécurisez les processus de réservation et protégez les informations des clients.
Soins de santé
Préservez la confidentialité des données des patients et respectezHIPAAla réglementation.
Pourquoicside surpasse toutes les autres solutions
Notre approche offre des avantages que les outils traditionnels ne peuvent égaler. Nous combinons des sessions utilisateur réelles avec une analyse de script alimentée par l'IA afin d'obtenir une vue totale du comportement du script.
| Fonctionnalité | côté | Solutions traditionnelles |
|---|---|---|
FAQ
Foire aux questions
La sécurité côté client protège les utilisateurs contre les menaces qui surviennent directement dans leur navigateur lorsqu'ils visitent des sites Web, en particulier contre les scripts et les dépendances malveillants provenant de tiers. Ces scripts peuvent voler des informations de carte de crédit, des informations personnelles, des jetons de session et entraîner des violations majeures de la conformité à votre insu. Contrairement aux attaques côté serveur qui ciblent votre infrastructure, les attaques côté client se produisent en temps réel dans les navigateurs des utilisateurs, ce qui les rend invisibles pour les outils de sécurité traditionnels tels que les pare-feu et les systèmes de surveillance des serveurs.
Les sites Web modernes utilisent des fichiers JavaScript provenant de sources externes pour les fonctionnalités, les analyses, la publicité et l'amélioration de l'expérience utilisateur. Ces fichiers sont également appelés scripts tiers. Ces scripts sont importants pour améliorer les performances du site Web, mais un seul script malveillant peut causer des ravages sur votre plateforme. Il peut voler des informations de carte de crédit (attaques Magecart), voler des identifiants de connexion et des informations personnelles, injecter des redirections malveillantes et détourner des sessions utilisateur. Le problème avec les scripts est qu'ils ont tous les privilèges du site Web, donc par défaut, ils ont accès à tout ce que les utilisateurs voient et saisissent sur vos pages.
Ils peuvent attaquer les chaînes d'approvisionnement, prendre le contrôle des domaines CDN ou injecter du code malveillant dans des scripts légitimes. Chacun de ces points d'entrée peut permettre aux pirates de voler des données de paiement en temps réel, de rediriger les utilisateurs vers des sites malveillants, de capturer les saisies de formulaires et les mots de passe, ou d'injecter de faux formulaires de paiement. Ces attaques sont sophistiquées et conditionnelles. Elles ne ciblent que des utilisateurs spécifiques ou ne s'activent qu'à certains moments, évitant ainsi la détection par les outils de sécurité qui n'effectuent que des analyses périodiques.
Deux exemples notables survenus récemment sont l'attaque Magecart contre British Airways en 2018 et le détournement de Polyfill.js en 2024. Dans le cas de l'attaque Magecart contre British Airways, des scripts tiers ont été compromis, volant les informations bancaires de plus de 380 000 clients. Cela a entraîné des amendes supérieures à 200 millions de dollars. D'autre part, le plus récent détournement de Polyfill.js a vu des pirates prendre le contrôle d'un domaine CDN largement utilisé. Cela leur a permis de rediriger les utilisateurs de plus de 100 000 sites Web vers des sites pour adultes et des sites de paris. Ces deux exemples concrets montrent comment un script compromis peut affecter des millions d'utilisateurs.
Les pare-feu, la surveillance des serveurs et la protection des terminaux sont des outils de sécurité traditionnels efficaces, mais ils protègent le côté serveur. Les attaques côté client se produisent dans les navigateurs des utilisateurs, où les outils traditionnels sont aveugles. De plus, les attaques côté client sont sophistiquées et conditionnelles. Elles peuvent cibler un utilisateur spécifique ou ne s'activer que dans certaines conditions. Cela signifie qu'elles peuvent fonctionner pendant de longues périodes, affectant de vrais utilisateurs, tout en restant non détectées.
Les sites Web financiers sont une mine d'or pour les scripts tiers malveillants. Ils peuvent voler des identifiants de connexion, des informations personnelles comme les numéros de sécurité sociale et les adresses, les numéros de compte, les données de transaction et les détails de paiement. Cela peut être fait en interceptant les soumissions de formulaires, en capturant les frappes au clavier, en accédant au stockage du navigateur, en manipulant les pages pour créer de faux formulaires et en contournant les mesures de sécurité. Le fait que ces scripts ont tous les privilèges du site Web les rend extrêmement dangereux pour tout site Web financier.
70 % de tous les vols de cartes de crédit se produisent désormais côté client. Ces données proviennent de Visa. Le vol côté client est l'une des attaques les plus dangereuses auxquelles les organisations sont confrontées aujourd'hui. Ces données soulignent également l'insuffisance des mesures de sécurité côté serveur et pourquoi il est également important pour les entreprises de mettre en place des solutions côté client. Cela nous montre aussi que les pirates se sont déjà adaptés, concentrant davantage leurs attaques directement sur l'environnement du navigateur.
Vos outils de sécurité peuvent-ils montrer exactement quelles données chaque script tiers collecte, ou peuvent-ils détecter une charge utile malveillante qui ne se déclenche que pour 1 visiteur sur 1 000 ou qui ne cible que 5 % des utilisateurs après 17 heures ? Si vous faites partie des 99 % d'entreprises qui répondent NON à cette question, alors vous êtes vulnérable aux attaques sophistiquées et conditionnelles côté client.
Protection côté client conçue pour le Web moderne