---
title: "Éclair 1.10.4 : second audit de sécurité, six failles corrigées"
description: "Éclair 1.10.4 corrige les 6 failles du second audit de sécurité, dont une haute dans l’outil de publication. Ce qui change, ce qu’il faut faire, le rapport."
url: "https://eclaircms.org/blog/eclair-1-10-4-second-audit-de-securite"
lang: "fr"
author: "Thierry Gustin"
published: "2026-11-04"
updated: "2026-11-10"
---

# Éclair 1.10.4 : second audit de sécurité, six failles corrigées

> **L’essentiel** — Sortie le 4 novembre 2026, Éclair 1.10.4 corrige les six failles trouvées par un second audit du code de la 1.10.3 : une haute, dans l’outil qui fabrique les versions et jamais dans un site installé, une moyenne liée à Google Drive et quatre basses, plus six durcissements. Cet audit est une passe partielle, et le rapport le dit. Mise à jour en un clic depuis la 1.10.0, après une sauvegarde.

Éclair 1.10.4, sortie le 4 novembre 2026, corrige les six failles trouvées par un second audit de sécurité : une haute, mais dans l’outil de publication du mainteneur et jamais dans ton site, une moyenne liée à Google Drive et quatre basses. Aucune n’est critique. Le rapport complet, en anglais, est en ligne : [lire le rapport de sécurité (PDF, 18 pages)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf).

## Qu’est-ce qui change avec Éclair 1.10.4 ?

| Point | Ce qu’il faut retenir |
| --- | --- |
| Audit visé | Le code de la 1.10.3, relu avec une méthode plus poussée (profil *deep*) |
| Failles confirmées | 6 : 1 haute (outil de publication), 1 moyenne (Google Drive), 4 basses |
| Pistes à valider | 6 pistes liées à l’hébergeur, corrigées dans le code par précaution |
| Correctifs | 13, chacun accompagné d’un test qui vérifie que le défaut ne revient pas |
| Vérifications | 964 vérifications automatiques, sur le code et sur l’archive signée |
| Archive | 621 Ko, mise à jour signée (Ed25519) et vérifiée avant tout changement |
| Ce que tu dois faire | Mettre à jour après une sauvegarde, puis reconnecter Google Drive si on te le demande |

Ton site public ne change pas d’un octet, et tes contenus ne bougent pas. La veille, la 1.10.3 avait corrigé les 15 failles du premier audit : [lis l’article sur Éclair 1.10.3](https://eclaircms.org/blog/eclair-1-10-3-audit-de-securite).

## Pourquoi un second audit juste après la 1.10.3 ?

Une correction de sécurité se vérifie. Le second audit a donc repris chaque faille et chaque piste du premier, sur le code modifié, avec de nouveaux agents. Résultat : les correctifs de la 1.10.3 ont tenu.

Il a aussi cherché plus loin. Le profil *deep* de la [méthode *security-audit* de Cloudflare](https://github.com/cloudflare/security-audit-skill) ajoute les moments de la vie d’un site : juste après une mise à jour, après la restauration d’une sauvegarde, lors d’un retour en arrière ou d’une réinstallation. Plusieurs des nouvelles failles viennent justement de ces moments-là.

Comme le premier, cet audit s’est fait en lisant le code source et en le testant localement, dans un bac à sable verrouillé par le système, sur des données factices, sans accès au réseau et sans toucher à aucun site en ligne. Il a mobilisé 54 agents ; avec le premier audit et les corrections, cela fait 148 agents en tout.

## Qu’a trouvé le second audit de sécurité ?

Le second audit a examiné 13 candidats distincts. Six ont été confirmés :

- **Une haute, dans l’outil de publication** : la commande qui sert au mainteneur à signer de nouveau une version pouvait signer une archive remplacée par quelqu’un qui n’a pas la clé. Elle ne signe plus qu’une archive déjà signée pour cette version. Ce défaut ne concerne aucun site installé.
- **Une moyenne, Google Drive** : une connexion faite avant la 1.10.3 ne disait pas quel administrateur l’avait établie. Un administrateur supprimé ou rétrogradé aurait donc pu continuer à recevoir les sauvegardes. Ces connexions sont désormais retirées.
- **Quatre basses** : restaurer une sauvegarde ne réveille plus des sessions coupées par **Déconnecter tout le monde** ; dépublier vide le cache même si une écriture échoue ensuite ; **Revenir à la version précédente** garde un `.htaccess` modifié depuis la mise à jour ; reconstruire l’index ne republie plus un contenu supprimé, qui revient en brouillon.

Les six pistes restantes dépendent de l’hébergeur, du navigateur ou de la facturation d’un service tiers. Impossible de les observer hors ligne, elles sont donc corrigées par précaution, comme un dernier candidat sur les redirections réservées que la vérification n’a pas pu trancher. Le rapport décrit chaque problème et sa correction, sans aucun détail d’exploitation.

## Pourquoi parle-t-on d’une passe partielle ?

Parce que c’est le cas, et que le rapport le dit noir sur blanc. Ce second audit a été volontairement raccourci pour en limiter le coût :

- **6 zones** sur 71 ont été reportées et jamais explorées, par exemple les archives de sauvegarde stockées ou les quotas du connecteur MCP ;
- **aucune relecture finale** de la couverture n’a été menée ;
- **les correctifs de la 1.10.4** sont couverts par des tests, mais n’ont pas encore été audités eux-mêmes.

Le rapport ne prétend donc pas que la 1.10.3 ou la 1.10.4 a été couverte en entier. Il recommande de reprendre l’audit sur ces zones, puis d’auditer la 1.10.4. Retiens l’essentiel : aucune faille critique dans les deux audits, et toutes les failles confirmées sont corrigées.

## Que faire après la mise à jour vers la 1.10.4 ?

Le plus souvent, rien. Un seul cas te demande un geste : si tu avais connecté Google Drive avant la 1.10.3, la connexion est retirée, et la page **Sécurité** te le signale.

1. Ouvre **Sécurité › Sauvegardes sur Google Drive**.
2. Clique sur **Connecter Google Drive**, puis saisis le code affiché sur **google.com/device**.
3. Vérifie ton rythme de sauvegarde, puis clique sur **Enregistrer**.

Tes sauvegardes déjà envoyées restent dans ton Drive. Autres changements à connaître :

- **Les images d’IA refusées** par le filtre du fournisseur (FLUX, Ideogram) comptent désormais dans ton budget IA mensuel, comme toute image facturée.
- **Si `data/site.php` disparaît**, l’installation reste bloquée tant que tu n’as pas supprimé `data/install-window.php` par FTP. Réinstaller garde tes comptes, tes clés et tes contenus.
- **Tes fichiers de données** et tes archives de sauvegarde sont créés privés dès le départ.

## Comment passer à Éclair 1.10.4 ?

Depuis la 1.10.0 ou plus, la mise à jour se fait en un clic :

1. Dans **Sécurité › Sauvegarde**, clique sur **Télécharger une sauvegarde**.
2. Ouvre **Administration › Mises à jour**.
3. Coche « J’ai une sauvegarde récente de mon site », puis clique sur **Mettre à jour**.

La mise à jour est signée et vérifiée avant le moindre changement, avec retour automatique en cas de problème. La version proposée aujourd’hui contient tous ces correctifs.

Depuis la 1.9 ou avant, passe par FTP une dernière fois : l’archive t’attend sur la page [Télécharger](https://eclaircms.org/telecharger), et le guide [Mettre à jour, sauvegarder, déménager](https://eclaircms.org/documentation/mise-a-jour) détaille chaque étape. Le détail des versions est dans le [journal des modifications](https://eclaircms.org/changelog), et les protections d’Éclair dans [la sécurité d’Éclair](https://eclaircms.org/documentation/securite).

## Où lire le rapport de sécurité complet ?

Le rapport couvre les deux audits et les versions 1.10.3 et 1.10.4. Il est **en anglais**, au format PDF, sur 18 pages. Tu y trouveras la méthode, le bac à sable, chaque faille avec sa correction, les protections jugées solides et les limites de l’exercice.

[Télécharger le rapport de sécurité (PDF en anglais, 18 pages)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf)

Une question sur le rapport, ou un doute sur ton hébergement ? Écris-moi via la [page contact](https://eclaircms.org/contact).

## Questions fréquentes sur Éclair 1.10.4

### Mon site était-il exposé à la faille haute ?

Non. Elle touchait l’outil qui sert au mainteneur à fabriquer et signer les versions, jamais un site installé. Tes mises à jour restent signées et vérifiées avant le moindre changement.

### Dois-je reconnecter Google Drive ?

Seulement si ta connexion date d’avant la 1.10.3. Dans ce cas, la page Sécurité te le signale : clique sur Connecter Google Drive et saisis le code sur google.com/device. Tes anciennes sauvegardes restent dans ton Drive.

### Le second audit a-t-il tout vérifié ?

Non, et le rapport le dit : c’est une passe partielle. Six zones n’ont pas été explorées, et les correctifs de la 1.10.4 n’ont pas encore été audités. Les deux audits n’ont trouvé aucune faille critique.

### Pourquoi le rapport est-il en anglais ?

C’est la langue du journal officiel et du code d’Éclair. Le rapport décrit chaque problème et sa correction, sans aucun détail d’exploitation, et cet article en résume l’essentiel.

### Combien coûte la mise à jour vers la 1.10.4 ?

Rien : Éclair reste gratuit, sous licence AGPL-3.0. Seul changement côté budget : les images d’IA refusées par le fournisseur comptent désormais dans ton budget mensuel.

[Télécharger Éclair 2.3.0](https://eclaircms.org/telecharger)

— Thierry Gustin, Créateur d’Éclair CMS, consultant SEO et formateur IA · 10 novembre 2026