← Sécurité et confiance
JOURNAL DES MODIFICATIONS DE SÉCURITÉ

Journal des modifications de sécurité

Un journal continu des améliorations de sécurité que nous déployons. Nous publions des correctifs, pas des exploits. Les entrées sont uniquement ajoutées et restent publiées en permanence.

2026-10-14Dernière
Entrées longues analysées par fenêtres, facturées selon leur taille
  • Entrées longues en fenêtres : l’API d’analyse évalue les entrées de plus de 2 000 caractères dans jusqu’à 20 fenêtres qui se chevauchent, en incluant toujours la fin du texte, au lieu des seuls 512 premiers jetons ; ainsi, une instruction cachée plus loin dans un long résultat d’outil ou dans un fichier ne reste plus hors de ce que le modèle lit. Les entrées plus courtes peuvent le demander avec "long_input": "windows". Référence de l’API
  • Facturation selon la taille : un appel couvre jusqu’à 2 000 caractères ; chaque tranche supplémentaire de 1 000 caractères, ou fraction de celle-ci, compte pour un appel de plus (20 000 caractères font 19 appels). Chaque réponse indique input_chars et billed_calls. Les entrées de 2 000 caractères ou moins sont facturées comme auparavant. Quotas
2026-10-13
Authentification à deux facteurs et adresses e-mail vérifiées
  • Authentification à deux facteurs et passkeys : les comptes peuvent ajouter une application d’authentification ou une clé de sécurité, et une connexion par passkey compte comme second facteur. Elle est facultative pour les comptes personnels et obligatoire pour les membres d’une organisation et pour quiconque l’active. La création ou l’affichage d’une clé d’API exige une connexion récente et, le cas échéant, le second facteur. Sécurité du compte
  • Adresses e-mail vérifiées uniquement : une adresse n’est une identité qu’une fois vérifiée. Les clés d’API, la facturation, l’usage, les preuves et les organisations refusent une session dont l’adresse n’est pas vérifiée, et le tableau de bord invite à la vérifier au lieu de déconnecter l’utilisateur. La création de compte sur une ancienne connexion de base de données qu’aucune application n’utilisait pour l’inscription a été fermée.
  • E-mails de vérification depuis notre propre domaine : les e-mails de compte viennent désormais de security@usezn.com et leurs liens pointent vers auth.usezn.com.
  • Révocation plus rapide : révoquer une clé d’API ou un jeton d’organisation ne nécessite qu’une connexion récente, et non un second facteur ; ainsi, une clé divulguée ou un ordinateur portable perdu peuvent être coupés immédiatement.
  • Les jetons d’organisation ne peuvent plus être verrouillés : les mauvais secrets envoyés avec l’identifiant public d’un jeton ne suspendent plus ce jeton ; ils déclenchent une alerte et apparaissent dans le journal d’activité de l’organisation.
  • Les changements de facturation exigent un second facteur : le propriétaire d’une organisation doit disposer de l’authentification à deux facteurs pour ouvrir le portail de facturation, modifier le nombre de sièges ou le plafond de paiement à l’usage, ou pour attribuer le rôle d’administrateur ou d’auditeur à quelqu’un.
  • Galvanize 2 dans la vérification cloud : depuis le 12 octobre, la vérification cloud facultative utilise Galvanize 2 ; Galvanize-60M reste la solution de repli automatique. Détails
  • zn-gate 1.6.0 : les hooks d’agent refusent aussi les commandes d’administration zn écrites sous forme d’appel de paquet versionné (npx, pnpm dlx, bunx avec zn-gate@<version>), qui passaient auparavant. Avis
  • zn-gate 1.5.1 : sous Windows, zn run ne lance les fichiers batch que par le cmd.exe du système, de sorte qu’un programme choisi via l’environnement ne peut plus recevoir de valeurs secrètes. Sur toutes les plateformes, il ne transmet plus les réglages de démarrage de l’interpréteur hérités de l’environnement de l’appelant, comme NODE_OPTIONS, à un programme qui reçoit des secrets. Avis
2026-10-09
Renforcement de la sécurité des sessions
  • Révocation instantanée côté serveur : une époque de révocation par utilisateur invalide désormais les jetons émis auparavant dès qu’un mot de passe est modifié ou réinitialisé, ou lorsque l’utilisateur choisit « Se déconnecter de tous les appareils », sans attendre l’expiration des jetons.
  • Durées de vie des jetons réduites : les jetons d’accès passent de 24 heures à 15 minutes, avec rotation des jetons d’actualisation et détection de réutilisation (un jeton copié puis réutilisé révoque toute la chaîne).
  • La déconnexion renforce la session : une déconnexion normale force désormais la rotation du jeton d’actualisation, si bien qu’un jeton d’actualisation capturé auparavant n’est plus utilisable.
  • Déconnexion automatique en cas de rejet : les clients se déconnectent immédiatement lorsque le serveur rejette une session.
  • Domaine d’authentification propre : la connexion et la déconnexion passent désormais par auth.usezn.com au lieu d’exposer le locataire du fournisseur d’identité sous-jacent.
  • Gestion des erreurs aux couleurs de la marque : les erreurs d’identité affichent désormais une page aux couleurs de usezn, et les sessions expirées renvoient vers la page de connexion avec un avis clair « session expirée » au lieu d’une redirection cassée.

Merci aux chercheurs indépendants crédités dans notre Panthéon de la sécurité — des rapports comme les leurs permettent ces améliorations. Vous avez trouvé quelque chose ? Écrivez à security@usezn.com.