Toutes les applications ont déménagé dans le navigateur. Pas leur gestion.

La messagerie, le CRM, le système financier et la file du support s'ouvrent dans la même fenêtre. L'ordinateur portable qui les porte est inventorié, chiffré, mis à jour et surveillé par un agent. La fenêtre, elle, se met à jour selon le calendrier d'un éditeur, transporte les extensions que l'utilisateur a choisies et conserve les cookies de session de toutes les applications que l'entreprise paie. Personne ne l'inscrit dans la liste des applications gérées. Entre ces deux faits se trouve une décision d'achat que personne n'a inscrite au budget.

Le client de toutes les applications que vous avez achetées

Demandez quel logiciel un employé utilise réellement sept heures par jour. La réponse est un seul programme, avec des onglets dedans. Ce programme conserve le cookie de session délivré après l'invite d'authentification multifacteur, affiche le formulaire de connexion, exécute les extensions installées par l'utilisateur et effectue chaque téléversement. La couche de gestion autour de lui voit moins que l'inventaire ne le laisse croire. L'agent de poste voit un processus qui lit et écrit des fichiers, le gestionnaire de parc voit une machine conforme, et le proxy web voit un nom d'hôte et une poignée de main TLS vers un site que personne ne songerait à bloquer.

Le guide conjoint sur l'hameçonnage publié par la CISA, la NSA, le FBI et le MS-ISAC décrit la séquence. Un utilisateur suit un lien vers un site qui imite le portail de connexion de l'entreprise, saisit un identifiant, un mot de passe et le code à six chiffres, et l'attaquant rejoue les trois sur le vrai portail. Rien dans cette séquence n'est un fichier, et rien n'y sort de la fenêtre du navigateur. La contre-mesure que ces quatre agences placent devant les autres, l'authentification FIDO ou fondée sur une infrastructure à clés publiques, fonctionne parce que le secret est lié à l'origine sur laquelle le navigateur se trouve. Autrement dit, le correctif ne fonctionne que depuis l'intérieur du navigateur.

Le collage que personne ne surveille, l'extension que personne n'a recensée

Eurostat a rapporté que 20,0 % des entreprises de l'Union européenne employant dix personnes ou plus ont utilisé des technologies d'intelligence artificielle en 2025, contre 13,5 % en 2024. Lisez ce chiffre pour ce qu'il mesure. Il compte l'adoption par l'entreprise, celle qui a produit un contrat. Il ne compte pas le juriste qui a collé trois clauses d'un accord signé dans un agent conversationnel un dimanche, puisqu'il n'y a eu ni adoption ni contrat.

La note du NCSC sur le risque des grands modèles de langage énonce la partie mécanique. Les requêtes sont visibles par l'organisation qui fournit le modèle, elles sont conservées et elles serviront très probablement au développement du service. Le conseil qui suit est de faire très attention à ce qui entre dans une invite. C'est un conseil adressé à une personne, ce n'est pas un contrôle, et il ne résiste pas à une échéance.

Chaque contrôle déjà en place manque cela pour une raison qui lui est propre. La passerelle de messagerie inspecte des messages, et un collage n'est pas un message. L'agent de poste surveille les opérations sur fichiers, et un collage ne crée aucun fichier. Le courtier d'accès cloud atteint les applications achetées par l'entreprise via l'API que leurs éditeurs publient, et aucune API de ce genre n'existe pour un compte ouvert avec une adresse personnelle. Trois contrôles, trois raisons distinctes, une seule brèche.

L'autre moitié, plus discrète, ne demande aucun collage. Une extension qui ajoute le résumé à la messagerie, la transcription à un onglet de réunion ou l'aide à la rédaction au CRM doit lire la page pour fonctionner, et lire la page signifie envoyer son contenu au service choisi par l'auteur de l'extension. Personne n'a évalué ce destinataire, puisque rien n'a été acheté et qu'il n'existe aucune trace d'achat à retrouver.

Durcir le poste, ou remplacer le navigateur

La première voie appuie davantage sur la machine que vous gérez déjà. Aucune migration, aucun changement perceptible pour l'utilisateur, et c'est pour cela qu'on l'essaie en premier. Au niveau du système d'exploitation, un compte professionnel et un compte personnel dans le même profil de navigateur sont le même processus qui parle au même domaine avec le même certificat. Déchiffrer ce trafic sur un proxy déplace un peu la limite et apporte sa propre facture. Les certificats épinglés cassent, le support hérite de la casse, et le flux déchiffré montre toujours un POST vers un nom d'hôte autorisé, pas les mots tapés dans le champ. Le cas des extensions reste invisible d'ici également, puisque le trafic est chiffré, la destination est un service légitime et le transfert a lieu dans un onglet. La friction reste faible parce que le contrôle reste superficiel.

La deuxième voie remplace le navigateur. Island, Talon (désormais dans le giron de Palo Alto Networks) et Chrome Enterprise demandent tous de standardiser sur un navigateur précis et de placer les contrôles dans le binaire. Le communiqué de presse de Gartner d'avril 2025 prévoit que 25 % des organisations déploieront d'ici 2028 au moins une technologie de navigateur d'entreprise sécurisé à côté des outils qu'elles exploitent déjà, et situe le déploiement actuel sous un sur dix. Le coût, c'est la migration, et la migration n'est pas un projet de sécurité. Ce sont les mots de passe enregistrés, l'extension dont la finance dépend, le comportement des cartes à puce et des imprimantes, l'application interne qui s'affiche dans un moteur et pas dans l'autre, et une file de support qui dure aussi longtemps que le déploiement. Cette voie s'arrête aussi devant l'ordinateur du prestataire, car installer un navigateur sur une machine qui ne vous appartient pas suppose une conversation que vous n'obtiendrez peut-être pas. La friction utilisateur est forte les premières semaines puis proche de zéro, puisque le contrôle finit à l'intérieur de ce que les gens ouvrent de toute façon.

Ou contrôler le navigateur déjà installé

La troisième voie laisse le navigateur en place et met la politique à l'intérieur, sous forme d'extension. La différence est mécanique, elle tient à ce qu'une extension peut voir. Elle s'exécute dans la page, donc elle voit la soumission du formulaire avant l'envoi, l'événement de presse-papiers au moment où le texte arrive dans le champ, le sélecteur de fichiers avant le téléversement, et le compte connecté dans l'onglet. Ce sont les événements que voit le portail de connexion lui-même, et c'est pour cela que le contrôle peut se placer là.

Le coût de migration est une poussée de politique depuis le gestionnaire de parc que vous exploitez déjà. L'effort que la deuxième voie consacre au déploiement, la troisième le consacre à la conception des règles. Rien ne change le premier jour. Tout change le jour où le collage de quelqu'un est refusé, et que cela devienne un ticket ou un haussement d'épaules dépend de la formulation du message et de l'existence d'une dérogation attachée à un nom.

Les limites méritent d'être dites. Une extension couvre les navigateurs que votre politique atteint, donc forcer l'installation et empêcher la désinstallation reste un travail de gestion de parc quelle que soit la voie choisie. L'utilisateur qui installe un quatrième navigateur reste hors politique tant que vous ne bloquez pas celui-là aussi. Et une extension voit ce que la plateforme d'extensions du navigateur autorise. Le passage de Manifest V2 à Manifest V3 a changé ce qu'une extension peut faire aux requêtes réseau, et c'était la décision de l'éditeur du navigateur, pas celle du fournisseur de sécurité.

Les questions à poser avant un pilote

Les trois voies ne sont pas fausses au même degré, et c'est votre parc qui tranche, pas la catégorie de produit. Ces questions les séparent plus vite qu'un tableau de fonctionnalités.

• Quels navigateurs le contrôle couvre-t-il, et comment quelqu'un apprend-il qu'il a été retiré, désactivé ou jamais installé.
• Quelles extensions sont installées sur le parc, que peut lire chacune d'elles dans la page, et qui les a approuvées.
• Quand un collage vers un modèle non approuvé est refusé, que voit l'utilisateur, qui peut passer outre, et cette dérogation est-elle enregistrée au nom de quelqu'un.
• Le produit distingue-t-il un compte professionnel d'un compte personnel dans le même profil, et le fait-il par identité ou par domaine.
• Quels contrôles s'exécutent dans le navigateur et lesquels exigent un proxy sur le chemin, car cette réponse décide si l'ordinateur non géré d'un prestataire entre dans le périmètre.

Trois de ces questions se tranchent en un pilote de deux semaines avec dix utilisateurs. Les autres demandent une réponse écrite avant le début du pilote, car un pilote mené sur des portables propres et gérés n'en révélera aucune.

Le produit de ce domaine

Dans l'espace de travail sécurisé, nous portons DefensX, qui suit la troisième voie. Il s'installe comme extension sur les navigateurs déjà déployés, empêche la saisie d'identifiants dans des pages qui imitent la connexion de l'entreprise, applique une politique sur ce qui peut être écrit dans un outil d'intelligence artificielle et fait apparaître les outils que personne n'a approuvés. La page espace de travail sécurisé précise où ce domaine s'arrête et où commence la sécurité des postes.