Directives de dépannage

Ce guide fournit un arbre de décision structuré pour diagnostiquer et résoudre les problèmes courants d'Enterprise Browser. Utilisez les catégories de symptômes ci-dessous pour identifier rapidement la cause probable et appliquer la résolution recommandée. Pour les problèmes spécifiques à l'installation, reportez-vous à la page Installation et Dépannage existante.

Arbre de décision des symptômes

Utilisez les catégories suivantes pour identifier le symptôme, puis suivez les étapes de diagnostic pour parvenir à une résolution.

Échecs d'installation et de mise à jour

Symptom: File permission errors or file access errors during installation

• Likely cause – Logiciel antivirus ou EDR bloquant le flux d'installation.
  
• Resolution – Autoriser les chemins d'accès suivants dans votre logiciel de sécurité :
  • C:\Users\<USERNAME>\AppData\Local\Netskope\Browser
    
  • C:\Users\<USERNAME>\AppData\Local\Netskope\NetskopeBrowserUpdater
    
  • C:\Users\<USERNAME>\AppData\Local\Temp
    
  • C:\Windows\Installer (installation MSI uniquement)
    
  • Clé de Registre : HKCU\Software\Netskope\Update
    

Symptom: MSI installation succeeds but no profile is created (MDM deployment)

• Likely cause – La création du profil a échoué silencieusement. Le programme d'installation MSI ne renvoie pas d'erreur si la création du profil échoue.
  
• Resolution – Vérifiez dans le registre Windows la valeur HKCU:\Software\Netskope\Update\LastInstallerError pour connaître le code de sortie :
  • 0 (ERROR_SUCCESS) – Profil créé avec succès.
    
  • 1602 (ERROR_INSTALL_USEREXIT) – Installation interrompue par l'utilisateur.
    
  • 1603 (ERROR_INSTALL_FAILURE) – La création du profil a échoué. Vérifiez que la licence est valide et que le périphérique peut atteindre le serveur de configuration.
    
  • 1619 (ERROR_INSTALL_PACKAGE_OPEN_FAILED) – Fichier MSI inaccessible. Vérifiez si un antivirus ou un EDR ne crée pas d'interférences.
    
  • 1638 (ERROR_PRODUCT_VERSION) – Une version plus ancienne existe. Supprimez complètement l'ancienne version et réessayez.
    

Problèmes de connectivité réseau

Symptom: “Failed to retrieve data. Check your network connection”

• Likely cause – Enterprise Browser ne peut pas accéder aux services de configuration de Netskope.
  
• Resolution – Vérifiez que les domaines et ports suivants sont accessibles à partir du périphérique :
  • https://nsbrowser-updates.<MP>.goskope.com – Mises à jour du navigateur et téléchargements du programme d'installation
    
  • https://nsbrowser-config.<MP>.goskope.com – Configurations du locataire et de l'utilisateur
    
  • eproxy-<tenant-name>.goskope.com:8090 – Proxy sécurisé pour le trafic internet
    
  • <tenant-name>.ebnpa.goskope.com:8090 – Proxy sécurisé pour les applications privées (si NPA est activé)
    

Symptom: ERR_TIMED_OUT when browsing

• Likely cause – Enterprise Browser ne peut pas se connecter au proxy sécurisé.
  
• Resolution – Vérifiez que eproxy-<tenant-name>.goskope.com:8090 est accessible. Vérifiez les règles du pare-feu pour le port 8090 (HTTP). Si un proxy d'entreprise est en place, assurez-vous qu'il autorise les connexions HTTP à ce point de terminaison.
  

Symptom: Intermittent 401 Unauthorized or 403 Forbidden on third-party sites

• Likely cause – Les filtres de sécurité du site Web cible ne reconnaissent pas la chaîne User-Agent d'Enterprise Browser.
  
• Resolution – Il s'agit d'une limite connue. Certains sites tiers ayant des politiques de validation de navigateur strictes peuvent rejeter les connexions par intermittence. Il n'existe actuellement aucun contournement configurable par le client. Si le problème persiste pour une application critique, remontez le problème au support de Netskope.
  

Échecs d'authentification et de SSO

Symptom: SSO login fails or gets stuck on the authentication screen

• Likely cause – La majorité des problèmes de SSO sont causés par une mauvaise configuration de l'IdP, en particulier par des domaines manquants dans la liste de contournement du proxy ou par une configuration incorrecte du proxy de transfert SAML.
  
• Resolution – Consultez la documentation de configuration de l'IdP pour votre fournisseur : Okta, PingIdentity ou Microsoft Entra. Vérifiez que tous les domaines IdP requis sont inclus dans la liste de contournement du proxy et que la configuration du proxy de transfert SAML correspond exactement au guide.
  

Symptom: “Your license is not correct” during profile creation

• Likely cause – La clé de licence est incorrecte ou a expiré.
  
• Resolution – Saisissez de nouveau la clé de licence avec précaution. Si l'erreur persiste, vérifiez le statut de la licence dans la console d'administration et générez-en une New si nécessaire.
  

Symptom: “License has been deleted” or “License was deactivated”

• Likely cause – L'administrateur a supprimé ou désactivé la licence.
  
• Resolution – Générez une New licence dans la console d'administration et partagez-la avec l'utilisateur.
  

Symptom: Microsoft Conditional Access policy blocking Enterprise Browser

• Likely cause – La politique d'accès conditionnel de l'organisation ne reconnaît pas Enterprise Browser.
  
• Resolution – Activez l'extension « Microsoft Single Sign-on » et définissez CloudAPauthEnabled dans la configuration du locataire.
  

Erreurs de certificat

Symptom: Certificate errors on iOS

• Resolution steps:
  1. Vérifiez que la version iOS est 17.0 ou ultérieure.
     
  2. Confirmer l'installation du certificat : Paramètres > Général > Gestion des périphériques et VPN — vérifiez que le certificat proxy local Netskope est installé.
     
  3. Confirmer la confiance du certificat : Réglages > Général > Informations > Réglages de confiance des certificats — vérifiez que Netskope Local Proxy CA est approuvée.
     
  4. Si le problème persiste, collectez les journaux et escaladez.
     

Problèmes de politique de protection du navigateur

Symptom: Copy/paste or print restrictions are not applied

• Resolution steps:
  1. Vérifiez que la politique est correctement configurée et attribuée à l'utilisateur ou au groupe dans la console d'administration.
     
  2. Vérifiez que l'utilisateur appartient au groupe ou à l'UO ciblé par la politique.
     
  3. Rechargez les politiques : fermez toutes les fenêtres du navigateur, rouvrez le navigateur et vérifiez à l'adresse netskope://policy.
     
  4. Remarque : Les politiques ne sont pas appliquées lorsqu'un New utilisateur est ajouté à un groupe/UO existant tant que la politique n'est pas mise à jour. Enregistrez à nouveau la politique pour déclencher la distribution.
     

Symptom: “Export as PDF” is not blocked by print restrictions

• Likely cause – Certaines applications (telles que Microsoft 365) offrent la fonction « Exporter au format PDF » via le menu d'impression, ce qui déclenche un téléchargement plutôt qu'une action d'impression.
  
• Resolution – Créez une politique DLP (Prévention des pertes de données) de protection en temps réel pour bloquer les téléchargements pour l'application affectée, en plus de la politique de blocage de l'impression.
  

Symptom: Screenshot protection is bypassed

• Likely cause – Scénarios connus où la protection par capture d'écran peut ne pas être efficace :
  • Outils de capture au niveau du noyau qui fonctionnent au niveau du pilote du système d'exploitation
    
  • Fonction de capture d'écran des outils de développement Chromium
    
  • Certaines extensions de navigateur utilisant des API internes du navigateur
    
  • macOS : duplication d'un onglet protégé ou redimensionnement de la fenêtre
    
  • Android : capture d'écran au niveau du système sur l'écran Aperçu/Récent
    
• Resolution – Il s'agit de limitations connues. Envisagez des contrôles DLP (Prévention des pertes de données) complémentaires pour les contenus hautement sensibles.
  

Symptom: Policies are not applied on SSL-bypassed connections

• Likely cause – Par conception, les politiques Enterprise Browser ne sont pas évaluées pour les domaines contournés dans les paramètres de contournement EB.
  
• Resolution – Si l'application de la politique est requise pour un domaine spécifique, supprimez-le de la liste de contournement.
  

Questions de performance

Symptom: Slow page loads or general performance degradation

• Resolution steps:
  1. Testez les mêmes sites dans un autre navigateur pour confirmer que le problème est spécifique à Enterprise Browser.
     
  2. Fermez les applications inutiles qui consomment des ressources système.
     
  3. Vérifiez qu'aucune règle de pare-feu d'entreprise ou filtre réseau n'ajoute de la latence.
     
  4. Vérifiez la sélection du POP NewEdge — Enterprise Browser utilise la résolution DNS pour une sélection optimale du POP, qui peut être différente de la sélection du POP lorsque le Netskope Client est actif.
     

Problèmes d'accès NPA (application privée)

Symptom: “Service Unavailable: Netskope was unable to…” when accessing private apps

• Resolution steps:
  1. Vérifiez que la définition de l'application NPA Browser Access est créée et qu'elle correspond au nom d'hôte de l'application privée.
     
  2. Vérifiez qu’une politique de protection en temps réel existe pour l’application.
     
  3. Vérifiez que <tenant-name>.ebnpa.goskope.com:8090 est accessible depuis le périphérique.
     
  4. Si vous utilisez Enterprise Browser avec le Netskope Client, vérifiez que l'exception Certificate Pinned App est correctement configurée.
     

Collecte des données de diagnostic

Si les étapes ci-dessus ne permettent pas de résoudre le problème, collectez les données suivantes avant de les communiquer au support Netskope.

Informations minimales requises

Collectez les informations suivantes pour chaque demande d'assistance :

• OS and browser version – Accédez à netskope://version et copiez la chaîne de caractères complète de la version.
  
• Chromium policies – Accédez à netskope://policy, cliquez sur More actions et exportez les politiques au format JSON.
  
• Browser logs – Fermez complètement toutes les fenêtres du navigateur, puis rouvrez-les avec la journalisation activée :
  • Windows : C:\Users\<USERNAME>\AppData\Local\Netskope\Browser\Application\nsbrowser.exe –enable-logging=stderr
    
  • macOS : /Applications/Netskope\ Enterprise\ Browser.app/Contents/MacOS/Netskope\ Enterprise\ Browser –enable-logging=stderr
    
• HAR file (si le problème concerne un site spécifique) – Ouvrez les outils de développement, allez sur l'onglet Network, activez Preserve Log et Disable cache, reproduisez le problème, puis exportez le fichier HAR.
  

Diagnostics avancés (à fournir uniquement sur demande)

• Net-export capture – Allez sur netskope://net-export, lancez la journalisation, reproduisez le problème, arrêtez la journalisation et partagez le fichier JSON. Remarque : cela capture toutes les connexions réseau, y compris les cookies et les identifiants.
  
• Support tool bundle – Allez dans netskope://support-tool/, sélectionnez les catégories de diagnostic correspondant au problème et exportez le fichier ZIP.
  
• Browser updater log:
  • Windows: C:\Users\<USERNAME>\AppData\Local\Netskope\NetskopeBrowserUpdater\updater.log
    
  • macOS : ~/Library/Application Support/Netskope/NetskopeBrowserUpdater/updater.log
    
• Installer log:
  • Windows : C:\Users\<USERNAME>\AppData\Local\Temp\netskope_installer.log
    
  • macOS (PKG) : /var/log/install.log
    
• User profile copy (si une corruption du profil est suspectée) – Recherchez le chemin du profil dans netskope://version sous Profile Path.
  

Diagnostics mobiles

Android:

• Journaux réseau : netskope://net-export — appuyez sur Start Logging to Disk, reproduisez le problème, puis Stop Logging et envoyez ou partagez le fichier par e-mail.
  

iOS:

• Journaux réseau : netskope://net-export — appuyez sur Start Logging to Disk, reproduisez le problème, puis sur Stop Logging et envoyez le fichier par courriel.
  
• Journaux du périphérique : Paramètres > Confidentialité et sécurité > Analyse et améliorations > Données d'analyse — recherchez les entrées commençant par « Netskope- ».
  
• Journaux de la console : utilisez l’app Console de macOS ou Xcode lorsque le périphérique est connecté.
  
• Exportation de la politique : netskope://policy — appuyez sur More Actions > Copy as JSON.
  

Considérations

Considerations include:

• Les fichiers HAR et les journaux net-export contiennent des informations sensibles (cookies, identifiants, URL internes). À manipuler avec la confidentialité appropriée.
  

Dépannage de la connectivité réseau pour Enterprise Browser

Enterprise Browser nécessite un accès réseau ininterrompu à plusieurs services cloud de Netskope pour récupérer les configurations, mettre à jour le navigateur et diriger le trafic de manière sécurisée. Lorsque la connectivité à l'un de ces services est bloquée ou dégradée, les utilisateurs rencontrent des échecs de création de profil, des délais d'expiration de la navigation ou l'impossibilité de recevoir les mises à jour de politique. Ce guide aide les administrateurs à diagnostiquer et à résoudre les problèmes de connectivité réseau, notamment les défaillances des proxys locaux, les erreurs de certificat, l'indisponibilité de configserv et la vérification des exigences réseau.

Exigences réseau

Enterprise Browser nécessite un accès sortant aux services suivants. Sans un accès complet à ces domaines et ports, Enterprise Browser ne pourra pas fonctionner.

HTTPS sortant (port 443)

• `nsbrowser-updates.<MP>.goskope.com` – mises à jour du navigateur et téléchargements de l’installateur
  
• `nsbrowser-config.<MP>.goskope.com` – récupération de la configuration du locataire et de l'utilisateur (configserv)
  
• `ns-authservice.goskope.com` – Service d'authentification SSO
  

HTTP sortant (port 8090)

• `eproxy-<tenant-name>.goskope.com:8090` – Proxy sécurisé pour diriger le trafic vers Internet via Netskope
  
• `<tenant-name>.ebnpa.goskope.com:8090` – proxy sécurisé pour l’accès aux applications privées (requis uniquement si NPA est activé)
  

Résolution DNS

• Tous les domaines *.goskope.com doivent être accessibles depuis le périphérique de l'utilisateur
  
• Le DNS d'entreprise ne doit pas bloquer ou rediriger les recherches pour *.goskope.com
  
• Si le DNS partagé est utilisé, configurez les règles de transfert pour la zone goskope.com
  

Considérations relatives au proxy et au pare-feu

Si votre organisation achemine le trafic via un proxy d'entreprise :

• La configuration du proxy HTTPS doit autoriser les connexions à *.goskope.com sur le port 443
  
• La configuration du proxy HTTP doit autoriser les connexions à eproxy-*.goskope.com sur le port 8090
  

Vérification de la connectivité réseau

Pour vérifier qu’un périphérique peut atteindre tous les services Netskope requis, vous pouvez utiliser l’outil de connectivité réseau d’Enterprise Browser ou tester chaque point de terminaison depuis le réseau cible à l’aide d’outils standard (navigateur, curl ou nslookup).

Outils de connectivité réseau d'Enterprise Browser

Vous pouvez trouver cet outil ici : https://eb-check.netskope.io/

L'outil de validation de la connectivité réseau d'Enterprise Browser de Netskope est un utilitaire Web qui permet de valider l'accès réseau aux services Netskope critiques avant de déployer Enterprise Browser. De nombreux clients entreprises rencontrent des problèmes d'infrastructure réseau susceptibles d'empêcher le déploiement réussi de Netskope Enterprise Browser. Cet outil résout les problèmes spécifiques rencontrés par les clients (par exemple, règles de pare-feu strictes, configurations de proxy complexes).

Étapes de vérification manuelle

1. DNS resolution – exécutez nslookup nsbrowser-config.<MP>.goskope.com et nslookup nsbrowser-updates.<MP>.goskope.com pour confirmer que les deux domaines sont résolus.
   
2. Configuration service (HTTPS/443) – ouvrez https://nsbrowser-config.<MP>.goskope.com dans un navigateur ou exécutez curl -s https://nsbrowser-config.<MP>.goskope.com. Une réponse JSON {“code”:5,”message”:”Not Found”,”details”:[]} confirme que le service est accessible. Cette réponse 404 est attendue — elle signifie que le service est opérationnel et répond aux demandes anonymes.
   
3. Browser updates service (HTTPS/443) – même test sur https://nsbrowser-updates.<MP>.goskope.com. Même réponse 404 attendue.
   
4. Secure proxy (HTTP/8090) – exécutez curl -s http://eproxy-<tenant-name>.goskope.com:8090. Toute réponse HTTP (200, 302, 401, 403) indique que le proxy est accessible.
   

Interpreting Results

• All endpoints respond – le réseau est prêt pour le déploiement. Tous les ports requis, le DNS et les configurations de proxy sont corrects.
  
• Some endpoints fail – identifiez quel service spécifique est injoignable et appliquez la résolution correspondante à partir des sections de dépannage ci-dessous.
  
• All endpoints timeout – blocage réseau complet vers *.goskope.com. Vérifiez la connexion Internet et assurez-vous qu’aucune règle de pare-feu ne bloque tout accès externe à ces domaines.
  
• Connection timeout (more than 10 seconds) – le pare-feu abandonne silencieusement les paquets au lieu de les rejeter. Travailler avec l'équipe réseau pour autoriser le domaine spécifique.
  
• “Connection refused” or immediate failure – la connexion a été activement refusée. Vérifiez que le port 8090 est ouvert pour le service Secure Proxy.
  

Diagnostic des défaillances du proxy local

Enterprise Browser utilise un proxy MITM local sur les plates-formes mobiles (iOS et iPadOS) pour intercepter et diriger le trafic via le cloud Netskope. Sur les plates-formes de bureau (Windows et macOS), le routage du trafic utilise le modèle CEP (Cloud Explicit Proxy) sans proxy local.

Symptoms

• Les pages ne se chargent pas sur iOS avec ERR_PROXY_CONNECTION_FAILED
  
• La navigation fonctionne par intermittence puis s'arrête sur mobile
  
• La navigation échoue pendant l’expiration ou l’actualisation des jetons sur iOS
  

Étapes de résolution

1. Vérifiez que le certificat de proxy local est installé et approuvé sur le périphérique :
   

• Paramètres > Général > VPN & Gestion des périphériques — confirmez que le certificat de proxy local Netskope est présent.
  
• Paramètres > Général > À propos > Réglages de confiance des certificats — confirmez que l'autorité de certification proxy locale de Netskope est activée.
  

2. Si le certificat est manquant, déployez-le à nouveau via MDM ou demandez à l'utilisateur d'installer le .mobileconfig profil manuellement.

3. Vérifiez que le périphérique n'est pas sur un réseau de portail captif : les portails captifs interceptent la connexion proxy initiale et peuvent provoquer des échecs d'authentification.

4. Collectez les journaux réseau (netskope://net-export) et transmettez-les à l'équipe d'ingénierie si le problème persiste après la vérification du certificat.

Diagnostic des erreurs de certificat

Bureau (Windows et macOS)

Symptom: `ERR_CERT_AUTHORITY_INVALID` or certificate warnings on specific sites

• Likely cause – Un dispositif d'inspection SSL re-signe le trafic vers les services Netskope, ce qui rompt l'épinglage de certificat.
  
• Resolution – Si le Netskope Client est déployé aux côtés d'Enterprise Browser, la liste de contournement SSL du client peut ne pas inclure les domaines concernés. Lorsque le client intercepte le trafic qu'Enterprise Browser doit traiter directement, des non-concordances de certificat se produisent.
  
• Resolution – Dans la console d'administration Netskope One, vérifiez la configuration de routage de Netskope Client.
  

Mobile (iOS et iPadOS)

Symptom: `ERR_CERT_AUTHORITY_INVALID` on all sites in Enterprise Browser

• Likely cause – Le certificat Netskope Local Proxy CA n’est pas approuvé sur le périphérique.
  
• Resolution:
  

1. Allez dans Paramètres > Général > VPN et gestion des périphériques et vérifiez que le certificat est installé.

2. Allez dans Paramètres > Général > À propos de > Paramètres de confiance des certificats et activez la confiance totale pour l'autorité de certification proxy local Netskope.

3. En cas de déploiement via une solution MDM, assurez-vous que le profil de configuration MDM comprend à la fois la charge utile du certificat et la charge utile d'approbation du certificat.

Symptom: NPA connections fail with certificate verification errors on iOS

• Likely cause – Les CACerts de la politique n'ont pas été ajoutés au magasin de certificats, ce qui amène le proxy local à rejeter les certificats qui ne figurent pas dans la liste SPKI épinglée.
  
• Resolution – Mettez à jour vers la dernière version d’Enterprise Browser, qui inclut des correctifs pour la vérification du certificat NPA sur iOS (résolu dans ENG-1000670).
  

Diagnostic de l'indisponibilité du service de configuration (ConfigServ)

Symptoms

• « Échec de récupération des données. Vérifiez votre connexion réseau » lors de la création du profil
  
• Les politiques ne sont pas mises à jour après les modifications dans la console d'administration
  
• Le navigateur affiche une configuration obsolète après les changements de réseau
  

Étapes de résolution

1. Vérifiez l'accessibilité de https://nsbrowser-config.<MP>.goskope.com à l'aide d'une requête HTTPS directe depuis la machine concernée (voir Vérification de la connectivité réseau ci-dessus).
   
2. Si le service est inaccessible :

• Vérifier la résolution DNS : nslookup nsbrowser-config.<MP>.goskope.com
  
• Vérifier les règles du pare-feu pour le port 443 vers ce domaine
  
• Vérifiez la configuration du proxy : assurez-vous que le proxy de l'entreprise ne bloque pas ou ne modifie pas les requêtes vers ce domaine
  

3. Si le service est accessible mais renvoie des réponses inattendues :

• Vérifiez que l'inspection SSL n'est pas active pour ce domaine
  
• Vérifiez que le corps de la réponse contient un JSON valide (attendu : {“code”:5,”message”:”Not Found”,”details”:[]} pour les demandes anonymes)
  

4. Si le problème ne concerne que des utilisateurs ou des machines spécifiques, vérifiez que la clé de licence est valide et que le profil de l'utilisateur est actif dans la console d'administration.

Diagnostic de la connectivité Secure Proxy (CEP)

Symptoms

• ERR_TIMED_OUT lors de la navigation sur n'importe quel site Web
  
• Les pages se chargent dans les autres navigateurs mais pas dans Enterprise Browser
  
• Pages d'erreur « Impossible d'atteindre Internet »
  

Étapes de résolution

1. Vérifiez l'accessibilité de eproxy-<tenant-name>.goskope.com:8090 — celui-ci doit être accessible via HTTP (pas HTTPS).
   
2. Causes communes de l'échec :

• Port 8090 blocked – de nombreux pare-feux d'entreprise ne autorisent que les ports 80 et 443. Travaillez avec l'équipe réseau pour ouvrir le port 8090 pour eproxy-*.goskope.com.
  
• HTTP traffic blocked – certaines organisations bloquent tout trafic non-HTTPS. Le proxy sécurisé nécessite une connexion HTTP initiale sur le port 8090.
  
• Captive portal interference – si l'utilisateur se trouve sur un réseau avec un portail captif, le portail peut intercepter la connexion HTTP au proxy. L'utilisateur doit terminer l'authentification sur le portail captif avant qu'Enterprise Browser puisse se connecter.
  

3. Si NPA est activé et que l'accès à l'application privée échoue, vérifiez en outre que <tenant-name>.ebnpa.goskope.com:8090 est accessible.

Dépannage des problèmes courants d'Enterprise Browser

Ce guide couvre les problèmes les plus fréquemment signalés avec Enterprise Browser et leurs causes profondes. Utilisez-le pour diagnostiquer et résoudre rapidement les problèmes avant qu'ils ne nécessitent une escalade.

Les pages ne se chargent pas (ERR_TIMED_OUT)

Les utilisateurs signalent que les pages restent bloquées indéfiniment ou affichent « ERR_TIMED_OUT » / « Ce site est inaccessible. »

Root Cause

Enterprise Browser dirige le trafic HTTPS vers le eproxy Netskope sur le port 8090. Si le point de terminaison du eproxy est inaccessible, toute navigation échoue.

Resolution

1. Vérifiez la connectivité réseau vers eproxy-<tenant>.goskope.com:8090 depuis le point de terminaison affecté.
   
2. Vérifiez si un pare-feu, un VPN ou un changement de réseau bloque le port 8090 sortant.
   
3. Vérifiez que la liste des exclusions de proxy ne contient pas de caractères génériques qui contourneraient par inadvertance le proxy pour tout le trafic (ce qui interromprait le routage).
   
4. Si seuls des sites spécifiques posent problème, vérifiez si une politique RTP bloque le trafic : consultez la console d'administration Netskope sous SkopeIT > Events pour identifier les événements de blocage correspondant à l'utilisateur et à la destination.
   
5. Si le problème ne concerne qu'un seul utilisateur, vérifiez que sa licence est active et que son profil de navigateur est correctement provisionné.
   

Enterprise Browser ne démarre pas

L'application ne s'ouvre pas, plante immédiatement après le lancement ou la fenêtre apparaît et se ferme.

Root Cause

Voici les causes courantes :

• La quarantaine des exécutables du navigateur par l'EDR/antivirus
  
• données de profil utilisateur corrompues
  
• le navigateur tente d'utiliser un profil qui a été supprimé côté serveur
  

Resolution

1. Vérifiez votre console EDR/antivirus pour détecter des événements de quarantaine liés à Netskope Enterprise Browser.exe (Windows) ou Netskope Enterprise Browser (macOS).
   
2. Si le navigateur fonctionnait précédemment, essayez de renommer le répertoire de profil pour forcer un nouveau profil :
   • Windows: %LOCALAPPDATA%\Netskope\Browser\
     
   • macOS : ~/Library/Application Support/Netskope/Browser/
     
3. Réinstallez Enterprise Browser à l'aide du dernier programme d'installation (consultez le guide de dépannage de l'outil de mise à jour pour obtenir les URL de téléchargement).
   
4. Sur macOS Sequoia, vérifiez que le navigateur est autorisé sous System Settings > Privacy & Security > App Management.
   

Le site Web fonctionne dans Chrome mais pas dans Enterprise Browser

Un site Web ou une application Web spécifique fonctionne correctement dans Google Chrome ou Microsoft Edge, mais échoue ou se comporte différemment dans Enterprise Browser.

Root Cause

Enterprise Browser dirige tout le trafic HTTPS via le Netskope Security Cloud. Certaines applications Web peuvent :

• rejeter les connexions provenant de la plage IP eproxy (si l'application utilise une liste d'autorisation basée sur IP)
  
• échouer aux demandes de certificat client TLS (mTLS n'est pas pris en charge via le proxy)
  
• se comporter différemment lorsque des en-têtes de requête spécifiques sont présents
  

Resolution

1. Vérifiez si l'application nécessite mTLS (authentification par certificat client). Dans ce cas, le domaine de l'application doit être ajouté à la liste de contournement SSL, car les certificats clients ne peuvent pas traverser le proxy d'inspection TLS.
   
2. Vérifiez que la liste d'autorisation IP côté serveur de l'application inclut les plages IP Netskope NewEdge pour le POP du locataire.
   
3. Ajoutez le domaine de l'application à la liste de contournement du proxy s'il ne peut pas fonctionner via l'inspection TLS.
   
4. Vérifiez SkopeIT > Events pour tout événement de blocage RTP pour cette destination de l'utilisateur affecté.
   

Dépannage de l'authentification pour Enterprise Browser

Enterprise Browser authentifie les utilisateurs via SAML Forward Proxy, en s'appuyant sur le fournisseur d'identité (IdP) de votre organisation pour valider les informations d'identification avant d'établir une session de navigation sécurisée. Lorsque l'authentification échoue, les utilisateurs rencontrent des boucles de connexion, des pages d'authentification bloquées ou des erreurs « licence invalide ». Ce guide aide les administrateurs à diagnostiquer et à résoudre les erreurs SAML, les échecs de BrowserID, les problèmes de configuration IdP et les problèmes spécifiques au fournisseur avec Microsoft Entra ID et Okta.

Comment fonctionne l'authentification

Enterprise Browser utilise le proxy de transfert SAML de Netskope pour authentifier les utilisateurs. Lorsqu’un utilisateur ouvre Enterprise Browser pour la première fois ou lorsque sa session expire, le navigateur redirige vers le service d’authentification Netskope (nsauth-<tenant-name>.goskope.com), qui initie un flux SAML avec l'IdP configuré. Une fois l'authentification réussie, un jeton de session est établi et l'utilisateur peut naviguer normalement via le proxy explicite cloud (CEP).

Cela signifie :

• les domaines IdP doivent être accessibles depuis le navigateur (contournés par l'interception du proxy)
  
• l'utilisateur doit être affecté à l'application SAML de Netskope dans l'IdP
  
• l'utilisateur doit être provisionné via SCIM — les utilisateurs créés manuellement ne sont pas pris en charge
  
• le NameID SAML doit utiliser l'adresse électronique de l'utilisateur, pas le UPN ou d'autres identifiants
  

Diagnostic des boucles d'authentification

Symptoms

• le navigateur redirige sans fin entre nsauth-<tenant-name>.goskope.com, l'IdP et vice-versa
  
• la page d'authentification se charge à plusieurs reprises sans se terminer
  
• l'utilisateur voit la page de connexion IdP, entre ses identifiants, mais n'est jamais redirigé vers la navigation
  

Cause profonde : domaines de contournement manquants

La cause la plus fréquente des boucles d'authentification est que les domaines IdP ne sont pas contournés par l'interception de proxy. Enterprise Browser achemine tout le trafic via CEP. Si les domaines IdP sont également acheminés via CEP, le flux d'authentification SAML ne peut pas être terminé car la redirection d'authentification elle-même est interceptée.

Étapes de résolution

1. Dans la console d'administration Netskope One, accédez à Paramètres > Plateforme cloud de sécurité > Enterprise Browser > Paramètres de contournement.
   
2. Vérifiez que tous les domaines IdP requis sont répertoriés dans la configuration de contournement.
   
3. Si Netskope Client est également déployé sur le périphérique, vérifiez que le trafic d'Enterprise Browser est contourné dans la configuration du Client (exception d'application avec certificat épinglé). Sans cela, le Client peut intercepter le trafic EB avant qu'il n'atteigne CEP, provoquant un scénario de double proxy qui interrompt l'authentification.
   

Diagnostic d'une mauvaise configuration du proxy de transmission SAML

Symptoms

• l'utilisateur est invité par l'IdP mais Okta rejette la connexion avec une erreur
  
• le message d'erreur de l'IdP indique « utilisateur non assigné » ou « application non trouvée »
  
• l'échec du test de connexion SSO dans la console d'administration Netskope
  

Étapes de résolution

1. Dans la console d’administration de Netskope One, allez dans Settings > Security Cloud Platform > Forward Proxy > SAML.
   
2. Vérifiez la configuration du compte SAML :

• Access Method doit inclure « Enterprise Browser » (ou « Tout »)
  
• IDP SSO URL, IDP Entity ID et IDP Certificate doivent correspondre exactement à la configuration de votre IdP
  

3. Dans votre IdP, vérifiez que l'utilisateur (ou son groupe) est affecté à l'application SAML Netskope :

• Okta: Applications > Inscription de l'utilisateur Netskope > Attributions — confirmer que l'utilisateur ou le groupe est répertorié
  
• Microsoft Entra: Identité > Applications > Applications d'entreprise > Authentification utilisateur Netskope > Utilisateurs et groupes — confirmer l'affectation

4. Vérifiez que le provisionnement SCIM est actif et que l'utilisateur est synchronisé. Enterprise Browser ne prend en charge que les utilisateurs provisionnés par SCIM.

Diagnostic des incohérences entre UPN et e-mail (Microsoft Entra)

Symptoms

• l'authentification réussit au niveau de l'IdP mais Enterprise Browser ne reconnaît pas l'utilisateur
  
• l'utilisateur peut se connecter, mais les politiques basées sur les groupes ne sont pas appliquées
  
• l'utilisateur semble authentifié mais apparaît avec une identité différente dans les logs
  

Cause première

Microsoft Entra peut envoyer le nom principal de l'utilisateur (UPN) ou l'adresse électronique en tant que NameID SAML. Netskope utilise l'adresse électronique comme identifiant principal pour la connexion, l'évaluation des politiques et la journalisation. Si Entra envoie l'UPN mais que SCIM provisionne par e-mail, les identifiants ne correspondent pas, ce qui entraîne des échecs de mappage de politique et de groupe.

Étapes de résolution

1. Dans Microsoft Entra, allez dans Identité > Applications > Applications d'entreprise > Authentification utilisateur Netskope > Authentification unique.
   
2. Cliquez sur Attributes & Claims.
   
3. Modifiez la revendication Unique User Identifier (Name ID).
   
4. Définissez le Source attribute sur user.mail (pas user.userprincipalname).

5. Cliquez Save.

6. Vérifiez que le provisionnement SCIM utilise également l’adresse e-mail comme identifiant unique.

Dépannage des problèmes de mise à jour d'Enterprise Browser

Enterprise Browser se met automatiquement à jour en arrière-plan, comme Google Chrome. Cependant, les mises à jour peuvent échouer en raison de l'interférence du logiciel de sécurité du point de terminaison, de clés de registre orphelines, de permissions macOS ou de problèmes de connectivité réseau. Ce guide aide les administrateurs à diagnostiquer et à résoudre les problèmes de mise à jour courants, y compris les faux positifs EDR, les mises à jour bloquées et les chemins de récupération manuelle.

Conditions préalables

• Accès administratif aux points finaux affectés (ou gestion à distance MDM)
  
• Accès à la console d'administration Netskope One
  
• Connectivité réseau vers nsbrowser-updates.<MP>.goskope.com (où <MP> est la région du plan de gestion du locataire)

Comprendre le processus de mise à jour

Les instances d’Enterprise Browser vérifient régulièrement les New versions auprès des services Netskope. Le processus fonctionne comme suit :

1. Le NetskopeBrowserUpdater s'exécute en tant que tâche planifiée (Windows) ou processus en arrière-plan (macOS).
   
2. Il contacte nsbrowser-updates.<MP>.goskope.com pour vérifier les mises à jour disponibles.
   
3. Si une New version est disponible, il la télécharge et l'installe parallèlement à la version actuelle.
   
4. Si le navigateur n'est pas en cours d'exécution, la mise à jour remplace la version actuelle immédiatement.
   
5. Si le navigateur est en cours d’exécution, une notification de relance s’affiche (contrôlée par la politique RelaunchNotification).
   
6. Une fois la fenêtre de relance expirée, le navigateur redémarre automatiquement.
   

Diagnostic des mises à jour bloquées

Une mise à jour est « bloquée » lorsque Enterprise Browser reste sur une ancienne version alors que des versions plus récentes sont disponibles. Utilisez la check-list suivante pour diagnostiquer le problème.

Vérification de la version actuelle

Dans Enterprise Browser, allez sur netskope://version ou Settings > About Enterprise Browser. Comparez la version installée avec la dernière version disponible communiquée dans les notes de mise à jour.

Causes courantes des mises à jour bloquées

Les causes les plus courantes sont :

• EDR/antivirus blocking the updater — le processus NetskopeBrowserUpdater ou ses écritures de fichiers sont mis en quarantaine
  
• Orphaned registry keys (Windows) — des clés restantes d'une installation précédente empêchent le programme de mise à jour de reconnaître les mises à jour disponibles
  
• macOS App Management permissions — macOS Ventura et versions ultérieures nécessitent une autorisation explicite pour que le programme de mise à jour puisse modifier les applications
  
• Network connectivity — le module de mise à jour ne peut pas atteindre nsbrowser-updates.<MP>.goskope.com
  
• Updater scheduled task missing (Windows) — la tâche planifiée a été supprimée ou n'a jamais été créée
  

Résoudre les faux positifs de l'EDR et de l'antivirus

Des outils EDR (Endpoint Detection and Response) tels que CrowdStrike Falcon, Microsoft Defender for Endpoint et d'autres peuvent bloquer le programme d'installation ou le programme de mise à jour de l'Enterprise Browser. Cela se manifeste généralement par des erreurs d'autorisation de fichier, des échecs d'installation (code de sortie 1619) ou des mises à jour qui ne se terminent jamais.

Chemins vers la liste d'autorisation

Configurez votre EDR/antivirus pour autoriser l'accès aux chemins suivants. Enterprise Browser prend en charge les installations par utilisateur et à l'échelle du système (par machine) ; autorisez les chemins qui correspondent à votre déploiement.

Windows — Per-User Installation (default):

• C:\Users\<USERNAME>\AppData\Local\Netskope\Browser\
  
• C:\Users\<USERNAME>\AppData\Local\Netskope\NetskopeBrowserUpdater\
  
• C:\Utilisateurs\<NOM<USERNAME>D’UTILISATEUR>\AppData\Local\Temp\ (uniquement pendant l'installation)
  

Windows — System-Wide Installation (MSI via MDM):

• C:\Program Files (x86)\Netskope\NetskopeBrowserUpdater\
  
• C:\Program Files (x86)\Netskope\Browser\
  
• C:\Windows\Installer\ (uniquement pendant l'exécution MSI)
  

Windows Registry keys:

• HKCU\Software\Netskope\Update (par utilisateur)
  
• HKLM\Software\Netskope\Update (à l'échelle du système)
  

macOS — Per-User Installation (default):

• ~/Library/Application Support/Netskope/NetskopeBrowserUpdater/
  
• ~/Library/Application Support/Netskope/Browser/
  
• /Applications/Netskope Enterprise Browser.app/
  

macOS — System-Wide Installation:

• /Library/Application Support/Netskope/NetskopeBrowserUpdater/
  
• /Library/Application Support/Netskope/Browser/
  
• /Applications/Netskope Enterprise Browser.app/
  

Processus à ajouter à la liste blanche

Ajoutez les noms de processus suivants à votre liste d'exclusion EDR :

• NetskopeBrowserUpdater.exe (Windows)
  
• Netskope Enterprise Browser.exe (Windows)
  
• NetskopeBrowserUpdater (macOS)
  
• Netskope Enterprise Browser (macOS)
  
• com.netskope.NetskopeBrowserUpdater (macOS — identifiant de bundle pour la gestion des applications)
  

Conseils spécifiques pour CrowdStrike Falcon

Dans la console CrowdStrike Falcon, créez une exclusion de machine learning ou une exclusion d’IOA pour les chemins ci-dessus. Si CrowdStrike est en mode EDR uniquement (sans Falcon Prevent), vérifiez que les politiques d'accès aux fichiers n'empêchent pas le processus de mise à jour de Netskope d'écrire dans le répertoire AppData\Local\Netskope\.

Résolution des problèmes de permissions de mise à jour sur macOS

Sur macOS Ventura (13) et les versions ultérieures, le système d'exploitation exige l'approbation explicite de l'utilisateur ou du MDM pour que les applications puissent modifier les autres applications. NetskopeBrowserUpdater nécessite cette autorisation pour appliquer les mises à jour.

Symptoms

Les utilisateurs voient une erreur : « NetskopeBrowserUpdater n'a pas été autorisé à modifier des applications sur ce Mac. »

Résolution (manuelle)

1. Sur Mac, accédez à System Settings > Privacy & Security > App Management.
   
2. Trouvez NetskopeBrowserUpdater dans la liste et basculez-le sur Allow.
   
3. Sur macOS Sequoia, vérifiez également sous System Settings > General > Login Items & Extensions que les extensions Netskope sont activées sous Allow in the Background et Endpoint Security Extensions.
   
4. Redémarrez le Mac si le changement ne prend pas effet immédiatement.
   

Résolution (MDM)

Déployez un profil de configuration (.mobileconfig) qui pré-approuve l'identifiant du bundle NetskopeBrowserUpdater pour les autorisations de gestion des applications. Cela évite à l'utilisateur d'avoir à approuver manuellement l'autorisation.

Résoudre l'erreur « Aucune mise à jour disponible » (Windows)

Cette erreur apparaît lorsque des clés de registre Windows orphelines provenant d'une installation précédente amènent le programme de mise à jour à penser qu'Enterprise Browser est déjà installé ou à jour.

Procédure de nettoyage complet

1. Fermez complètement Enterprise Browser.
   
2. Ouvrez regedit.exe et supprimez les clés suivantes :
   • HKCU\Software\Netskope\Update
     
   • HKCU\Software\Netskope\Browser (toutes les sous-clés liées au navigateur)
     
3. Supprimez les répertoires suivants :
   • %LOCALAPPDATA%\Netskope\Browser\
     
   • %LOCALAPPDATA%\Netskope\NetskopeBrowserUpdater\
     
   • Tous les raccourcis dans %APPDATA%\Microsoft\Windows\Start Menu\Programs\Netskope\
     
4. Ouvrez Task Scheduler et supprimez toutes les tâches planifiées liées à Netskope si elles sont présentes.
   
5. Redémarrez le périphérique.
   
6. Téléchargez à nouveau l'installateur à partir du lien d'invitation envoyé par e-mail ou utilisez l'URL de téléchargement direct.
   
7. Exécutez le programme d'installation en tant que standard user (n'utilisez pas « Exécuter en tant qu'administrateur » — le programme d'installation par utilisateur échoue lorsqu'il est exécuté avec des privilèges élevés).
   
8. Vérifiez que la New version apparaît dans Netskope://version.
   

Réinstallation sur une installation existante

L'exécution du dernier programme d'installation sur une installation existante la met à niveau sur place. Le profil, les signets et la configuration de l'utilisateur sont conservés. Aucune désinstallation n'est requise avant la réinstallation.

Mise à jour pilotée par MDM

Pour une remédiation à grande échelle, déployez le dernier paquet MSI via votre outil MDM (Intune, JAMF, SCCM ou similaire) avec les mêmes paramètres que ceux utilisés pour le déploiement initial. Le programme d'installation MSI gère les mises à niveau automatiquement.

Vérification de l'état de la mise à jour sur l'ensemble du parc

Pour vérifier que les mises à jour fonctionnent correctement sur votre déploiement :

• Check user versions dans la console d'administration Netskope One sous la liste des utilisateurs d'Enterprise Browser. Les utilisateurs utilisant d'anciennes versions indiquent des échecs de mise à jour.
  
• Check the Windows Registry sur les machines affectées : HKCU\Software\Netskope\Update\LastInstallerError contient le code de sortie de la dernière tentative d'installation.
  
• Check macOS system logs à l'aide de Console.app, filtre sur “NetskopeBrowserUpdater” pour voir les erreurs de permission ou de téléchargement.
  

Référence de code de sortie (Windows)

Exit Code	Description	Common Cause
0	Success	Installation ou mise à jour terminée
1602	Annulé par l'utilisateur	Interrompu par l'utilisateur ou par le processus
1603	Fatal error	La création du profil a échoué (MDM), licence non valide ou problème de connectivité
1619	Échec de l'ouverture du paquet	Blocage de l'accès aux fichiers par l'EDR/l'antivirus
1638	Conflit de version	Une ancienne version existe ; effectuez un nettoyage complet puis réinstallez

Considérations

Considerations include:

• Le programme d'installation par utilisateur (.exe) doit être exécuté sans privilèges élevés ; l'exécution en tant qu'administrateur provoque des échecs d'installation
  
• Les autorisations de gestion des applications macOS ne peuvent pas être accordées silencieusement sans un profil de configuration MDM
  
• l'accès réseau à nsbrowser-updates.<MP>.goskope.com ne doit pas être bloqué par des politiques de proxy, de pare-feu ou de DNS
  
• la RelaunchNotificationPeriod (par défaut : 7 jours) contrôle la durée pendant laquelle les utilisateurs peuvent différer les mises à jour avant un redémarrage forcé. La réduction de cette valeur accélère l'adoption des mises à jour mais peut perturber les utilisateurs
  
• si CrowdStrike Falcon ou un autre EDR met en quarantaine le binaire de mise à jour, la tâche planifiée continue de s'exécuter mais échoue silencieusement à chaque exécution

Questions de performance

Cette page couvre les problèmes de performance courants rencontrés dans Netskope Enterprise Browser et explique comment les résoudre.

Chargement lent de la page

Symptoms: Le chargement des pages prend plus de temps que prévu dans Enterprise Browser par rapport à d'autres navigateurs.

Cause: Enterprise Browser dirige le trafic à travers le proxy sécurisé Netskope (eproxy-<tenant-name>.goskope.com:8090) pour l'évaluation des politiques. La latence entre le périphérique et le PoP (point de présence) Netskope peut affecter les temps de chargement des pages.

Resolution:

1. Vérifiez que le périphérique se connecte au PoP Netskope le plus proche. Votre équipe de compte Netskope peut confirmer quel PoP gère le trafic de votre locataire.
   
2. Vérifiez que les politiques de routage du réseau d'entreprise ne forcent pas le trafic vers un proxy distant avant qu'il n'atteigne Netskope.
   
3. Assurez-vous que tous les points de terminaison Netskope requis sont accessibles directement sans proxy intermédiaire (voir Configuration système requise).
   
4. Si votre environnement utilise le tunnel divisé avec le Netskope Client, vérifiez que le trafic d'Enterprise Browser est traité correctement.
   

Utilisation élevée de l'unité centrale ou de la mémoire

Symptoms: Enterprise Browser utilise beaucoup plus de CPU ou de mémoire que prévu, ce qui ralentit le périphérique.

Cause: Plusieurs onglets ouverts avec des politiques de protection du navigateur actives (telles que le masquage des données ou le filigrane) peuvent augmenter l’utilisation du CPU et de la mémoire par rapport à un navigateur non géré. Le masquage des données effectue notamment une inspection du DOM lors du chargement de la page.

Resolution:

1. Recherchez les onglets avec des applications gourmandes en ressources (par exemple, la vidéoconférence, les feuilles de calcul en ligne avec de grands ensembles de données) ainsi que les politiques actives de protection du navigateur. Fermez les onglets inutilisés.
   
2. Si le masquage des données est activé sur des pages très dynamiques (par exemple, des applications d'une seule page avec des mises à jour fréquentes des données), vérifiez si la portée de la politique peut être réduite pour diminuer le nombre de pages affectées.
   
3. Assurez-vous que le périphérique répond aux exigences matérielles minimales : processeur x64 ou ARM moderne, Windows 10+ ou macOS 12+.
   

Le navigateur ne se connecte pas

Symptoms: Enterprise Browser se lance mais ne charge aucune page ou affiche une erreur de connexion.

Cause: Le navigateur ne peut pas atteindre le proxy Netskope ou le service de configuration.

Resolution:

1. Vérifiez que le périphérique dispose d'une connexion Internet.
   
2. Confirmez que les points de terminaison Netskope requis sont accessibles depuis le réseau du périphérique (voir les Configuration système requise pour la liste complète).
   
3. Si le périphérique se trouve derrière un pare-feu d'entreprise ou un proxy, assurez-vous que les points de terminaison de Netskope sont placés sur liste blanche pour un accès direct.
   

Les téléchargements chiffrés sont lents

Symptoms: Les téléchargements de fichiers avec l'action de politique ENCRYPT prennent beaucoup plus de temps que les téléchargements non chiffrés.

Cause: Le chiffrement est appliqué à la volée lorsque le fichier est téléchargé. Les fichiers très volumineux peuvent nécessiter un temps de traitement supplémentaire.

Resolution:

1. Vérifiez que le téléchargement se termine (pas bloqué). Si le téléchargement semble bloqué, essayez de naviguer ailleurs et de recommencer le téléchargement.
   
2. Vérifiez si la politique ENCRYPT doit s'appliquer à tous les fichiers sur la destination, ou seulement à certains contenus à haut risque. La réduction de la portée de la politique diminue le nombre de fichiers nécessitant un chiffrement.
   

La politique n'est pas appliquée

Symptoms: Les politiques de protection du navigateur configurées dans la console d'administration ne semblent pas prendre effet.

Resolution:

1. Dans Enterprise Browser, naviguez vers netskope://policy et vérifiez que la politique apparaît dans la liste.
   
2. Si la politique n'est pas listée, forcez une synchronisation manuelle en naviguant vers netskope://policy et en attendant la confirmation de la synchronisation. La synchronisation automatique s'exécute toutes les 20 minutes.
   
3. Vérifiez que le périphérique est correctement inscrit et connecté à votre locataire. Vérifiez la liste des périphériques de l'utilisateur dans la console Netskope.
   
4. Vérifiez que les critères de la politique (destination, portée de l'utilisateur) correspondent à la page où la politique doit s'appliquer.
   

Pour en savoir plus : Configuration requise | Notes sur la compatibilité | Installation et dépannage d'Enterprise Browser