Notes de version

S'applique à :

Cockpit v2

Cette page résume chaque version de production de DuoKey Cockpit. La version la plus récente figure en premier. Les changements qui modifient un comportement existant sont listés sous Changements de comportement dans chaque version.

Version	Publication	Thème principal
2.0.9	11 octobre 2026	Les étiquettes DKE suivent la rotation des clés, CA du relais SMTP dans les formulaires de paramètres
2.0.8	9 octobre 2026	URL d’étiquette DKE stable et historique des clés, extensions Secure Folders et S/MIME, import OpenPGP
2.0.7	6 octobre 2026	Politiques d’accès AND/OR, surveillance de l’état des coffres, cibles privées on-prem
2.0.5 / 2.0.6	6 octobre 2026	Secure Folders, DKE Mail Quarantine, S/MIME géré, Merkle Tree CA, FileVault
2.0.4	24 septembre 2026	Traçage OpenTelemetry, découverte DuoKey CPM élargie
2.0.3	10 septembre 2026	Diagnostic des connexions on-prem
2.0.2	9 septembre 2026	Référentiels de conformité saoudiens, cible SIEM VictoriaLogs, source de scan F5
2.0.1	19 août 2026	Correctif de configuration du front-end web
1.0.1 / 2.0.0	17 août 2026	CAP M365 Connector, nouvelles cibles de déploiement de certificats, durcissement de l’audit
1.0.0	9 août 2026	Première version de production

Numéros de version

2.0.0 est le même build que 1.0.1, et 2.0.6 le même build que 2.0.5. Seul le numéro de version a changé.

2.0.9

Publication : 11 octobre 2026

DKE : les étiquettes qui désignent une clé suivent la rotation. Une étiquette de confidentialité dont l’URL désigne encore une clé (/dke/{key_id}, la forme utilisée par toutes les étiquettes jusqu’à la 2.0.7) chiffre désormais les nouveaux documents avec la clé courante du service après une rotation, sans modification de l’étiquette dans Purview. La clé retirée de la rotation reste en déchiffrement seul pour les documents qui l’utilisent.
DKE : renommage de clé. Renommer une clé ne laisse plus l’ancien nom sur le service DKE, ni pour la clé courante ni pour les clés retirées de la rotation. Les URL n’ont jamais contenu le nom de la clé, donc rien n’était cassé.
SMTP : certificat CA du relais dans les formulaires. Lorsque TLS est activé, Paramètres de l’hôte → Email / SMTP et Notifications → Paramètres SMTP acceptent un certificat CA (PEM) pour un relais dont le certificat provient d’une PKI privée. Il s’applique à ce relais uniquement, sans redémarrage.
Paramètres. L’onglet Email / SMTP du tenant affiche désormais le vrai formulaire. Les onglets Général, LDAP et Facture sont supprimés : ils n’enregistraient rien. Les informations de facturation restent sous Abonnement → Profil de facturation.

Changements de comportement

Après une rotation, une étiquette qui contient encore /dke/{key_id} chiffre avec la nouvelle clé. Une clé retirée, ou une clé que le service n’a jamais servie, répond toujours 404.

2.0.8

Publication : 9 octobre 2026

DKE : URL d’étiquette stable. L’URL d’étiquette est désormais /dke/{slug}. Elle désigne le service, et non une clé : une rotation de clé n’exige donc plus de nouvelle étiquette.
DKE : historique des clés par service. Une clé retirée de la rotation reste en déchiffrement seul jusqu’à ce qu’un administrateur la retire. Une clé retirée peut être restaurée. La page du service affiche l’URL d’étiquette et l’historique des clés.
Secure Folders. Chiffrement persistant, responsables de dossier et double contrôle, partage externe et export de clé. Les programmes peuvent être approuvés pour ce qu’ils sont, et le contrôle du lancement et l’isolation de l’interface deviennent des politiques de dossier. Un journal d’accès enregistre les accès aux fichiers. Le scellement utilise une cryptographie post-quantique hybride. L’agent Windows est aussi packagé pour Configuration Manager (SCCM / MECM).
S/MIME. Correspondants externes et portail de dépôt de clés publiques. Le séquestre de clés est scellé avec une clé du coffre du tenant.
OpenPGP. Import de clés privées et de trousseaux pour migrer un parc OpenPGP existant.
Merkle Tree CA. Aligné sur le draft 07 de la spécification IETF (identifiants IANA par CA).
SIEM. Les événements d’activité nommés et le journal d’accès Secure Folders sont transmis. Les cibles Splunk et Elastic acceptent une CA privée, et un échec de connexion indique sa cause.
SMTP. Authentification NTLM pour les relais qui ne proposent rien d’autre (par exemple un connecteur de réception Exchange avec l’authentification Basic désactivée). Erreurs d’authentification plus claires. Saisissez le nom d’utilisateur sous la forme DOMAIN\user.
DuoKey CPM. Le script de campagne sur liste d’URL produit un rapport interactif (filtres, carte des pays, matrice application par pays), ignore les cibles injoignables après 5 secondes et continue lorsqu’un appel à l’agent expire.
Agents. Chaque binaire d’agent livré porte sa version de release.

2.0.7

Publication : 6 octobre 2026

Politiques d’accès : AND ou OR entre les onglets de règles. Chaque politique choisit désormais comment ses onglets de règles (Utilisateur, Appareil/IP, Localisation, Heure, Groupes) se combinent : Tous les onglets doivent correspondre (All tabs must match (AND)) ou Un seul onglet suffit (One tab is enough (OR)). Voir Politiques d’accès.
Surveillance de l’état des coffres. Toutes les 5 minutes, le Cockpit vérifie chaque coffre distant actif et journalise une ligne d’erreur vault_unreachable par coffre injoignable, prête pour une alerte SIEM, puis une ligne vault_recovered lorsqu’il répond de nouveau. Le panneau de disponibilité de la page du coffre affiche désormais ces vérifications enregistrées (disponibilité, latence, périodes d’indisponibilité) au lieu de valeurs simulées. Voir Coffres.
On-prem : cibles privées. Une liste d’autorisation unique, valable pour tout le déploiement, permet aux connecteurs (magasins de secrets, fournisseurs d’identité, webhooks, ticketing, émetteurs de certificats, SMTP) d’atteindre des systèmes du réseau privé du client. Voir Configuration du Cockpit.
On-prem : binaires depuis un répertoire local. Sans stockage objet, le Cockpit sert l’agent de scan, l’agent HSM, la DLL du fournisseur SQL Server EKM et la bibliothèque PKCS#11 depuis un répertoire local.
Audit. Le journal d’audit enregistre le message d’erreur du backend (par exemple la raison du refus d’un déchiffrement DKE), secrets masqués et texte limité à 1000 caractères.
Fournisseur Terraform. Releases signées avec vérification côté client. Il peut initialiser une plateforme SaaS protégée par authentification à deux facteurs.
DuoKey CPM. Un script de campagne analyse une longue liste d’URL avec l’agent. Les résultats indiquent si un protocole dispose déjà d’un standard post-quantique, quelles bibliothèques TLS négocient le groupe hybride par défaut, ainsi que le protocole et le périmètre de code des résultats sur le code source.
Personnalisation. Le CSS personnalisé est limité aux tokens de thème.

Changements de comportement

Les nouvelles politiques d’accès utilisent AND sauf si OR est choisi, y compris via l’API lorsque le paramètre est omis. Les politiques existantes restent en OR jusqu’à ce qu’un administrateur les modifie.
Les déploiements qui n’ont jamais défini le niveau de détail de l’audit enregistrent désormais les messages d’erreur dans les lignes d’audit (niveau Standard). Choisissez Minimal sous Paramètres → Audit pour y renoncer.
Le Cockpit appelle désormais chaque coffre distant actif (KMS cloud compris) toutes les 5 minutes pour le contrôle d’état. La tâche peut être suspendue sous Administration → Tâches planifiées.

2.0.5 / 2.0.6

Publication : 6 octobre 2026

Secure Folders (nouveau). Dossiers chiffrés gérés depuis le Cockpit, avec un agent Windows, un client macOS et un package Intune pour l’agent Windows.
DKE Mail Quarantine (nouveau). Protège les messages déjà stockés dans les boîtes Exchange Online avec une étiquette de confidentialité DuoKey DKE : les messages plus anciens qu’un âge choisi sont réécrits en messages protégés, pièces jointes comprises, et l’original en clair est déplacé dans un dossier de quarantaine masqué. Un agent côté client effectue le travail, piloté depuis le Cockpit.
S/MIME géré (nouveau). Certificats par utilisateur, séquestre et récupération de clés, distribution via Intune.
Merkle Tree CA (nouveau). Merkle Tree Certificates (draft IETF) avec journal d’émission, checkpoints et landmarks.
Chiffrement de disque. FileVault avec séquestre de la clé de récupération.
DuoKey CPM. Les actifs cryptographiques sont dédupliqués entre scans, et un actif remplacé au même emplacement par un scan plus récent est résolu. Un agent de scan peut téléverser son résultat comme un scan ordinaire. Les scans de code source détectent les algorithmes désignés par des identifiants JOSE et XML-DSig, et signalent où le code manipule des certificats ou active TLS vers un autre système.
Vanta. Référentiel personnalisé Quantum Readiness et ressources personnalisées.
Connexion. Le déverrouillage d’une session SSO inactive fonctionne avec TOTP ou Windows Hello.
Correctifs. La politique d’accès d’un service DKE peut être retirée, et une politique invalide est refusée proprement. La page de modification de clé est rétablie. Les contrôles d’état sont bornés lorsque le cache est indisponible. Le HTML des e-mails rédigé par les administrateurs est assaini. Les déploiements on-prem peuvent autoriser des relais SMTP privés.

Changements de comportement

Attendez-vous à davantage de résultats vulnérables au quantique lors du prochain scan de code source : les bibliothèques JWT et SAML qui sélectionnent RSA ou ECDSA sont désormais comptabilisées. Les résultats dans le code de test et d’exemple passent au niveau Info.

2.0.4

Publication : 24 septembre 2026

Observabilité. Traçage OpenTelemetry sur OTLP/HTTP et logs JSON, avec des spans sur les coffres, les gestionnaires de secrets, les services, la connexion et les tâches de fond, propagés entre services.
DuoKey CPM. STARTTLS et tout port TLS peuvent être analysés depuis la CLI, l’API REST et MCP. Nouveau : un recensement de parc sans agent, un CBOM déterministe, l’empreinte des services lors de la découverte, l’analyse passive de 11 protocoles en clair, un audit de la stratégie NTLM Windows, l’import XML nmap et un diff de scans. Davantage de langages (Ruby, PHP, Swift, Kotlin, Zig) et d’écosystèmes de dépendances (dont Go et Conan), l’évaluation de la configuration TLS nginx et Apache, des correspondances NIS2 et DORA, et la détection de la signature de zones DNSSEC en ML-DSA-44.
Secrets. Les identifiants encore stockés migrent vers le backend de secrets configuré.
Splunk. L’application DuoKey Cockpit Security se télécharge depuis une intégration configurée.
Correctifs. L’adaptateur Sepior utilise AES-GCM. Le magasin de clés Software Vault est cloisonné par tenant. L’import de clés par synchronisation de coffre fonctionne. La décomposition du Quantum Risk Score correspond au score affiché. Les réponses portent l’identifiant de requête.

2.0.3

Publication : 10 septembre 2026

Diagnostic. Les erreurs de connexion vers les back-ends on-prem conservent leur cause complète, afin que les échecs puissent être diagnostiqués.

2.0.2

Publication : 9 septembre 2026

Conformité. Les rapports sont en anglais avec un export HTML aux couleurs du tenant. Nouveaux référentiels saoudiens : NCA ECC-2, SAMA CSF et PDPL / NDMO. Un rapport de conformité peut être supprimé.
DuoKey CPM. F5 BIG-IP comme source de scan. Une limite par tenant de scans simultanés, fixée selon l’édition.
SIEM. VictoriaLogs comme cible syslog, et syslog sur TLS.
Splunk. L’application DuoKey Cockpit Security est versionnée et packagée.
Correctifs. Les fournisseurs d’identité destinés uniquement au provisioning ne peuvent plus servir à la connexion. Une panne Redis au démarrage n’arrête plus le Cockpit. Le rôle Admin intégré peut être attribué. Correctifs du bundle Oracle TDE. Mises à jour de sécurité des dépendances.

2.0.1

Publication : 19 août 2026

Correctif. Configuration du conteneur du front-end web.

1.0.1 / 2.0.0

Publication : 17 août 2026

CAP M365 Connector. Une clé de coffre liée à OAuth pour SharePoint, Power Apps et Excel. Désactiver le connecteur révoque ses jetons.
Coffres. Nouveau type de coffre Managed Multi-Tenant MPC.
Déploiement de certificats. Nouvelles cibles : Nginx, Java Keystore, Windows CAPI et Forcepoint NGFW. Connecteurs F5, Fortinet et NetScaler durcis.
PKI. Les modèles de certificats s’appliquent à l’émission. L’enregistrement de l’émetteur cert-manager et son onglet Certificats fonctionnent de bout en bout. Les réponses ACME utilisent des URL absolues. Enrôlement SCEP, CMP et EST durci.
Agents HSM. Rédaction de politiques à portée limitée.
DKE. Le déchiffrement applique les politiques de contrôle cryptographique et enregistre l’appelant réel dans le journal d’activité.
Oracle TDE. La bibliothèque PKCS#11 est compilée pour Oracle Linux 7 (glibc 2.17). Correctifs du bundle pour Windows et Linux.
AWS XKS. Les coffres adossés à un agent passent par la passerelle HSM, et les recherches de clés sont mises en cache sur le chemin de chiffrement/déchiffrement.
Audit. La chaîne de hachage tient sous des écritures concurrentes. Les purges de rétention s’exécutent par lots. Les sondes d’état restent hors de la piste d’audit. Un administrateur de l’hôte peut purger la piste d’audit d’un tenant.
Permissions. Les utilisateurs en lecture seule ne voient plus les boutons de modification et de suppression, et chaque route et entrée de menu vérifie sa permission.

1.0.0

Publication : 9 août 2026

La première version de production de Cockpit v2. Elle réunissait :

Domaine	Inclus
Clés et coffres	Software Vault, DuoKey MPC KMS, Securosys, Sepior (Blockdaemon), agents HSM on-prem, KMS cloud et gestionnaires de secrets externes
Intégrations	DKE 365, Oracle TDE, SQL Server EKM, Azure EKM, AWS XKS, Google CSE, KMIP, applications SaaS BYOK et DSPM, Crypto Agility Plane (CAP)
PKI	Cycle de vie des CA, enrôlement ACME, EST, SCEP et CMP, déploiement de certificats (F5, Fortinet, NetScaler, Azure App Service, Entra ID App Proxy), certificats ML-DSA et composites (hybrides), autorité de certification SSH
DuoKey CPM	Découverte cryptographique (réseau, code source, dépendances, agents), CBOM, rapport Quantum Risk Score, référentiels de conformité
Accès et gouvernance	RBAC avec unités organisationnelles, politiques d’accès ABAC, passkeys et MFA, super-administrateur break-glass, piste d’audit chaînée par hachage, tableau de bord OWASP ASVS
Automatisation	Serveur MCP avec packs de capacités, intégrations ServiceNow, Splunk et Vanta, fournisseur Terraform

Versions antérieures

Les versions antérieures de la solution Cockpit on-premise (1.4 et précédentes) ont leurs propres notes : voir OpenShift on-prem → Notes de version.

2.0.9​

2.0.8​

2.0.7​

2.0.5 / 2.0.6​

2.0.4​

2.0.3​

2.0.2​

2.0.1​

1.0.1 / 2.0.0​

1.0.0​

Voir aussi

2.0.9

2.0.8

2.0.7

2.0.5 / 2.0.6

2.0.4

2.0.3

2.0.2

2.0.1

1.0.1 / 2.0.0

1.0.0