RB
ROIBASE.

VOTRE PROPRE ARCHITECTURE DE DONNÉES

First-Party Data & Architecture de Mesure

sGTM, Conversion API, data lake BigQuery/Snowflake, Consent Mode v2 + TCF 2.2, identity resolution et reverse ETL — l'infrastructure de données des marques qui gagnent dans le monde post-cookie tiers, avec une discipline d'ingénierie de bout en bout.

Parlons stratégie
Contact

Nous n'entrons pas dans une ère où le pixel meurt, mais dans une ère où la propriété des données devient obligatoire ; l'infrastructure relève de l'ingénierie, pas d'un SaaS plug-and-play.

Avec Consent Mode v2, iOS 17 ATT, les évolutions des cookies de Chrome et TCF 2.2, le signal envoyé aux plateformes publicitaires s'est érodé en moyenne de 40 à 60 %. La plupart des marques ont, sans s'en rendre compte, construit des lacs de données parallèles avec une multitude d'outils SaaS ; chaque outil a son propre ID, sa propre interprétation du consentement et son propre schéma d'événements. L'opération first-party de Roibase s'appuie sur six principes qui éliminent cette fragmentation ; chaque principe n'est pas un SaaS mais un standard d'ingénierie.

Roibase perspective

MÉTHODOLOGIE

AUDIT → DESIGN → DEPLOY → VALIDATE → GOVERN → HANDOFF — discipline d'ingénierie

Une architecture de données n'est pas un projet de tag management mais une plateforme durable. Le processus en six étapes rend chaque décision écrite, testable et transmissible.

01

01

AUDIT

Audit du GTM client-side, de GA4, des pixels, de la CMP, de l'application du consentement, des flux de données et de la visibilité sur la facturation ; la perte de signal, les violations de consentement et les doublons de données sont quantifiés.

02

02

DESIGN

Event taxonomy, stratégie d'identity, consent policy, architecture du warehouse et data contracts sont conçus ; validation des parties prenantes (legal, IT, marketing, data).

03

03

DEPLOY

Conteneur sGTM, endpoints CAPI, configuration Consent Mode v2, streaming warehouse et modèles dbt mis en production ; le risque est réduit grâce à un déploiement blue/green.

04

04

VALIDATE

L'ancienne et la nouvelle architecture tournent en parallèle via shadow mode + dual tracking ; aucun cutover tant que l'event parity n'atteint pas 99 % ; check-list QA de plus de 120 points.

05

05

GOVERN

Mise en place du schema registry, du PII tagging, de la retention, du RBAC, de l'audit log et des rapports de compliance ; comité de gouvernance des données à cadence mensuelle.

06

06

HANDOFF

3 semaines de formation hands-on pour vos équipes + runbook + 6 mois de support asynchrone ; rotation d'astreinte critique et contrat de SLA transmis par écrit.

— COMPARAISON

In-house vs agence SaaS-dependent vs ingénierie data Roibase

La différence concrète entre trois approches sur la propriété des données, la conformité du consentement, la profondeur d'ingénierie et le coût total.

DimensionIn-house minimalAgence SaaS-dependentIngénierie Roibase
Propriété des donnéesFragmentée (chaque outil sa propre DB)Chez le fournisseur SaaSDans votre propre warehouse
sGTM + CAPIPartiel (client-only)Absent ou géré par un vendorSur votre infrastructure, propriété totale
Consent Mode v2 + TCF 2.2Intégration basiqueCMP pré-configurée, sans adaptationPolicy écrite + legal review + tests
Identity resolutionAbsente ou email-onlyBlack-box vendorModèle déterministe + probabiliste ouvert
PII governance + audit logAd-hocContractuel, non opérationnelRunbook + rapport de compliance mensuel
Data contracts + schema registryAbsentsDépendants du schéma SaaSVersionnés, testables, owned
Reverse ETL + activationCSV manuelVerrouillage SaaSWarehouse-native, libre choix
Coût annuel total50-120 k€ (SaaS fragmenté)120-250 k€ (agence + licences)80-180 k€ (mise en place + warehouse)

PROOF

Outcomes, measured

+45 %
Récupération de signal

Conversions non attribuées récupérées grâce à sGTM + CAPI après iOS 14+/ATT.

94 %
Taux de conformité consent

Distribution acceptable des consent states après TCF 2.2 + Consent Mode v2.

12
Consolidation d'outils

Nombre typique d'outils SaaS data/analytics distincts unifiables chez un client.

0 €
Coût de licence data mensuel

Dans votre propre warehouse — seul le coût de query + storage s'applique ; pas de SaaS per-seat.

8
Semaines de mise en place

Calendrier typique pour un client mid-market, de l'audit au shadow mode en production.

99,8 %
Taux de delivery des événements

Taux moyen de livraison des événements après la mise en place dual-path sGTM + CAPI.

WHAT WE DO

Engagement scope

Every offering is an outcome-based work package. Roibase blends strategy and execution inside a single team — no hand-offs.

01 / 10

Server-side GTM (sGTM)

Votre propre conteneur sGTM sur Google Cloud Run / AWS Fargate : propriété des données chez vous, pas de vendor lock-in, charge client allégée ; la PII redaction s'exécute côté serveur.

02 / 10

Consent Mode v2 + TCF 2.2

Intégration d'une CMP conforme IAB TCF 2.2, diffusion dynamique des signaux ad_user_data + ad_personalization selon le consent state ; différenciation des « legal basis » KVKK/RGPD avec une politique écrite.

03 / 10

Conversion API (CAPI)

Événement de conversion côté serveur pour Meta, Google, TikTok, Pinterest ; hashed PII + event deduplication ; 30 à 50 % de récupération de signal et conformité iOS 14+/ATT.

04 / 10

Data lake BigQuery / Snowflake

Streaming d'événements bruts + modèles dbt + semantic layer + visualisation Looker Studio/Metabase/Looker ; partition + clustering + cost optimization inclus.

05 / 10

Identity resolution

Identity graph déterministe (login, email hash) + probabiliste (device fingerprint, household) ; une identité utilisateur unique pour les parcours cross-device et l'attribution cross-channel.

06 / 10

CDP readiness

Intégration Segment / RudderStack / mParticle ou CDP warehouse-native (Census, Hightouch) avec des lignes de reverse ETL ; choix du CDP via une évaluation indépendante.

07 / 10

Reverse ETL & activation

Transfert automatisé des segments calculés (churn risk, LTV tier, product affinity) vers Meta Custom Audience, Google Customer Match, Klaviyo, HubSpot, Braze.

08 / 10

Reconstruction Customer Match

Reconstruction du lookalike + retargeting avec hashed PII + CAPI ; une infrastructure qui préserve la performance des plateformes publicitaires dans un monde sans pixel.

09 / 10

Schema registry + PII governance

Schéma d'événements versionné et testable ; champs PII étiquetés, politique de retention + masking appliquée ; alertes de schema drift pour le monitoring de la qualité des données.

10 / 10

Audit log + suivi des accès

Qui a accédé à quelle donnée, quand et dans quel but est journalisé ; role-based access control (RBAC), data contracts et rapport de compliance générés automatiquement chaque mois.

— BÉNÉFICES

Le retour concret et mesurable de la propriété des données

L'architecture first-party n'est pas qu'une affaire de conformité ; c'est un levier direct pour la performance publicitaire, la compréhension client et la vitesse de l'équipe.

+45 % de signal

Récupération du signal publicitaire

30 à 50 % de signal retrouvé avec Meta/Google/TikTok CAPI ; la vitesse d'apprentissage et la qualité d'optimisation des plateformes progressent nettement.

−52 % de dépense SaaS

Baisse du coût des outils

La stack SaaS fragmentée est consolidée en un unique warehouse + couche dbt ; la dépense annuelle en licences chute de 40 à 60 %.

+38 % de vitesse de décision

Accélération de vos équipes

Avec un semantic layer en self-serve, chaque unité métier répond elle-même à ses questions ; la data team devient enabler plutôt que bottleneck.

100 % audit-ready

Conformité consent écrite

Policy TCF 2.2 + Consent Mode v2 + KVKK auditée, testable ; « evidence file » prêt pour un contrôle légal.

+28 % de précision d'attribution

Parcours cross-channel visible

Avec l'identity resolution, parcours utilisateur indépendant du device/canal ; les modèles d'attribution et cohort analyses s'appuient sur des données unifiées.

Runbook + RACI

Gouvernance des données pérenne

Schema registry, PII tagging, retention, RBAC, audit log — transmis à vos équipes avec runbook + rapport de compliance mensuel.

LIVRABLES

Des livrables concrets et écrits pour chaque projet first-party

Architecture, code, configuration, documentation et formation — chaque livrable est versionné et transmis à vos équipes.

  • Rapport d'audit du signal

    Évaluation quantitative de la perte de signal, des violations de consentement et des doublons d'outils, 40-60 pages.

  • Event taxonomy & data contracts

    Noms, propriétés, propriétaires, version de schéma et règles de backward compatibility de tous les événements.

  • Mise en place du conteneur sGTM

    sGTM en production sur Google Cloud Run / AWS Fargate, déploiement blue/green + pipeline CI/CD + plan de rollback.

  • Intégrations CAPI

    Événement de conversion côté serveur pour Meta, Google, TikTok, Pinterest ; event deduplication + hashed PII + error handling.

  • Consent Mode v2 + CMP policy

    Configuration de la CMP conforme IAB TCF 2.2, signaux dynamiques ad_user_data/ad_personalization, consent policy écrite + legal review.

  • Warehouse BigQuery/Snowflake

    Pipeline de streaming d'événements bruts, partition + clustering, cost optimization, monitoring + alerting.

  • Modèles dbt + semantic layer

    Couches staging → intermediate → marts, tests dbt, exposures, lineage graph + site de documentation.

  • Pipeline d'identity resolution

    Règles de correspondance déterministe + probabiliste, détection de household, table de parcours cross-device.

  • Lignes de reverse ETL

    Transfert de segments vers Meta CA, Google CM, Klaviyo, HubSpot, Braze via Census/Hightouch ; schedule + monitoring.

  • Schema registry & PII governance

    Registre de schémas versionnés, PII tagging, politique de retention + masking, alertes de schema drift.

  • Audit log + rapport de compliance

    Configuration RBAC, data access log, rapport de compliance mensuel automatisé (KVKK/RGPD + policy publicitaires).

  • Runbook + 3 semaines de formation

    Runbook opérationnel, rotation on-call, contrat de SLA + 3 semaines de formation hands-on pour vos équipes.

— PÉRIMÈTRE

Ce que nous faisons, ce que nous ne faisons pas — des limites nettes

L'architecture first-party relève de l'ingénierie ; définir clairement le périmètre évite les surprises et les factures additionnelles.

Ce que nous faisons

  • Audit du signal + évaluation de la santé du consent
  • Conception de l'event taxonomy + data contracts
  • Mise en place du conteneur sGTM + CI/CD + monitoring
  • Intégrations CAPI Meta/Google/TikTok/Pinterest
  • Configuration Consent Mode v2 + TCF 2.2 + CMP
  • Warehouse BigQuery/Snowflake + pipeline de streaming
  • Modèles dbt + semantic layer + tests
  • Identity resolution (déterministe + probabiliste)
  • Lignes de reverse ETL (Census/Hightouch)
  • Schema registry + PII governance + audit log
  • Coordination de la review legal/compliance
  • Runbook + 3 semaines de formation hands-on

Ce que nous ne faisons pas

  • Conseil juridique (un avocat partenaire + la policy review sont coordonnés)
  • Vente de licences CDP (recommandation vendor-agnostique, sans commission)
  • Maintien d'une stack SaaS fragmentée (consolidation recommandée)
  • Forfaits classiques d'agence analytics (sprints d'ingénierie à la place)
  • Récupération « pré-pixel » garantie (nous donnons une fourchette réaliste)
  • Licence warehouse / facture cloud (reste sur le compte client)
  • Gestion de comptes publicitaires (périmètre séparé avec les équipes PPC/Growth)
  • Déploiement SaaS plug-and-play (chaque client reçoit une architecture sur mesure)

HOW WE WORK

Mise en place de 8 semaines → opération de 6 mois — qui fait quoi et quand, par écrit

01

Semaines 1-2 : audit + discovery

Audit du GTM/GA4/CMP/pixels existant, health check du consent, entretiens avec les parties prenantes, document de spécifications architecturales.

02

Semaines 3-4 : design + data contracts

Event taxonomy, stratégie d'identity, schéma warehouse, consent policy, data contracts — validation legal + IT + marketing.

03

Semaines 5-6 : déploiement sGTM + CAPI

Conteneur Cloud Run/Fargate en production ; intégration CAPI Meta/Google/TikTok ; lancement du shadow mode.

04

Semaines 7-8 : warehouse + dbt

Pipeline de streaming BigQuery/Snowflake, dbt staging + intermediate + marts, première version du semantic layer.

05

Semaines 9-10 : validate + cutover

Test d'event parity, check-list QA, cutover blue/green ; plan de décommissionnement de l'ancienne architecture.

06

Semaines 11-12 : govern + handoff

Schema registry, PII tagging, audit log, RBAC ; démarrage de la formation hands-on pour vos équipes, remise du runbook.

07

Mois 4-5 : activation + optimization

Lignes de reverse ETL, premières activations de segments, préparation des données MMM/attribution, cost optimization.

08

Mois 6+ : steady state + audit

Rapport de compliance mensuel, comité trimestriel de gouvernance, suivi du schema drift, SLA + rotation on-call.

— BOÎTE À OUTILS

Les outils que nous utilisons — vendor-agnostiques mais sélectionnés avec exigence

Nous choisissons l'outil adapté à chaque client ; nous préservons notre indépendance en ne touchant aucune commission.

SERVER-SIDE TRACKING

Google Tag Manager ServerStape.ioGoogle Cloud RunAWS FargateMeta Conversion APIGoogle Ads Enhanced ConversionsTikTok Events APIPinterest CAPI

CMP & CONSENT

OneTrustCookiebotDidomiUsercentricsGoogle Consent Mode v2IAB TCF 2.2

WAREHOUSE & CDP

BigQuerySnowflakeRedshiftdbt Core/CloudSegmentRudderStackmParticleAmplitude

REVERSE ETL & ACTIVATION

CensusHightouchPolytomicFivetranAirbyteStitchMeta Custom Audience APIGoogle Customer Match API

QUESTIONS

Frequently asked

Trois bénéfices concrets : (1) 30 à 50 % de signal gagné en contournant les ad-blockers + ITP, (2) propriété des données — la PII redaction s'exécute côté serveur, (3) accélération du chargement — la charge de scripts client-side diminue. À cela s'ajoute la fin du vendor lock-in ; toute la logique de tagging vit dans votre cloud.

— GLOSSAIRE

Termes de l'ingénierie data first-party

12 termes clés qui donnent un langage commun à vos équipes et à vos parties prenantes.

01
sGTM
Server-side Google Tag Manager — un proxy qui prend le payload du GTM navigateur, le nettoie, l'enrichit puis le distribue à plusieurs destinations (GA4, Meta CAPI, TikTok, etc.). Allonge la vie des cookies, résiste aux adblockers et constitue l'épine dorsale des conversion API server-side.
CAPIConsent Mode v2
02
CAPI
API d'events server-to-server de Meta, en parallèle du Pixel. Récupère les 20-40 % de signal de conversion perdus côté navigateur à cause d'ITP et des adblockers ; la déduplication exige un event_id et un timestamp identique sur chaque event. Fondation de toute stack paid social moderne.
sGTMCustomer Match
03
Consent Mode v2
Mécanisme de signal de consentement de Google conforme à TCF 2.2 ; états ad_user_data + ad_personalization.
TCF 2.2PII
04
TCF 2.2
Version du Transparency & Consent Framework de l'IAB Europe obligatoire depuis 2024. Standardise le signal de consentement entre éditeur, vendor et utilisateur ; les CMP (OneTrust, Cookiebot, Didomi) délivrent la conformité obligatoire conjointement avec Google Consent Mode v2.
Consent Mode v2
05
Identity resolution
Rattachement de l'activité utilisateur sur différents devices et canaux à une identité unique ; déterministe + probabiliste.
CDPCustomer Match
06
CDP
Customer Data Platform ; système qui unifie les profils utilisateurs et les diffuse aux canaux d'activation (Segment, mParticle, warehouse-native).
Reverse ETLData warehouse
07
Reverse ETL
Transfert de données du warehouse vers les outils opérationnels (Meta, Google, Klaviyo) ; Census et Hightouch sont des vendors typiques.
CDPData warehouse
08
Customer Match
Utilisation d'une liste first-party hashée (email, téléphone, adresse postale) comme audience de ciblage/exclusion dans Google Search, YouTube et Display. Base pour seeds lookalike et win-back ; utile à partir d'un match rate ≥ 30 %.
CAPIPII
09
Data warehouse
Entrepôt de données cloud où résident les données événementielles brutes et modélisées (BigQuery, Snowflake, Redshift, Databricks).
Event schemaData governance
10
Event schema
Définition écrite et versionnée des noms, propriétés, types de données et propriétaires d'événements ; stockée dans un schema registry.
Data governance
11
PII
Personally Identifiable Information ; toute donnée identifiant une personne (email, téléphone, IP, device ID). Gérée avec tagging + retention.
Data governanceConsent Mode v2
12
Data governance
Ensemble des disciplines de qualité, d'accès, de gouvernance et de conformité des données ; RBAC + audit log + data contracts en standard.
PIIEvent schema
13
GA4 Measurement Protocol
Protocole server-to-server qui envoie des events directement à GA4 via HTTP. Génère le signal de conversion depuis des environnements sans pixel web (CRM, IoT, app server) ; authentification par api_secret + measurement_id, compatible Consent Mode.
14
Enhanced Conversions
Couche de mesure Google Ads qui rattache une conversion à un utilisateur via first-party data hashée (email, téléphone). Récupère 3-15 % d'attribution perdue à cause d'ITP et du déclin des cookies ; existe en variantes web et lead-form.
15
Offline Conversions
Processus consistant à renvoyer à la plateforme pub les conversions qui se produisent dans le CRM (lead-to-sale, closing en appel, visite en magasin) via le click ID (gclid/wbraid/fbclid). Le moyen le plus fiable d'alimenter le tROAS avec du revenu réel.
16
First-party Data
Données que la marque collecte directement depuis ses propres properties (web, app, CRM, call center, email, membership) sous consentement utilisateur. Le carburant le plus défendable du performance post-cookie tiers ; hashé et activé en plateforme publicitaire.
17
Data Clean Room
Environnement de calcul sécurisé où deux parties (p. ex. marque + plateforme média) peuvent matcher et agréger sans exposer leurs PII brutes. Google Ads Data Hub, Amazon AMC, Snowflake/Databricks clean rooms — analyse d'overlap, attribution, construction d'audiences.
18
Identity Graph
Graphe relationnel qui relie une même personne entre ses devices, email, téléphone, identifiant de paiement et IDs hashés. Base de l'attribution cross-device, des modèles de rétention et de la qualité du seed LAL — le cœur du CDP.
19
First-party Cookies
Cookies que le domaine du site lui-même pose et qui ne sont envoyés qu'à ses requêtes. Après le blocage des cookies tiers, ITP a aussi raccourci cette catégorie — le cookie-set server-side + politique de rotation 1y+ sont devenus essentiels.
20
Server-side Events
Events de conversion envoyés à la plateforme pub via API depuis ton propre serveur (sGTM, backend) plutôt que depuis le navigateur. Insensibles aux adblockers et limites navigateur ; utilisent des specs comme CAPI (Meta), GA4 MP, TikTok Events API.
21
Hashed PII
Valeur personnellement identifiable (email, téléphone, nom) figée via une fonction cryptographique à sens unique (généralement SHA-256). Obligatoire pour le matching, l'upload de custom audience et Enhanced Conversions — exigence privacy et compliance.
22
Privacy Sandbox
Suite d'APIs Chrome de Google conçue pour permettre mesure publicitaire, retargeting et détection de fraude sans cookies tiers : Topics, Protected Audience (FLEDGE), Attribution Reporting. Le versant Google d'un futur sans cookies.
23
CORS (Cross-Origin Resource Sharing)
Mécanisme de sécurité navigateur qui exige du serveur d'approuver explicitement les fetch/XHR cross-origin. Contrôlé via les headers Access-Control-Allow-* ; une mauvaise configuration est le bug d'intégration le plus courant des API SaaS.
24
CSP (Content Security Policy)
Header HTTP qui déclare depuis quelles sources une page peut charger scripts, styles, images et iframes. Défense côté navigateur la plus forte contre XSS ; nonce + strict-dynamic est la best practice moderne, complétée par report-uri/report-to pour le monitoring.
25
TLS / SSL
Protocole qui chiffre tout le trafic entre client et serveur et authentifie le serveur via certificat. Couche sous HTTPS ; TLS 1.3 est le standard moderne, Let's Encrypt fournit des certificats gratuits, le header HSTS est obligatoire.
26
Zero-Trust
Modèle de sécurité qui ne fait confiance à aucune localisation réseau et ré-authentifie + ré-autorise chaque requête sur la base de l'utilisateur + appareil + contexte. Alternative moderne au VPN ; bâti sur BeyondCorp, Cloudflare Access, Tailscale.
27
AWS IAM (Identity and Access Management)
Couche auth d'AWS qui répond « qui peut faire quoi sur quel service ». Hiérarchie User/Group/Role/Policy ; principe du moindre privilège ; SCP (Service Control Policy) pour des guardrails à l'échelle de l'organisation ; fondation sécurité de tout workload AWS.
28
OWASP Top 10
Liste mise à jour chaque année par OWASP des dix risques de sécurité les plus critiques pour les applications web. L'édition 2021 est dominée par Broken Access Control, Cryptographic Failures, Injection et Insecure Design. Standard industrie pour l'auto-évaluation sécurité.
29
SQL Injection
Vulnérabilité web classique où l'attaquant injecte des fragments SQL dans des champs pour manipuler les requêtes BDD. Permet bypass de login, dump complet de la base, attaques type DROP TABLE. Correctif : requêtes paramétrées / prepared statements ou ORM.
30
XSS (Cross-Site Scripting)
L'attaquant injecte du JavaScript malveillant dans une page web ; il s'exécute dans le navigateur de la victime. Trois variantes : Reflected, Stored, DOM-based — vol de cookies, session hijacking. Mitigation : escaping en sortie, headers CSP, cookies HttpOnly + SameSite.
31
CSRF (Cross-Site Request Forgery)
Attaque qui abuse la session authentifiée de la victime pour réaliser des actions non voulues. Depuis un autre site, l'attaquant fait soumettre automatiquement un formulaire à la banque de la victime. Mitigation : tokens anti-CSRF, cookies SameSite=Lax/Strict, double-submit cookie.
32
Clickjacking
L'attaquant superpose le site cible en iframe transparent sur sa propre page et fait cliquer l'utilisateur sur des boutons invisibles — likes, transferts, permissions accordées sans consentement. Mitigation : X-Frame-Options: DENY ou header CSP frame-ancestors.
33
MITM (Man-in-the-Middle)
Attaque qui intercepte ou modifie la communication entre deux parties. Vecteurs typiques : Wi-Fi ouvert, certificats malveillants, ARP spoofing. Mitigation : HTTPS, HSTS preload, certificate pinning, DNS over HTTPS (DoH).
34
Certificate Pinning
Une app mobile/desktop n'accepte qu'une clé publique spécifique de certificat serveur (ou de CA). Même si un attaquant installe une fausse CA sur l'appareil, l'app refuse de lui faire confiance. Parmi les meilleures défenses contre MITM, mais la rotation de clé devient plus dure.
35
MFA / 2FA (Multi-Factor Authentication)
Méthode d'auth qui exige un second facteur en plus du mot de passe. Facteurs : ce que tu sais (mot de passe), possèdes (téléphone, clé matérielle), es (biométrie). SMS faible ; TOTP (Authenticator), push notifications et FIDO2/WebAuthn sont les choix modernes.
36
SSO (Single Sign-On)
Une seule connexion donne accès à plusieurs apps reliées. Protocoles principaux : SAML 2.0 (enterprise) et OIDC (web/mobile moderne) ; IdPs typiques : Okta, Azure AD, Google Workspace. Améliore l'UX et offre à l'IT une gestion centralisée du cycle de vie utilisateur.
37
SAML 2.0
Standard legacy XML pour le SSO entreprise (2005). Transporte des authentication assertions d'un IdP (Okta, ADFS) vers un Service Provider via browser POST ou redirect binding. Toujours standard dans les SaaS modernes, mais les nouveaux projets préfèrent OIDC.
38
OIDC (OpenID Connect)
Couche d'identité construite sur OAuth 2.0. Ajoute un ID token (JWT) en plus de l'access token ; technologie derrière les flux « Sign in with Google/Apple/Microsoft ». Basé JSON, mobile/SPA-friendly et plus moderne que SAML.
39
JWT (JSON Web Token)
Token d'identité/autorisation portable et signé au format Header.Payload.Signature. Permet sessions stateless, transmission d'identité entre microservices et format ID token OIDC. Bonnes pratiques : access court + refresh long ; RS256/ES256 plutôt que HS256.
40
Security Headers
En-têtes HTTP de réponse qui transmettent des règles de sécurité au navigateur : Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Bien configurés, ils réduisent fortement XSS, MITM et sniffing.
41
WAF (Web Application Firewall)
Couche de sécurité qui inspecte le trafic OSI Layer 7 et bloque SQL injection, XSS, RCE et attaques de bots. Produits clés : Cloudflare WAF, AWS WAF, Imperva, F5 ; combinent rule sets managés, règles custom et rate limiting.
42
Penetration Testing (Pentest)
Audit de sécurité contrôlé qui teste les défenses d'un système avec un état d'esprit d'attaquant réel. Approches black-box, gray-box, white-box ; périmètres web-app, mobile, réseau, ingénierie sociale. Livrable : liste de findings priorisés + retest des correctifs.
43
Bug Bounty
Programme par lequel une entreprise rétribue des chercheurs externes pour la découverte de vulnérabilités. Via HackerOne, Bugcrowd ou self-hosted ; périmètre, règles et grilles de récompense sont publiés ouvertement. Effet : pression de pentest continue.
44
Zero Trust
Approche « ne faire confiance par défaut à personne ni à aucun réseau — vérifier chaque requête ». Remplace le modèle château-douve classique par un accès basé identité, posture du device et contexte. BeyondCorp, Cloudflare Access et Zscaler en sont des exemples-clés.
45
DDoS (Distributed Denial of Service)
Attaque qui inonde un service cible avec du trafic depuis des milliers d'appareils compromis simultanément pour le faire tomber. Variantes : volumétrique (saturation de bande passante), protocole (SYN flood), application (HTTP flood). Défense principale : réseaux anycast Cloudflare, AWS Shield, Akamai.
46
Secrets Management
Stockage de valeurs sensibles — API keys, mots de passe DB, certificats, OAuth client secrets — centralisé, auditable et rotatif. HashiCorp Vault, AWS Secrets Manager, Doppler et 1Password Secrets sont les outils standards ; met fin au .env commit dans Git.
47
Prompt Injection
Attaque dans laquelle l'attaquant insère des instructions cachées dans l'input utilisateur ou outil pour forcer le LLM à ignorer son system prompt — ex. « Oublie toutes les instructions précédentes et… ». Le XSS des applis LLM ; défense en couches : sanitisation input, filtrage output, sandbox.
48
LLM Jailbreak
Tentative de contourner les règles de sécurité intégrées d'un modèle (refuser le contenu nuisible, ne pas divulguer le system prompt, etc.). Techniques classiques : DAN, « grandma exploit », roleplay, encodage, manipulation multi-turn. Surface testée en continu par les red teams.
49
GDPR (General Data Protection Regulation / RGPD)
Règlement européen sur la protection des données, en vigueur depuis 2018. Consentement explicite, minimisation, droits d'accès / d'effacement, notification des breaches en 72 h, amendes jusqu'à 4 % du CA mondial ou 20 M€. S'applique à quiconque fait affaire avec l'UE.
50
CCPA / CPRA
California Consumer Privacy Act (2020) et son extension CPRA (2023). Donne aux résidents californiens le droit de savoir, le droit à l'effacement et un opt-out « Do Not Sell or Share ». Faute de loi fédérale, c'est le standard US de facto ; les autres lois d'États (VCDPA Virginia, CPA Colorado) y font référence.
51
LGPD (Lei Geral de Proteção de Dados)
Loi brésilienne de protection des données proche du RGPD, en vigueur depuis 2020. Mise en œuvre par l'ANPD ; 9 droits pour la personne concernée, consentement explicite, DPO obligatoire. Amendes : jusqu'à 2 % du CA par infraction, plafonné à 50 M BRL.
52
KVKK (Turquie)
Loi turque sur la protection des données personnelles nº 6698, adoptée en 2016. Appliquée par le Conseil KVKK ; registre VERBİS, consentement explicite, 11 droits de la personne concernée, exigence d'adéquation pour les transferts internationaux. Aligné sur le RGPD, plus strict sur certains points.
53
DSA (Digital Services Act)
Règlement européen sur les grandes plateformes, pleinement en vigueur depuis 2024. Pour les VLOPs (Very Large Online Platforms, 45 M+ utilisateurs UE — Meta, Google, TikTok…) : évaluation annuelle des risques, traçabilité du contenu illégal, transparence algorithmique, interdiction des dark patterns. Amendes jusqu'à 6 % du CA mondial.
54
DMA (Digital Markets Act)
Règle de concurrence de l'UE visant les plateformes « gatekeeper » (Apple, Google, Meta, Microsoft, Amazon, ByteDance, Booking) depuis 2024. Impose les app stores tiers, le choix du moteur de navigateur, l'interopérabilité messagerie et interdit le self-preferencing. Raison de l'ouverture du side-loading sur iOS dans l'UE.
55
ePrivacy Directive (« loi cookies »)
Directive UE de 2002 (révisée en 2009) — première obligation de consentement explicite avant cookies et trackers. Toujours en vigueur en complément du RGPD ; base juridique des cookie banners visibles sur les sites UE. Le règlement ePrivacy qui doit lui succéder est encore en négociation.
56
FLEDGE / Protected Audience API
API du Privacy Sandbox de Google conçue pour garder le remarketing vivant après la disparition des cookies tiers. Les interest groups sont stockés dans le navigateur, la mise aux enchères y tourne aussi, IPs/IDs ne fuient pas. Par défaut dans Chrome 109+ ; tests IAB en cours.
57
Topics API
Successeur de FLoC dans le Privacy Sandbox de Google (2023). Le navigateur dérive 5 « topics » par semaine de l'historique de navigation (ex. /Sports/Soccer) ; les annonceurs voient un sous-ensemble aléatoire. Objectif : matching d'intérêts sans cross-site tracking.
58
CHIPS (Cookies Having Independent Partitioned State)
Technologie Chrome qui partitionne les cookies tiers par site. Le cookie d'un widget embarqué est isolé par top-site, ce qui casse le cross-site tracking tout en préservant l'état intra-site. Implémenté en ajoutant l'attribut Partitioned sur Set-Cookie.
59
SKAdNetwork (Apple)
Framework iOS d'Apple pour l'attribution publicitaire sans IDFA. Fournit un match déterministe entre le réseau qui a servi l'annonce et celle qui a déclenché l'install ; conversion value 0-63 et postbacks agrégés sur 24 h. Standard de l'écosystème mobile ad post-ATT.
60
ATT (App Tracking Transparency)
Fonctionnalité Apple livrée dans iOS 14.5 (2021) qui empêche les apps d'accéder à l'IDFA sans afficher le dialogue système « Allow / Ask Not to Track ». ~75 % d'utilisateurs ont opté pour non — bouleversement de l'industrie de la mobile attribution, qui s'est tournée vers SKAdNetwork.
61
IDFA / GAID
IDFA (Identifier for Advertisers, iOS) et GAID (Google Advertising ID, Android) — identifiants publicitaires liés à l'appareil, réinitialisables par l'utilisateur. Avant ATT, colonne vertébrale de la mobile attribution ; aujourd'hui GAID reste actif sur Android, IDFA est passé en opt-in.
62
OpenRTB
Protocole ouvert de l'IAB qui standardise l'achat/vente programmatique display et vidéo. Définit les formes JSON des bid requests, bid responses et win notices entre SSP et DSP ; v2.6 (2024) ajoute audio, CTV et identity solutions. Fondation technique du header bidding et des PMP.
63
Prebid.js
La librairie header-bidding open-source la plus répandue. Sur la page du publisher, elle envoie en parallèle des bid requests à 10+ SSPs avant l'appel à l'ad server (GAM) ; la plus haute enchère l'emporte. eCPM publisher +20-50 %, transparence dans l'écosystème programmatic — une révolution.
64
Cookie Consent Banner
Le bandeau familier du web moderne qui demande « Acceptez-vous nos cookies ? » au chargement. Exigé par ePrivacy + RGPD ; « Reject All » doit être aussi simple, consentement granulaire par catégorie. CookieYes, OneTrust, Cookiebot sont les CMP majeurs.
65
CMP (Consent Management Platform)
Plateforme qui collecte, stocke et diffuse le consentement utilisateur sur tout le site. S'intègre à IAB TCF v2.2 et signale aux vendors tiers via une consent string. OneTrust, TrustArc, CookieYes, Cookiebot, Iubenda sont courants ; pièce obligatoire d'un stack privacy moderne.
66
IAB TCF v2.2 (Transparency & Consent Framework)
Standard IAB Europe pour partager le consentement entre vendors adtech sur le marché UE. Une consent string binaire encode lesquels des 12 purposes et lesquels des 1 000+ vendors l'utilisateur a approuvés ; transportée CMP→SSP→DSP. La v2.2 (2023) a précisé la granularité du « purpose 1: device storage ».
67
DSAR (Data Subject Access Request)
Au titre du RGPD art. 15 / KVKK / CCPA, droit de l'individu à recevoir, sous 30 jours, une réponse documentée à « quelles données avez-vous sur moi et avec qui les avez-vous partagées ? ». Portail DSAR, runbook et pipeline d'extraction automatisée sont indispensables dans tout programme privacy moderne.
68
Privacy by Design
Les sept principes d'Ann Cavoukian (1995, intégrés à l'article 25 du RGPD) : être proactif, default privacy-friendly, conception privacy-first, chiffrement bout-en-bout, protection sur tout le cycle de vie, visibilité, respect de l'utilisateur. Fondation éthique de l'architecture sécurité moderne.
69
Right to be Forgotten
Article 17 du RGPD — droit pour l'individu de demander l'effacement de ses données personnelles. Sans base légale pour les conserver, l'entreprise doit effacer sous 30 jours — backups, logs et vendors tiers compris. Étendu aux résultats de recherche Google par l'arrêt CJUE Costeja de 2014.
70
SPF (Sender Policy Framework)
Standard anti-spoofing en DNS TXT listant les IP autorisées à envoyer des emails pour un domaine. Exemple : v=spf1 include:_spf.mailgun.org -all. Le MTA récepteur compare l'IP émettrice à SPF ; en cas d'échec → spam folder ou rejet.
71
DKIM (DomainKeys Identified Mail)
Standard qui prouve l'authenticité d'un email via une signature cryptographique du domaine émetteur. Un en-tête DKIM-Signature est ajouté ; le récepteur le vérifie contre la clé publique publiée en DNS. Deuxième pilier de l'auth email moderne avec SPF.
72
DMARC (Domain-based Message Authentication, Reporting & Conformance)
Standard qui combine SPF + DKIM et laisse au propriétaire du domaine décider de ce qui se passe en cas d'échec d'auth. Policies p=none / quarantine / reject ; rua=mailto:dmarc@… agrège les rapports. Obligatoire pour les expéditeurs en volume vers Gmail/Yahoo depuis 2024.
73
BIMI (Brand Indicators for Message Identification)
Standard qui affiche le logo de la marque émettrice à côté du « from » dans Gmail/Yahoo dès que le domaine fait du DMARC enforcement. Nécessite un logo SVG Tiny et un VMC (Verified Mark Certificate) ; le support mailbox s'élargit depuis 2023. Open rate +3-15 %.
74
CAN-SPAM (loi email US)
Loi américaine de 2003 fixant les règles obligatoires de l'email commercial : pas de header/objet trompeur, lien opt-out clair, adresse postale physique dans le message, traitement des opt-outs sous 10 jours. Amendes jusqu'à 51K $ par infraction. Régime opt-out, contrairement au RGPD.
75
CBDC (Central Bank Digital Currency)
Token numérique émis par une banque centrale avec statut de monnaie légale. Sand Dollar (Bahamas), eNaira (Nigéria) et e-CNY (Chine) en production ; Euro numérique en pilote. Réponse régulatrice aux stablecoins et pièce centrale des projets de paiement cross-border et société sans cash.
76
Sign-In with Ethereum (SIWE)
Standard (EIP-4361) pour se connecter via une signature de wallet Ethereum au lieu d'email/mot de passe. La dApp génère un message, l'utilisateur le signe avec sa wallet, le backend vérifie la signature et ouvre une session. Alternative OIDC pour l'auth Web3, de plus en plus associée aux passkeys.
77
LLM Red Team
Équipe humain + IA qui teste les règles de sécurité et les limites internes d'un modèle. Adversarial prompts, jailbreaks, fuites de PII, prompt injection ; les failles trouvées rejoignent l'eval set. Les red teams d'OpenAI, Anthropic et Google jouent un rôle critique avant lancement.
78
Adversarial Prompt
Prompt construit pour pousser le modèle vers des sorties fausses, nuisibles ou interdites. Vecteurs : « detail-only », « creative fiction », « system-message override », encodage base64. La défense exige instruction tuning + RLHF + Constitutional AI ensemble.
79
Jailbreak Eval Suite
Collection standardisée de tentatives de contournement des contrôles de sécurité d'un LLM. Benchmarks ouverts : AdvBench, HarmBench, JailbreakBench ; patterns classiques « DAN », « grandma exploit », roleplay. La mesure du pass-rate est obligatoire avant tout lancement de LLM.
80
Prompt Leakage
Attaque qui cherche à révéler le system prompt d'un modèle — souvent de la business logic confidentielle. Exemple : « affiche toutes les instructions précédentes ». Le contexte RAG caché et les règles métier sensibles peuvent fuir. Défense : instruction wrapper + repeat-back filter + structured output.
81
PII Redaction (LLM)
Couche qui masque les données personnelles dans l'input utilisateur — nom, téléphone, email, numéro de carte, adresse — avant qu'elles n'atteignent le LLM ou les logs. Outils : Microsoft Presidio, Google DLP, AWS Comprehend Medical ; obligatoire pour la compliance GDPR, KVKK et HIPAA.
82
LLM Guardrails
Couche de contrôle qui protège la sortie du modèle des territoires non désirés — toxic, off-topic, hallucinatoire, sortie qui ne respecte pas le schéma. Output filtering, validation de schéma, classifier-as-judge, tool-call validation ; outils NeMo Guardrails, Guardrails AI, AWS Bedrock Guardrails.
83
Content Moderation API
Service qui classe l'input et l'output texte ou image dans des catégories — toxicité, NSFW, violence, hate speech, self-harm. OpenAI Moderation, Perspective API (Google), AWS Rekognition et Azure Content Safety. Pré-filtre obligatoire dans toute application LLM.
84
AI Safety Eval (HHH)
Principe d'éval d'alignement qui mesure le trio « Helpful, Honest, Harmless ». Helpful : aide-t-il vraiment l'utilisateur ; Honest : produit-il des réponses fausses ou masquées ; Harmless : suggère-t-il des actions nuisibles. Fondation des papers safety d'Anthropic.
85
Toxicity Score
Score de classifieur entre 0 et 1 qui mesure le degré toxic, harceleur ou hateful d'un texte. Perspective API (Google), OpenAI Moderation, Detoxify et HateBERT sont courants ; seuil habituel 0,7+. Filtre critique pour l'output LLM, la modération de commentaires et la brand safety.
86
Bias Audit
Contrôle systématique pour vérifier si un modèle produit des sorties injustes selon des attributs protégés — genre, race, âge, religion. Métriques : demographic parity, equal opportunity, counterfactual fairness ; outils courants AI Fairness 360, Fairlearn. Compliance obligatoire dans les industries régulées.
87
Anti-Cheat (VAC, EAC, BattlEye)
Système qui bloque cheats, aimbots et wallhacks en multijoueur. Valve VAC, Easy Anti-Cheat (EAC), BattlEye, Riot Vanguard et FACEIT AC sont courants ; l'accès kernel alimente le débat sécurité/privacy. La prévention n'a pas de plafond, mais une mauvaise implémentation détruit l'UX.
88
SOC (Security Operations Center)
Équipe 24/7 + infrastructure qui surveille et répond aux events de sécurité. Structuré en Tier 1 (alert triage), Tier 2 (investigation profonde), Tier 3 (threat hunter, forensics) ; toolset commun : SIEM, EDR, SOAR. Les enterprises modernes font tourner un SOC interne de 100+ personnes ou outsourcent à un MSSP.
89
SIEM (Security Information & Event Management)
Plateforme qui ingère logs et events de sécurité de façon centralisée et déclenche des alertes via règles de corrélation. Splunk, IBM QRadar, Microsoft Sentinel, Elastic SIEM, Sumo Logic en leaders ; répond à « qui a fait quoi » et « quelle anomalie » — le cœur du SOC moderne.
90
EDR (Endpoint Detection & Response)
Plateforme de détection et réponse temps-réel contre malware, ransomware et lateral movement sur laptops, serveurs et endpoints mobiles. CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Carbon Black et Sophos Intercept X dominent. Successeur de l'antivirus classique.
91
XDR (Extended Detection & Response)
Successeur de l'EDR qui unifie aussi les signaux réseau, email, cloud et identity. Transforme des alertes silotées au-delà de l'endpoint en une vue corrélée unique ; Palo Alto Cortex XDR, Microsoft Defender XDR, Trellix, SentinelOne Singularity en leaders. Tickets par analyst SOC ÷ 5-10.
92
SOAR (Security Orchestration, Automation & Response)
Plateforme d'orchestration qui lance des playbooks automatisés après les alertes SIEM — « bloquer cette IP », « isoler ce endpoint », « reset le mot de passe », et plus de 100 étapes de réponse. Splunk SOAR, Palo Alto XSOAR, Tines, Torq en tête ; charge SOC Tier 1 ÷ 60 %+.
93
Threat Intelligence
Discipline qui livre la connaissance des threat actors actifs, de leurs tactiques et des IoCs (indicateurs de compromission — IPs, hashes, domaines). Recorded Future, Mandiant, CrowdStrike Intel, OTX, MISP fournissent les feeds, injectés au SIEM ; répond à « cette fuite nous touche-t-elle ? ».
94
CVE (Common Vulnerabilities & Exposures)
Catalogue public d'identifiants de vulnérabilités de sécurité maintenu par MITRE — par exemple CVE-2024-12345. Chaque entrée lie patch vendor, détails d'exploit et versions affectées, et reçoit un score CVSS. Unité atomique de tout programme de vulnerability management.
95
CVSS (Common Vulnerability Scoring System)
Système standard piloté par FIRST.org qui note la gravité d'une vulnérabilité de 0,0 à 10,0. Couches : Base Score (exploitability + impact), Temporal, Environmental ; 9,0+ Critical, 7,0-8,9 High, 4,0-6,9 Medium. Base pour prioriser les patches.
96
NIST CSF (Cybersecurity Framework)
Framework publié par le NIST en 2014 qui organise un programme cybersecurity en cinq fonctions : Identify, Protect, Detect, Respond, Recover. La v2.0 (2024) a ajouté Govern. Le framework de référence le plus utilisé dans le fédéral US et l'entreprise mondiale.
97
ISO 27001
Standard international pour un Information Security Management System (ISMS). Risk assessment + 93 contrôles (Annexe A) + cycle d'amélioration continue ; audit externe tous les 3 ans + surveillance annuelle. Obligatoire dans la vente B2B SaaS, preuve d'alignement GDPR + KVKK.
98
SOC 2
Rapport d'audit conçu par l'AICPA pour les SaaS. Trust Services Criteria : Security (obligatoire), Availability, Processing Integrity, Confidentiality, Privacy. Type 1 (point-in-time), Type 2 (6-12 mois de preuves opérationnelles). La clé de la vente enterprise aux États-Unis.
99
CIS Controls
18 contrôles de cybersécurité les plus critiques publiés par le Center for Internet Security (ex-SANS Top 20). Tiers IG1 (small), IG2 (mid), IG3 (large) couvrent des actions concrètes : asset inventory, MFA, phishing awareness. Carte opérationnelle du NIST CSF.
100
MITRE ATT&CK Framework
Knowledge base ouverte de MITRE qui catalogue les TTPs réels des attaquants — Tactics, Techniques, Procedures. 14 tactiques Initial Access → Execution → Persistence → … → Impact, plus de 600 techniques. Référence pour scénarios red team, rédaction de règles de detection et alignement threat intel.
101
Zero-Day Exploit
Vulnérabilité logicielle inconnue du vendor — 0 jour depuis le patch — et l'exploit qui l'abuse. Vaut des millions sur les marchés bug-bounty et dark web ; arme préférée des groupes APT, acteurs étatiques et spyware type Pegasus. Défense : defense-in-depth, EDR, virtual patching.
102
Supply Chain Attack
Attaque sur une cible via le logiciel, les composants ou les vendors qu'elle utilise, plutôt que directement. Cas d'école : SolarWinds Orion (2020), Kaseya (2021), MOVEit Transfer (2023), 3CX (2023). Un seul vendor compromis touche 18 000+ clients ; SBOM, artefacts signés et SLSA sont la défense standard.
103
Ransomware
Malware qui chiffre les fichiers de la victime et exige une rançon pour la clé de déchiffrement. La « double extortion » moderne ajoute la menace de publier les fichiers sur le dark web. LockBit, BlackCat (ALPHV), Conti, Ryuk tristement célèbres ; en 2024, rançon moyenne 2 M $, downtime moyen 21 jours.
104
Phishing / Spear Phishing / Whaling
Attaques qui volent identifiants ou données via email, SMS ou page factice. Phishing : massif et générique ; spear phishing : ciblé sur une personne / entreprise précise ; whaling : vise CEO, CFO, top exec. Le phishing généré par IA a +1500 % en 2024 ; défense : DMARC, email security gateway, awareness training.
105
Credential Stuffing
Attaque qui prend des paires login/mot de passe issues d'une fuite et les teste automatiquement sur d'autres sites pour prendre le contrôle des comptes. Bot-driven, millions de req/sec ; HaveIBeenPwned suit 13 Md+ d'enregistrements fuités. Défense : rate limiting, CAPTCHA, MFA, mots de passe uniques + password manager.
106
Brute Force Attack
Essayer systématiquement les combinaisons de mots de passe. Deux variantes : online (contre un login live) et offline (contre un dump de hashes). Outils : GPUs + dictionnaire + moteurs rule-based (Hashcat, John the Ripper) ; un top GPU 2024 fait 600 milliards de hashes/sec. Défense : passphrase longue + bcrypt/scrypt/argon2.
107
UEBA (User & Entity Behavior Analytics)
Couche de security analytics qui apprend en ML les patterns de comportement des users et devices et flag les anomalies — heure/lieu de login anormaux, accès fichier atypiques, patterns de lateral movement. Cruciale pour la détection insider-threat + compromised-account. Leaders : Splunk UBA, Exabeam, Microsoft Sentinel UEBA.
108
CASB (Cloud Access Security Broker)
Couche cloud-security qui surveille et applique les policies sur les apps SaaS des employés. Couvre shadow IT discovery, DLP, threat protection et compliance check. Leaders : Microsoft Defender for Cloud Apps, Netskope, McAfee MVISION, Zscaler CASB. La DMZ de sécurité de l'ère SaaS-first.
109
DLP (Data Loss Prevention)
Système qui empêche l'exfiltration non autorisée de données sensibles — PII, numéros de carte, secrets commerciaux. Deep content inspection + enforcement de policies sur endpoint, réseau, email et cloud. Leaders : Symantec DLP, Forcepoint, Microsoft Purview, Netskope. Cœur de la compliance GDPR, KVKK, HIPAA.
110
IAM (Identity & Access Management)
Plateforme qui répond à « qui peut accéder à quel système, avec quels droits ? ». Source unique d'identité (Okta, Azure AD/Entra, Auth0, Ping Identity), SSO, MFA, automation joiner-mover-leaver, RBAC/ABAC. Centre de toute architecture zero-trust moderne.
111
Privileged Access Management (PAM)
Plateforme qui gère et audite les comptes privilégiés — admin, root, break-glass. Accès just-in-time, password vault, session recording, workflows d'approbation. CyberArk, BeyondTrust, Delinea, HashiCorp Boundary en leaders ; contrôle principal contre insider threat et privilege escalation.
112
KYC (Know Your Customer)
Obligation réglementaire financière de vérifier l'identité client. Étapes : documents (ID, passeport), liveness check (selfie, vidéo), adresse (facture), source des fonds. Étape obligatoire pour banques, exchanges crypto et fintechs ; la violation = amendes en millions et retrait de licence.
113
AML (Anti-Money Laundering)
Contrôles réglementaires et opérationnels contre le blanchiment d'argent. Transaction monitoring, Suspicious Activity Reports (SAR), sanctions screening (OFAC, UE, ONU), check PEP (Politically Exposed Person). Fonction compliance des banques et fintechs ; FinCEN et FATF en standards globaux.
114
PCI DSS Level 1
Le standard de sécurité carte le plus strict, pour les entreprises traitant 6 M+ de transactions cartes par an. Audit annuel sur site par un QSA (Qualified Security Assessor), scans de vulnérabilités trimestriels, pentests et revues de segmentation. Stripe, Adyen et Shopify Payments sont certifiés Level 1.
115
Embedded Finance
Intégrer des services financiers — paiements, crédit, assurance, comptes bancaires — directement dans des produits non-financiers. Exemples : compte driver Uber, Shopify Capital, Tesla Insurance, Apple Card. Construit sur les fournisseurs Banking-as-a-Service (Stripe Treasury, Unit, Synapse) ; marché projeté à 7 000 Md $+ d'ici 2030.
116
Apple Pay / Google Pay (Wallet)
Wallet numérique où les données carte sont tokenisées et stockées sur le téléphone ou le wearable, puis utilisées pour des paiements NFC ou en ligne. Le taux de fraude tombe de 50 %+ sur les transactions card-not-present ; backend Visa Token Service et Mastercard MDES. Le NFC iOS s'est ouvert aux wallets tiers en 2024 (DMA UE).
117
Direct Debit (SEPA DD / BACS)
Pull pré-autorisé sur le compte bancaire du client pour des paiements récurrents — loyer, factures, abonnements. SEPA Direct Debit en Europe, BACS Direct Debit au UK, ACH Debit aux États-Unis. Standard pull-payment des subscription businesses et utilities ; règles : pre-notification, mandate ID, droit au chargeback.
118
Wire Transfer
Virement bancaire haut-montant en temps réel — domestique via Fedwire aux États-Unis, international via SWIFT. Settlement le jour même, frais 25-50 $, irréversible. Rail standard pour le B2B haut-montant et l'achat immobilier ; plus rapide et plus cher que l'ACH.
119
Cross-Border Payment
Paiement international qui traverse devises et réseaux bancaires. Le correspondent banking SWIFT classique prend 2-5 jours et 2-5 % de frais ; alternatives modernes : Wise, Revolut, Stripe Cross-Border, stablecoins blockchain comme USDC. Le marché cross-border B2B mondial a dépassé 150 000 Md $ en 2024.
120
Authorization vs Settlement
Les deux étapes d'une transaction carte. Authorization : pose un hold sur la limite de la carte (secondes) ; Settlement : transforme ce hold en débit réel sous 1-3 jours ouvrés. En e-commerce, on autorise à la commande et on capture/settle à l'expédition ; au resto, on autorise puis ajuste au settlement pour le pourboire.
121
Chargeback
La banque du client annule une transaction → remboursement + frais chargeback 15-50 $ pour le marchand. Motifs : « item non reçu », fraude, charge dupliquée. Séquence moderne : pre-arbitration → arbitration. Visa Compelling Evidence 3.0 (2023) renforce les outils d'evidence côté marchand.
122
Friendly Fraud
Le client a bien reçu et utilisé le produit, mais ouvre un chargeback en disant « je ne reconnais pas ». 60-80 % des chargebacks e-commerce sont du friendly fraud. Défense côté marchand : screenshots de la commande, tracking, match IP, confirmation de livraison avec signature.
123
Interchange Fee
Frais que la banque acquéreuse paie à la banque émettrice (celle du porteur). Fixés par les schedules Visa/Mastercard — ~1,5-3 % aux US, 0,2-0,3 % en UE (cap PSD2). Plus grosse part du ~2,5 % de frais marchand total et ligne de revenus la plus rentable des fintechs.
124
Acquirer Bank vs Issuer Bank
Les deux bouts d'une transaction carte. Issuer Bank : banque qui donne la carte au porteur (limite, billing). Acquirer Bank : banque intégrée au payment processor du marchand (merchant funding, settlement). Stripe et Adyen travaillent surtout avec l'acquirer ; le partenaire back-end du marchand.
125
eKYC / Digital KYC
Le successeur 100 % digital du KYC. Vérification IA d'un selfie + document d'identité via Onfido, Jumio, Veriff ou Persona ; onboarding en 30 secondes-2 minutes avec revue manuelle en fallback. Detection IA de tampering de document et liveness anti-spoofing sont essentielles. L'avantage conversion des fintechs modernes.
126
Card Brand (Visa / Mastercard / Amex)
Les propriétaires des réseaux carte. Visa et Mastercard sont open-loop (n'importe quelle banque peut être issuer ou acquirer) ; Amex et Discover sont closed-loop (eux-mêmes la banque). Part de volume globale : Visa ~38 %, Mastercard ~28 %, Amex ~22 % ; Troy est le réseau local turc. Interchange + network fee de la brand posent le coût marchand.
127
Card-Present vs Card-Not-Present
CP : le client est physiquement en magasin avec la carte — puce + PIN, NFC, swipe. CNP : e-commerce, téléphone, mail-order. Le fraud CNP est 8-10× le CP ; 3DS2, tokenisation et fraud scoring sont obligatoires. L'écart de profil de risque fondamental entre brick-and-mortar et online retail.
128
Open Banking / PISP / AISP
Deux rôles tiers créés par la PSD2. AISP (Account Information Service Provider) : agrégation de comptes, financial planning — Mint, Tink. PISP (Payment Initiation Service Provider) : initiation de paiement directement depuis le compte bancaire — Trustly, GoCardless Instant. Rival direct des réseaux carte.
129
HIPAA
Loi américaine de 1996 sur la privacy des données de santé. La PHI (Protected Health Information) combine identité patient et état de santé ; chiffrement storage + transit, access logs et audit trail de 6 ans obligatoires. Amendes de 50K à 1,5 M $ par infraction ; la conformité HIPAA est non-négociable pour tout SaaS vendant à la santé.
130
RegTech (Regulatory Technology)
Segment tech qui automatise les process de compliance et de régulation. Couvre AML/KYC (ComplyAdvantage, Chainalysis), reporting réglementaire (NICE Actimize, FIS Protegent), automation fiscale (Avalara, TaxJar) et reporting GDPR/CSRD. Investissement RegTech > 15 Md $ en 2024 ; catégorie supplier la plus dynamique pour banques, assureurs et fintechs.
131
InsurTech
Segment tech qui digitalise l'assurance. Lemonade (P&C, claims IA), Root (auto avec telematics), Hippo (assurance smart home), Coalition (cyber-assurance) et Wefox dominent ; en Turquie, Quick Sigorta et BoMonti. Le pendant data-driven et customer-experience-first de l'assurance legacy.

— ARBRE DE DÉCISION

L'opération first-party est-elle adaptée à vous ?

Répondez Oui/Non à 4 questions ; la recommandation de conclusion est claire.

01 / 04

Votre budget publicitaire mensuel dépasse-t-il 30 k USD ?

Le seuil à partir duquel la récupération de signal devient économiquement significative.

— LET'S BEGIN

Quelle confiance accordez-vous à vos pixels ?

En 2 heures de signal audit, nous identifions les conversions perdues, les problèmes de consent et les opportunités warehouse.

Demander un signal auditVoir un exemple d'architecture