Summary
[!note] 📚 Série Pilotflow : Construire une Extension Gmail
- Le Mensonge à 50 000 $ qui a Failli Tuer Mon Extension Gmail ← vous êtes ici
- Niveaux OAuth Gmail Décryptés — juin 2026
- Analyse du Code Avant le Développement — juin 2026
- Documents Légaux pour les Extensions Gmail — juin 2026
Laissez-moi vous raconter le moment où j’ai failli abandonner un projet avant d’écrire la moindre ligne de code.
Je planifiais Pilotflow, une extension Gmail qui aide les utilisateurs à reprendre le contrôle de leur boîte de réception. La fonctionnalité principale consistait à lire des fils de discussion par e-mail — comprendre ce qui s’y trouvait pour que l’utilisateur puisse agir intelligemment dessus. En cherchant les exigences du Google Workspace Marketplace, j’ai trouvé un post de forum, puis un autre, puis une réponse Stack Overflow, tous pointant vers la même conclusion : une extension Gmail qui lit les e-mails nécessite une certification CASA Niveau 2, qui coûte entre 50 000 $ et 75 000 $.
Cinquante mille dollars. Pour un développeur solo. Pour certifier un outil gratuit avant de gagner un seul dollar.
J’ai failli fermer mon ordinateur portable et passer à autre chose.
Le Mythe qui Circule dans les Communautés de Développeurs
Le chiffre apparaît dans des dizaines d’endroits : des billets de blog de 2022, des fils de discussion sur des forums de développeurs, des discussions de hackers indépendants. Et il n’est pas entièrement faux — ce prix est réel pour la certification CASA Niveau 2 chez certains évaluateurs. Mais il décrit une extrémité d’un spectre, pas l’image entière.
À retenir : Le chiffre de certification CASA à 50 000 $ est réel — mais c’est le plafond, pas le plancher. Le coût réel dépend du chemin d’évaluation que vous choisissez.
Ce que j’ai trouvé après des recherches plus approfondies a tout changé.
Le programme de sécurité de Google pour les applications du Workspace Marketplace comporte différents niveaux selon la sensibilité des scopes OAuth que votre extension demande. CASA (Cloud Application Security Assessment) est requis pour les scopes restreints — ceux qui ont l’accès le plus invasif. Mais voici ce que les posts de forum omettent toujours : CASA n’a pas un seul prix. Il dispose de plusieurs chemins d’évaluation, et certains de ces chemins coûtent une petite fraction de ce que les chiffres alarmants suggèrent.
Ce qu’est Réellement CASA (et Qui le Fait)
CASA signifie Cloud Application Security Assessment. C’est le cadre de Google pour évaluer si une application demandant des scopes OAuth restreints gère les données des utilisateurs de manière responsable. Google ne réalise pas les évaluations lui-même — il autorise des sociétés de sécurité tierces appelées CASA TAPs (Third-party Assessment Providers / Fournisseurs d’évaluation tiers) à les mener.
Les évaluations suivent la norme OWASP Application Security Verification Standard. Votre application est testée selon un ensemble standard d’exigences de sécurité, et si elle réussit, vous recevez une lettre de certification qui vous permet de publier sur le Google Workspace Marketplace avec des scopes restreints.
Les évaluations coûteuses sont les plus approfondies — elles incluent des tests de pénétration, une révision manuelle du code et une analyse étendue des vulnérabilités. Mais toutes les extensions n’ont pas besoin de l’option la plus complète. Ce que la plupart des posts de forum décrivent, c’est le niveau premium, sans mentionner qu’il existe des chemins alternatifs.
Les Vrais Chiffres que J’ai Trouvés
Après avoir parlé directement à deux CASA TAPs et lu la documentation officielle du programme de Google, la fourchette de prix que j’ai trouvée était très différente du mythe qui circule :
| Chemin d’évaluation | Coût approximatif | Ce qu’il couvre |
|---|---|---|
| Auto-évaluation (avec révision TAP) | 540 $–900 $ | Liste de contrôle OWASP ASVS, le TAP valide votre travail |
| Évaluation TAP standard | 900 $–1 800 $/an | Le TAP examine l’application, sans test de pénétration complet |
| Évaluation avec tests de pénétration complets | 15 000 $–75 000 $+ | Tests manuels complets, audit de code |
[!note] L’insight clé Les chiffres de 50 000 $–75 000 $ décrivent les tests de pénétration complets. Une évaluation TAP standard pour une application SaaS modeste se situe entre 540 $ et 1 800 $ par an — une catégorie complètement différente.
Pour Pilotflow au stade MVP, l’évaluation pertinente est le chemin TAP standard. Non pas parce que je coupe les coins ronds, mais parce qu’une évaluation de sécurité standard est appropriée proportionnellement : elle correspond au profil de risque d’une extension indépendante par rapport à une intégration d’entreprise gérant des données financières.
Mais Voici le Tournant qui a Changé Ma Conception
Découvrir le coût réel a été un soulagement — mais cela n’a pas mis fin à l’analyse. Cela a ouvert une question plus intéressante : ai-je réellement besoin de scopes restreints du tout ?
Le scope que je prévoyais d’utiliser était gmail.readonly, qui accorde un accès complet en lecture à toute la boîte de réception de l’utilisateur. Ce scope est restreint selon la classification de Google, c’est pourquoi il déclenche l’exigence CASA.
Mais je ne construisais pas une plateforme d’analyse de boîte de réception. Je construisais un outil qui aide les utilisateurs à agir sur des fils de discussion spécifiques — ceux qu’ils regardent actuellement. Et Google fournit un scope différent exactement pour ce cas d’usage : gmail.addons.current.message.readonly.
Ce scope est classifié comme sensible, pas restreint. Il passe la vérification OAuth (un processus gratuit qui prend 4 à 6 semaines) plutôt que la certification CASA. La différence :
gmail.readonly→ lit toute la boîte de réception → restreint → certification CASA requisegmail.addons.current.message.readonly→ lit le message actuellement ouvert → sensible → vérification OAuth uniquement
La fonctionnalité que je voulais (aider les utilisateurs à agir sur les fils d’e-mails) pouvait être construite avec le scope sensible. Ce dont je n’avais pas besoin, c’était d’un accès par lots en arrière-plan à toute la boîte de réception. C’était une capacité que j’avais imaginée avoir, pas une que le flux de l’utilisateur réel nécessitait.
À retenir : Avant de budgétiser un scope restreint, demandez-vous si un scope moins invasif offre la même expérience utilisateur. Dans le cas de Pilotflow, c’était le cas — et cela a évité entièrement l’exigence de certification pour le MVP.
La Décision qui a Sauvé le Projet
Le choix que j’ai fait était de recentrer Pilotflow autour du contexte de message actuel plutôt que d’un accès complet à la boîte de réception. Cela signifiait :
- Le MVP fonctionne dans le fil Gmail actuellement ouvert
- Les utilisateurs qui souhaitent un traitement par lots peuvent le déclencher à la demande (en invoquant explicitement le contexte)
- Pas d’accès en arrière-plan à la boîte de réception — pas de scope restreint — pas de certification CASA pour le lancement
Le projet Notiwise, que j’avais construit avant Pilotflow, avait déjà pris une décision similaire. Lors de la construction d’une extension de notification Calendrier, l’équipe a découvert que gmail.addons.current.message.readonly déclencherait les exigences CASA alors que calendar.addons.current.event.read ne le ferait pas. La fonctionnalité a été repensée en conséquence, préservant la valeur pour l’utilisateur tout en éliminant le fardeau de la certification.
Modèle reconnu. Principe appliqué.
[!info] Quand cela s’applique Chaque fois que vous concevez des scopes OAuth pour une extension Google Workspace, commencez par le scope le moins invasif qui offre votre valeur utilisateur principale. N’élargissez le scope que lorsqu’un flux utilisateur spécifique le nécessite véritablement — pas parce que « plus d’accès est plus flexible ».
Ce que Je Dirais à Quelqu’un qui Commence Cette Recherche
Si vous construisez une extension Gmail et que vous avez rencontré le chiffre de 50 000 $ :
- Vérifiez d’abord la classification du scope. La documentation de scope OAuth de Google classe chaque scope Gmail comme public, sensible ou restreint. Seuls les scopes restreints nécessitent CASA.
- Concevez pour le scope minimal viable. Identifiez le flux utilisateur exact que votre fonctionnalité permet, puis trouvez le scope le plus limité qui le couvre.
- Si le restreint est inévitable, obtenez de vraies offres. Contactez deux ou trois CASA TAPs. La fourchette est plus large que ce que les posts de forum suggèrent, et le chemin d’auto-évaluation peut être viable.
- Intégrez la certification dans votre modèle de revenus. Si 900 $–1 800 $/an est le coût, vous avez besoin d’environ 75 $–150 $/mois de revenus juste pour le couvrir. Planifiez en conséquence avant de construire.
Le mythe des 50 000 $ a failli me coûter un projet en lequel je croyais. Le coût réel, après des recherches appropriées, était négligeable pour le MVP que je concevais. Mais je suis arrivé à cette conclusion uniquement en remettant en question le chiffre que j’avais lu, sans l’accepter.
Le prochain billet de cette série couvre les niveaux de scopes OAuth Gmail en détail — le système de classification à trois niveaux et comment le choix de scope affecte à la fois les exigences de certification et la conversation de confiance avec l’utilisateur lors de l’installation.
