@@ -80,6 +80,7 @@ La spécification OpenAPI est disponible sur :
 | `POST` | `/tools/export` | Sous-ensemble filtré (`file`, `bpf`, `time_start`, `time_end`, `endpoints`, `format`) : `--export-pcap` (issue #886) |
 | `POST` | `/tools/adjust-time` | Recalage (`file`, puis `time_offset`, `normalize` ou `align_to`, `format`) : `--adjust-time-output` (issue #887) |
 | `POST` | `/tools/replay` | Rejeu (`file`, `interface`, `speed`, `loop`) : `--replay`. ÉMET du trafic réel ; refusé (403) sauf si `interface` figure dans `NETCROSS_REPLAY_INTERFACES` (liste séparée par des virgules, vide par défaut) ; 503 si tcpreplay absent (issue #871) |
+| `GET` | `/analyses/{id}/stats` | Exploration statistique : `group_by` (`endpoint`, `protocol`, `segment`, `flow`), `sort` (`packets`, `bytes`, `duration_ms`, `throughput_bps`, `latency_ms`, `events`), `top_n` (0 = toutes), `format=json\|csv` ; `flow_keys` par ligne pour le drill-down ; équiv. `--stats` (issue #912) |
 | `GET` | `/health` | Health check |
 
 ## Exemples curl
 
@@ -11,7 +11,7 @@
 > Il remplace l'ancienne section 3 de `docs/features-backlog.md`, tenue à la main, qui avait dérivé
 > (voir `docs/sessions/session-36.md`, issue #140).
 
-194 modules · 282 classes · 671 fonctions publiques de module.
+194 modules · 282 classes · 676 fonctions publiques de module.
 
 Conventions : `+` public, `-` privé (préfixe `_`) ; `int?` = `int | None` ; `list~str~` = `list[str]` ;
 `<<module>>` regroupe les fonctions publiques d'un module ; `A --> B : champ` = `A` a un champ annoté
@@ -32,17 +32,17 @@ flowchart TD
     netcross_ai["netcross_ai"]
     netcross_core["netcross_core"]
     pcap_parser["pcap_parser"]
-    CLI -->|"20 imports"| netcross_report
+    CLI -->|"21 imports"| netcross_report
     CLI -->|"8 imports"| netcross_ai
-    CLI -->|"41 imports"| netcross_core
+    CLI -->|"45 imports"| netcross_core
     CLI -->|"8 imports"| pcap_parser
     netcross_gtk4 -->|"31 imports"| netcross_report
     netcross_gtk4 -->|"4 imports"| netcross_ai
-    netcross_gtk4 -->|"109 imports"| netcross_core
+    netcross_gtk4 -->|"110 imports"| netcross_core
     netcross_gtk4 -->|"6 imports"| pcap_parser
     netcross_api -->|"19 imports"| netcross_report
     netcross_api -->|"5 imports"| netcross_ai
-    netcross_api -->|"42 imports"| netcross_core
+    netcross_api -->|"44 imports"| netcross_core
     netcross_api -->|"3 imports"| pcap_parser
     netcross_report -->|"40 imports"| netcross_core
     netcross_ai -->|"10 imports"| netcross_core
@@ -1700,6 +1700,10 @@ classDiagram
         +compute_stats(flows, report, all_packets, query, events_by_segment) list~StatRow~
         +export_csv(rows) str
         +export_json(rows) list~dict~
+        +build_events_by_segment(findings) dict~str, list~
+        +explore_stats(flows, report, findings, group_by, sort_by, top_n) list~StatRow~
+        +stats_format_for(path, fmt) str
+        +render_stats(rows, fmt) str
     }
 
     %% ===== netcross_core.tls_diagnostics =====
@@ -3936,6 +3940,7 @@ classDiagram
         +get_analysis_pdf(analysis_id, topn, _auth) StreamingResponse
         +get_analysis_csv(analysis_id, _auth) PlainTextResponse
         +get_analysis_sequence(analysis_id, max_flows, _auth) JSONResponse
+        +get_analysis_stats(analysis_id, group_by, sort, top_n, format, _auth) Response
         +get_analysis_siem(analysis_id, format, _auth) PlainTextResponse
         +forensic_search(analysis_id, body, _auth) JSONResponse
         +extract_contents(analysis_id, files, labels, kinds, _auth) StreamingResponse
 
@@ -96,6 +96,23 @@ présentes.
 Quand Netcross ne peut pas conclure, il l'écrit (« indéterminé »,
 « impossible de conclure ») plutôt que de deviner. C'est volontaire.
 
+## L'exploration statistique
+
+La vue « Exploration statistique » de la GUI (Top-N, tri, regroupement)
+s'exporte aussi en ligne de commande, en CSV ou en JSON :
+
+```bash
+netcross --capture LAN=lan.pcapng --capture WAN=wan.pcapng --stats stats.csv \
+  --stats-group-by protocol --stats-sort throughput_bps --stats-top-n 20
+netcross --capture LAN=lan.pcapng --stats stats.json      # 10 hôtes les plus volumineux
+```
+
+Regroupements : `endpoint`, `protocol`, `segment`, `flow`. Tris (décroissants) :
+`packets`, `bytes`, `duration_ms`, `throughput_bps`, `latency_ms`, `events`.
+`--stats-top-n 0` garde toutes les lignes. La colonne `flow_keys` liste les
+flux de chaque ligne, pour descendre au détail comme en cliquant une ligne
+dans la GUI. Par l'API : `GET /analyses/{id}/stats` avec les mêmes paramètres.
+
 ## Les autres formats
 
 - **PDF** (`--pdf-report`) : destiné à être transmis. Il s'ouvre sur « Par
 
@@ -654,6 +654,95 @@ paths:
             application/json:
               schema:
                 $ref: '#/components/schemas/HTTPValidationError'
+  /analyses/{analysis_id}/stats:
+    get:
+      tags:
+      - analyses
+      summary: Get Analysis Stats
+      description: 'Exploration statistique (équiv. ``--stats``, vue GUI « Exploration
+        statistique », issue #912).
+
+
+        Chaque ligne porte ``flow_keys`` : les clés des flux regroupés (drill-down).'
+      operationId: get_analysis_stats_analyses__analysis_id__stats_get
+      security:
+      - APIKeyHeader: []
+      parameters:
+      - name: analysis_id
+        in: path
+        required: true
+        schema:
+          type: string
+          title: Analysis Id
+      - name: group_by
+        in: query
+        required: false
+        schema:
+          type: string
+          description: endpoint, protocol, segment ou flow
+          default: endpoint
+          title: Group By
+        description: endpoint, protocol, segment ou flow
+      - name: sort
+        in: query
+        required: false
+        schema:
+          type: string
+          description: packets, bytes, duration_ms, throughput_bps, latency_ms ou
+            events
+          default: bytes
+          title: Sort
+        description: packets, bytes, duration_ms, throughput_bps, latency_ms ou events
+      - name: top_n
+        in: query
+        required: false
+        schema:
+          type: integer
+          minimum: 0
+          description: N premières lignes (0 = toutes)
+          default: 10
+          title: Top N
+        description: N premières lignes (0 = toutes)
+      - name: format
+        in: query
+        required: false
+        schema:
+          type: string
+          description: json ou csv
+          default: json
+          title: Format
+        description: json ou csv
+      responses:
+        '200':
+          description: Successful Response
+          content:
+            application/json:
+              schema: {}
+            text/csv: {}
+        '401':
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/ErrorResponse'
+          description: Unauthorized
+        '404':
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/ErrorResponse'
+          description: Not Found
+        '409':
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/ErrorResponse'
+          description: Conflict
+        '422':
+          description: Validation Error
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/HTTPValidationError'
   /analyses/{analysis_id}/siem:
     get:
       tags:
 
@@ -14,9 +14,9 @@ ici fait donc échouer la CI.
 
 | Surface | Points d'entrée | Capacités |
 |---|---|---|
-| CLI | `cross_capture_analyzer_cli.py` (110 options), `cross_capture_diff_cli.py` (27), `cross_capture_batch_cli.py` (11), `cross_history_cli.py`, `netcross_lua_doc_cli.py`, `netcross_ai_models_cli.py` | Surface de référence : tout y est |
+| CLI | `cross_capture_analyzer_cli.py` (115 options), `cross_capture_diff_cli.py` (27), `cross_capture_batch_cli.py` (11), `cross_history_cli.py`, `netcross_lua_doc_cli.py`, `netcross_ai_models_cli.py` | Surface de référence : tout y est |
 | GUI | `netcross_gtk4` : 3 pages, 43 cases à cocher, 31 réglages numériques | Analyse interactive et exploration visuelle |
-| API | 41 routes FastAPI | Analyse avec sécurité ; options NAT, TLS, QUIC, anonymisation ; exports texte, PDF, CSV (issue #670) ; options avancées (#672) ; comparaison baseline/courant (#669) ; recherche forensic, extraction, comparaison de postes, NetFlow (#675) |
+| API | 42 routes FastAPI | Analyse avec sécurité ; options NAT, TLS, QUIC, anonymisation ; exports texte, PDF, CSV (issue #670) ; options avancées (#672) ; comparaison baseline/courant (#669) ; recherche forensic, extraction, comparaison de postes, NetFlow (#675) |
 
 
 Légende : **oui** = disponible ; **non** = absent ; **auto** = toujours
@@ -90,6 +90,7 @@ actif, non réglable.
 | Graphiques Top-N du PDF | oui (« Top-N graphiques ») | `--topn-charts` | `topn` de `GET /analyses/{analysis_id}/pdf` (issue #865) |
 | Rapport de sécurité HTML / JSON | oui (section Sécurité, 2 boutons) | `--security-html` ; clé `security_report` de `--json-report` | `GET /analyses/{analysis_id}/security` (liste simplifiée) |
 | Diagramme de séquence | oui (« Diagramme de sequence » de la configuration, dans l'export PDF ; issue #674) | `--sequence-diagram` | `GET /analyses/{analysis_id}/sequence` (issue #674), `format`, `max_flows` |
+| Exploration statistique (Top-N, tri, regroupement, drill-down, export CSV/JSON) | oui (vue « Exploration statistique » : regroupement, tri, Top-N, sélection d'une ligne, « Exporter CSV/JSON ») | `--stats FICHIER` (CSV si `.csv`, JSON sinon), `--stats-group-by`, `--stats-sort`, `--stats-top-n`, `--stats-format` ; `flow_keys` de chaque ligne pour le drill-down (issue #912) | `GET /analyses/{analysis_id}/stats` : `group_by`, `sort`, `top_n`, `format` (`json` ou `csv` ; issue #912) |
 | Export SIEM (CEF, LEEF, STIX) | oui (panneau « SIEM, ticket de support, historique » de la page Résultats, après un rapport de sécurité, même fichier ; issue #674) | `--siem-export`, `--siem-output` | `GET /analyses/{analysis_id}/siem` (issue #674), `format` |
 | Historique SQLite | oui (« Historique... » et « Etiquette » de la configuration, derniers runs dans le panneau « SIEM, ticket de support, historique » ; issue #674) | `--history-db`, `--history-label`, `--history-show` ; `netcross-history` | `history`, `history_label` de `POST /captures` et `POST /captures/multi` (base fixée par `NETCROSS_HISTORY_DB`, `history_id` ou `history_error` dans le résumé ; issue #890), consultation `GET /history` ; persistance propre des analyses (`NETCROSS_DB_PATH`), `GET /analyses` |
 | Ticket de support anonymisé | oui (case de consentement et « Ticket de support... » du panneau « SIEM, ticket de support, historique », ticket « diagnostic », toutes portées ; issue #674) | `--support-ticket`, `--support-consent`, `--support-scope`, `--support-map`, `--support-marker` | `POST /analyses/{analysis_id}/support-ticket` (issue #674), `consent`, `kind`, `scopes`, `marker`, `include_map` (issue #877) |
@@ -192,12 +193,11 @@ fenêtre « Outils de capture » (bouton de la barre de titre).
 | Cartographie des communications (filtres protocole, Top-N, « Anomalies seulement ») | Qui parle à qui, anomalies en rouge |
 | Annotations / signets | Étiquettes sur des trames, enregistrées à côté de la capture |
 | Dashboard analytique | Sélection croisée segments / flux / hôtes / protocoles / événements |
-| Exploration statistique (export CSV et JSON) | Top-N, tri, regroupement, drill-down |
 
 Ce sont des vues d'exploration interactives. Leur calcul vit déjà hors de
 la GUI (`netcross_report/comm_map.py`, `netcross_gtk4/stats_view.py`,
 `netcross_gtk4/dashboard_context.py`), ce qui permettrait de les exposer
-ailleurs : c'est l'objet de #909 à #912 (règle sans exemption, #330).
+ailleurs : c'est l'objet de #909 à #911 (exploration statistique : #912, livrée) (règle sans exemption, #330).
 
 ## Inventaire des cases de la GUI
 
@@ -296,6 +296,7 @@ l'option CLI de même nom) : `nat_tolerant`, `nat_window_ms`, `tls`,
 | `GET /lua-doc/search` | Recherche dans la documentation Lua, `q`, `limit`, `full` (issue #873) |
 | `GET /comparisons/{comparison_id}/redact-map` | Table d'anonymisation commune baseline/courant (issue #876) |
 | `POST /tools/replay` | Rejeu sur une interface autorisée (issue #871) |
+| `GET /analyses/{analysis_id}/stats` | Exploration statistique, JSON ou CSV (issue #912) |
 
 Réglages par variables d'environnement (`NETCROSS_API_TOKEN` pour
 l'en-tête `X-API-Key`, `NETCROSS_MAX_UPLOAD_MB`, `NETCROSS_API_MAX_FILES`,
@@ -325,8 +326,7 @@ Classés par impact pour un utilisateur :
    Révisé le 11/10/2026 (#330) : plus aucune exemption, toute fonction
    doit exister en CLI, GTK4 et API. Restent : l'API de la capture en
    direct (#902 à #908) et la CLI et l'API des vues propres à la GUI
-   (#909 cartographie, #910 annotations, #911 dashboard, #912
-   exploration statistique).
+   (#909 cartographie, #910 annotations, #911 dashboard ; #912 livrée).
 
 Correctifs apportés à l'audit du 24/09 (commentaire de #330) :
 
 
@@ -156,6 +156,10 @@
 from netcross_core.security import close_db, connect_cve_db
 from netcross_core.security import findings as security_findings
 from netcross_core.security.cve_seed import open_seed_db
+from netcross_core.stats import EXPORT_FORMATS as STATS_EXPORT_FORMATS
+from netcross_core.stats import GROUP_BY as STATS_GROUP_BY
+from netcross_core.stats import SORT_BY as STATS_SORT_BY
+from netcross_core.stats import explore_stats, render_stats, stats_format_for
 from netcross_core.support import (
     SCOPES as SUPPORT_SCOPES,
 )
@@ -1290,6 +1294,23 @@ def _run_content_extraction(captures, out_dir, kinds) -> None:
     logger.debug("_run_content_extraction: fin")
 
 
+def _check_stats_args(args) -> None:
+    """Validations de l'issue #912."""
+    modifies = (
+        args.stats_group_by != "endpoint"
+        or args.stats_sort != "bytes"
+        or args.stats_top_n != 10
+        or args.stats_format is not None
+    )
+    if modifies and not args.stats:
+        print("--stats-group-by/--stats-sort/--stats-top-n/--stats-format necessitent --stats.", file=sys.stderr)
+        sys.exit(1)
+    if args.stats_top_n < 0:
+        print("--stats-top-n : 0 (toutes) ou plus.", file=sys.stderr)
+        sys.exit(1)
+    logger.debug("_check_stats_args: fin")
+
+
 def _check_live_report_args(args) -> None:
     """Validations de l'issue #274."""
     logger.debug("_check_live_report_args: args={}", summarize(args, "args"))
@@ -1601,6 +1622,32 @@ def main():
     )
     ap.add_argument("--order", help="Ordre physique des points sur le chemin reseau, ex: LAN,WAN,DC")
     ap.add_argument("--detail-csv", help="Chemin de sortie pour le detail par flux (CSV)")
+    # Issue #912 : exploration statistique (vue GUI « Exploration statistique »)
+    ap.add_argument(
+        "--stats",
+        metavar="FICHIER",
+        help="Exploration statistique (Top-N, tri, regroupement) : CSV si FICHIER finit par .csv, JSON sinon "
+        "(--stats-format pour forcer) ; flow_keys de chaque ligne = drill-down vers les flux",
+    )
+    ap.add_argument(
+        "--stats-group-by",
+        choices=STATS_GROUP_BY,
+        default="endpoint",
+        help="Statistiques : regroupement (defaut endpoint)",
+    )
+    ap.add_argument(
+        "--stats-sort", choices=STATS_SORT_BY, default="bytes", help="Statistiques : tri decroissant (defaut bytes)"
+    )
+    ap.add_argument(
+        "--stats-top-n",
+        type=int,
+        default=10,
+        metavar="N",
+        help="Statistiques : N premieres lignes (defaut 10, 0 = toutes)",
+    )
+    ap.add_argument(
+        "--stats-format", choices=STATS_EXPORT_FORMATS, help="Statistiques : csv ou json (defaut : extension)"
+    )
     ap.add_argument(
         "--names",
         metavar="PATH",
@@ -2734,6 +2781,7 @@ def main():
         sys.exit(1)
     extract_kinds = _check_extraction_args(args)
     _check_live_report_args(args)
+    _check_stats_args(args)
     if args.redact and (args.tls or args.quic or args.client_group):
         print(
             "--redact n'est pas disponible avec --tls/--quic/--client-group : ces "
@@ -3168,6 +3216,24 @@ def main():
     if args.detail_csv:
         write_detail_csv(args.detail_csv, flows, r.points, names=names)
         print(f"\nDetail par flux ecrit dans {args.detail_csv}")
+    if args.stats:
+        from netcross_report import build_findings as _build_findings
+
+        rows = explore_stats(
+            flows,
+            r,
+            findings if findings is not None else _build_findings(r),
+            group_by=args.stats_group_by,
+            sort_by=args.stats_sort,
+            top_n=args.stats_top_n,
+        )
+        fmt = stats_format_for(args.stats, args.stats_format)
+        with open(args.stats, "w", encoding="utf-8", newline="") as f:
+            f.write(render_stats(rows, fmt))
+        print(
+            f"\nStatistiques ({fmt.upper()}, par {args.stats_group_by}, tri {args.stats_sort}) "
+            f"ecrites dans {args.stats} : {len(rows)} ligne(s)"
+        )
 
     # Objets de contrat de la Session 0 (FEATURES.md section 13.3) --
     # construits UNE fois ici, puis partages par la console
 
@@ -43,7 +43,7 @@
 
 from fastapi import Depends, FastAPI, File, Form, HTTPException, Query, Request, UploadFile
 from fastapi.concurrency import run_in_threadpool
-from fastapi.responses import JSONResponse, PlainTextResponse, StreamingResponse
+from fastapi.responses import JSONResponse, PlainTextResponse, Response, StreamingResponse
 from fastapi.security import APIKeyHeader
 
 from netcross_api.models import (
@@ -1687,6 +1687,47 @@ async def get_analysis_sequence(
     return JSONResponse({"sequence_views": [asdict(v) for v in views]})
 
 
+@app.get(
+    "/analyses/{analysis_id}/stats",
+    tags=["analyses"],
+    responses={**_ANALYSIS_RESPONSES, 404: {"model": ErrorResponse}, 200: {"content": {"text/csv": {}}}},
+)
+async def get_analysis_stats(
+    analysis_id: str,
+    group_by: str = Query(default="endpoint", description="endpoint, protocol, segment ou flow"),
+    sort: str = Query(default="bytes", description="packets, bytes, duration_ms, throughput_bps, latency_ms ou events"),
+    top_n: int = Query(default=10, ge=0, description="N premières lignes (0 = toutes)"),
+    format: str = Query(default="json", description="json ou csv"),
+    _auth: None = Depends(_verify_api_key),
+) -> Response:
+    """Exploration statistique (équiv. ``--stats``, vue GUI « Exploration statistique », issue #912).
+
+    Chaque ligne porte ``flow_keys`` : les clés des flux regroupés (drill-down)."""
+    from netcross_core.stats import explore_stats, render_stats, stats_format_for
+
+    try:
+        fmt = stats_format_for("", format)
+    except ValueError as exc:
+        logger.debug("get_analysis_stats: format invalide ({})", exc)
+        raise HTTPException(status_code=400, detail=str(exc)) from exc
+    entry = _completed_entry(analysis_id)
+    flows = entry.get("flows")
+    report_obj = entry.get("report_obj")
+    if flows is None or report_obj is None:
+        logger.debug("get_analysis_stats: pas de flux ou de rapport -> 404")
+        raise HTTPException(status_code=404, detail="Aucun flux disponible pour les statistiques")
+    try:
+        rows = explore_stats(flows, report_obj, entry.get("findings"), group_by=group_by, sort_by=sort, top_n=top_n)
+    except ValueError as exc:
+        logger.debug("get_analysis_stats: paramètre invalide ({})", exc)
+        raise HTTPException(status_code=400, detail=str(exc)) from exc
+    if fmt == "csv":
+        return PlainTextResponse(render_stats(rows, "csv"), media_type="text/csv")
+    from netcross_core.stats import export_json
+
+    return JSONResponse({"group_by": group_by, "sort": sort, "rows": export_json(rows)})
+
+
 @app.get(
     "/analyses/{analysis_id}/siem",
     tags=["analyses"],