@@ -80,6 +80,7 @@ La spécification OpenAPI est disponible sur :
 | `POST` | `/tools/export` | Sous-ensemble filtré (`file`, `bpf`, `time_start`, `time_end`, `endpoints`, `format`) : `--export-pcap` (issue #886) |
 | `POST` | `/tools/adjust-time` | Recalage (`file`, puis `time_offset`, `normalize` ou `align_to`, `format`) : `--adjust-time-output` (issue #887) |
 | `POST` | `/tools/replay` | Rejeu (`file`, `interface`, `speed`, `loop`) : `--replay`. ÉMET du trafic réel ; refusé (403) sauf si `interface` figure dans `NETCROSS_REPLAY_INTERFACES` (liste séparée par des virgules, vide par défaut) ; 503 si tcpreplay absent (issue #871) |
+| `GET` | `/analyses/{id}/comm-map` | Cartographie des communications (qui parle à qui) : `protocol` (répétable), `top_n`, `anomalies_only`, `format=json\|dot` (DOT Graphviz, anomalies en rouge) ; équiv. `--comm-map` (issue #909) |
 | `GET` | `/health` | Health check |
 
 ## Exemples curl
 
@@ -11,7 +11,7 @@
 > Il remplace l'ancienne section 3 de `docs/features-backlog.md`, tenue à la main, qui avait dérivé
 > (voir `docs/sessions/session-36.md`, issue #140).
 
-194 modules · 282 classes · 671 fonctions publiques de module.
+194 modules · 282 classes · 676 fonctions publiques de module.
 
 Conventions : `+` public, `-` privé (préfixe `_`) ; `int?` = `int | None` ; `list~str~` = `list[str]` ;
 `<<module>>` regroupe les fonctions publiques d'un module ; `A --> B : champ` = `A` a un champ annoté
@@ -32,15 +32,15 @@ flowchart TD
     netcross_ai["netcross_ai"]
     netcross_core["netcross_core"]
     pcap_parser["pcap_parser"]
-    CLI -->|"20 imports"| netcross_report
+    CLI -->|"21 imports"| netcross_report
     CLI -->|"8 imports"| netcross_ai
     CLI -->|"41 imports"| netcross_core
     CLI -->|"8 imports"| pcap_parser
     netcross_gtk4 -->|"31 imports"| netcross_report
     netcross_gtk4 -->|"4 imports"| netcross_ai
     netcross_gtk4 -->|"109 imports"| netcross_core
     netcross_gtk4 -->|"6 imports"| pcap_parser
-    netcross_api -->|"19 imports"| netcross_report
+    netcross_api -->|"20 imports"| netcross_report
     netcross_api -->|"5 imports"| netcross_ai
     netcross_api -->|"42 imports"| netcross_core
     netcross_api -->|"3 imports"| pcap_parser
@@ -3486,6 +3486,9 @@ classDiagram
         +available_protocols(flows) list~str~
         +build_comm_map(flows, protocols, top_n, only_anomalies) CommMap
         +format_comm_map(cmap, top_n) str
+        +comm_map_to_dict(cmap) dict
+        +comm_map_to_dot(cmap) str
+        +write_comm_map(path, cmap) str
     }
 
     %% ===== netcross_report.expert_events =====
@@ -3936,6 +3939,7 @@ classDiagram
         +get_analysis_pdf(analysis_id, topn, _auth) StreamingResponse
         +get_analysis_csv(analysis_id, _auth) PlainTextResponse
         +get_analysis_sequence(analysis_id, max_flows, _auth) JSONResponse
+        +get_analysis_comm_map(analysis_id, protocol, top_n, anomalies_only, format, _auth) Response
         +get_analysis_siem(analysis_id, format, _auth) PlainTextResponse
         +forensic_search(analysis_id, body, _auth) JSONResponse
         +extract_contents(analysis_id, files, labels, kinds, _auth) StreamingResponse
@@ -4909,6 +4913,7 @@ classDiagram
     %% ===== cross_capture_analyzer_cli =====
     class mod_cross_capture_analyzer_cli["cross_capture_analyzer_cli"] {
         <<module>>
+        +comm_map_protocols(values) list~str~?
         +main()
     }
 
 
@@ -96,6 +96,22 @@ présentes.
 Quand Netcross ne peut pas conclure, il l'écrit (« indéterminé »,
 « impossible de conclure ») plutôt que de deviner. C'est volontaire.
 
+## La cartographie des communications
+
+La vue « Cartographie » de la GUI (qui parle à qui, anomalies en rouge)
+s'exporte aussi en ligne de commande :
+
+```bash
+netcross --capture LAN=lan.pcapng --capture WAN=wan.pcapng --comm-map carte.dot --comm-map-anomalies-only
+dot -Tsvg carte.dot -o carte.svg        # rendu SVG avec Graphviz
+netcross --capture LAN=lan.pcapng --comm-map carte.json --comm-map-protocol TCP,DNS --comm-map-top-n 20
+```
+
+Un nom en `.dot` ou `.gv` donne un graphe Graphviz, tout autre nom un JSON
+(nœuds, arêtes orientées, volumes, protocoles, anomalies). Les arêtes sont
+orientées : un échange TCP en donne deux, ce qui montre un sens sans réponse.
+Par l'API : `GET /analyses/{id}/comm-map` avec les mêmes filtres.
+
 ## Les autres formats
 
 - **PDF** (`--pdf-report`) : destiné à être transmis. Il s'ouvre sur « Par
 
@@ -654,6 +654,94 @@ paths:
             application/json:
               schema:
                 $ref: '#/components/schemas/HTTPValidationError'
+  /analyses/{analysis_id}/comm-map:
+    get:
+      tags:
+      - analyses
+      summary: Get Analysis Comm Map
+      description: 'Cartographie des communications (équiv. ``--comm-map``, vue GUI
+        « Cartographie », issue #909).'
+      operationId: get_analysis_comm_map_analyses__analysis_id__comm_map_get
+      security:
+      - APIKeyHeader: []
+      parameters:
+      - name: analysis_id
+        in: path
+        required: true
+        schema:
+          type: string
+          title: Analysis Id
+      - name: protocol
+        in: query
+        required: false
+        schema:
+          anyOf:
+          - type: array
+            items:
+              type: string
+          - type: 'null'
+          description: Seulement ces protocoles (répétable ou séparés par des virgules)
+          title: Protocol
+        description: Seulement ces protocoles (répétable ou séparés par des virgules)
+      - name: top_n
+        in: query
+        required: false
+        schema:
+          anyOf:
+          - type: integer
+            minimum: 1
+          - type: 'null'
+          description: 'N arêtes les plus volumineuses (défaut : toutes)'
+          title: Top N
+        description: 'N arêtes les plus volumineuses (défaut : toutes)'
+      - name: anomalies_only
+        in: query
+        required: false
+        schema:
+          type: boolean
+          description: Seulement les arêtes avec anomalies
+          default: false
+          title: Anomalies Only
+        description: Seulement les arêtes avec anomalies
+      - name: format
+        in: query
+        required: false
+        schema:
+          type: string
+          description: json ou dot (Graphviz, anomalies en rouge)
+          default: json
+          title: Format
+        description: json ou dot (Graphviz, anomalies en rouge)
+      responses:
+        '200':
+          description: Successful Response
+          content:
+            application/json:
+              schema: {}
+        '401':
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/ErrorResponse'
+          description: Unauthorized
+        '404':
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/ErrorResponse'
+          description: Not Found
+        '409':
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/ErrorResponse'
+          description: Conflict
+        '422':
+          description: Validation Error
+          content:
+            application/json:
+              schema:
+                $ref: '#/components/schemas/HTTPValidationError'
   /analyses/{analysis_id}/siem:
     get:
       tags:
 
@@ -14,9 +14,9 @@ ici fait donc échouer la CI.
 
 | Surface | Points d'entrée | Capacités |
 |---|---|---|
-| CLI | `cross_capture_analyzer_cli.py` (110 options), `cross_capture_diff_cli.py` (27), `cross_capture_batch_cli.py` (11), `cross_history_cli.py`, `netcross_lua_doc_cli.py`, `netcross_ai_models_cli.py` | Surface de référence : tout y est |
+| CLI | `cross_capture_analyzer_cli.py` (114 options), `cross_capture_diff_cli.py` (27), `cross_capture_batch_cli.py` (11), `cross_history_cli.py`, `netcross_lua_doc_cli.py`, `netcross_ai_models_cli.py` | Surface de référence : tout y est |
 | GUI | `netcross_gtk4` : 3 pages, 43 cases à cocher, 31 réglages numériques | Analyse interactive et exploration visuelle |
-| API | 41 routes FastAPI | Analyse avec sécurité ; options NAT, TLS, QUIC, anonymisation ; exports texte, PDF, CSV (issue #670) ; options avancées (#672) ; comparaison baseline/courant (#669) ; recherche forensic, extraction, comparaison de postes, NetFlow (#675) |
+| API | 42 routes FastAPI | Analyse avec sécurité ; options NAT, TLS, QUIC, anonymisation ; exports texte, PDF, CSV (issue #670) ; options avancées (#672) ; comparaison baseline/courant (#669) ; recherche forensic, extraction, comparaison de postes, NetFlow (#675) |
 
 
 Légende : **oui** = disponible ; **non** = absent ; **auto** = toujours
@@ -90,6 +90,7 @@ actif, non réglable.
 | Graphiques Top-N du PDF | oui (« Top-N graphiques ») | `--topn-charts` | `topn` de `GET /analyses/{analysis_id}/pdf` (issue #865) |
 | Rapport de sécurité HTML / JSON | oui (section Sécurité, 2 boutons) | `--security-html` ; clé `security_report` de `--json-report` | `GET /analyses/{analysis_id}/security` (liste simplifiée) |
 | Diagramme de séquence | oui (« Diagramme de sequence » de la configuration, dans l'export PDF ; issue #674) | `--sequence-diagram` | `GET /analyses/{analysis_id}/sequence` (issue #674), `format`, `max_flows` |
+| Cartographie des communications (qui parle à qui, anomalies en rouge) | oui (vue « Cartographie » : filtres protocole, Top-N, « Anomalies seulement ») | `--comm-map FICHIER` (DOT Graphviz si `.dot`/`.gv`, JSON sinon), `--comm-map-protocol`, `--comm-map-top-n`, `--comm-map-anomalies-only` (issue #909) | `GET /analyses/{analysis_id}/comm-map` : `protocol`, `top_n`, `anomalies_only`, `format` (`json` ou `dot` ; issue #909) |
 | Export SIEM (CEF, LEEF, STIX) | oui (panneau « SIEM, ticket de support, historique » de la page Résultats, après un rapport de sécurité, même fichier ; issue #674) | `--siem-export`, `--siem-output` | `GET /analyses/{analysis_id}/siem` (issue #674), `format` |
 | Historique SQLite | oui (« Historique... » et « Etiquette » de la configuration, derniers runs dans le panneau « SIEM, ticket de support, historique » ; issue #674) | `--history-db`, `--history-label`, `--history-show` ; `netcross-history` | `history`, `history_label` de `POST /captures` et `POST /captures/multi` (base fixée par `NETCROSS_HISTORY_DB`, `history_id` ou `history_error` dans le résumé ; issue #890), consultation `GET /history` ; persistance propre des analyses (`NETCROSS_DB_PATH`), `GET /analyses` |
 | Ticket de support anonymisé | oui (case de consentement et « Ticket de support... » du panneau « SIEM, ticket de support, historique », ticket « diagnostic », toutes portées ; issue #674) | `--support-ticket`, `--support-consent`, `--support-scope`, `--support-map`, `--support-marker` | `POST /analyses/{analysis_id}/support-ticket` (issue #674), `consent`, `kind`, `scopes`, `marker`, `include_map` (issue #877) |
@@ -189,15 +190,14 @@ fenêtre « Outils de capture » (bouton de la barre de titre).
 
 | Vue | Rôle |
 |---|---|
-| Cartographie des communications (filtres protocole, Top-N, « Anomalies seulement ») | Qui parle à qui, anomalies en rouge |
 | Annotations / signets | Étiquettes sur des trames, enregistrées à côté de la capture |
 | Dashboard analytique | Sélection croisée segments / flux / hôtes / protocoles / événements |
 | Exploration statistique (export CSV et JSON) | Top-N, tri, regroupement, drill-down |
 
 Ce sont des vues d'exploration interactives. Leur calcul vit déjà hors de
 la GUI (`netcross_report/comm_map.py`, `netcross_gtk4/stats_view.py`,
 `netcross_gtk4/dashboard_context.py`), ce qui permettrait de les exposer
-ailleurs : c'est l'objet de #909 à #912 (règle sans exemption, #330).
+ailleurs : c'est l'objet de #910 à #912 (cartographie : #909, livrée) (règle sans exemption, #330).
 
 ## Inventaire des cases de la GUI
 
@@ -296,6 +296,7 @@ l'option CLI de même nom) : `nat_tolerant`, `nat_window_ms`, `tls`,
 | `GET /lua-doc/search` | Recherche dans la documentation Lua, `q`, `limit`, `full` (issue #873) |
 | `GET /comparisons/{comparison_id}/redact-map` | Table d'anonymisation commune baseline/courant (issue #876) |
 | `POST /tools/replay` | Rejeu sur une interface autorisée (issue #871) |
+| `GET /analyses/{analysis_id}/comm-map` | Cartographie des communications, JSON ou DOT (issue #909) |
 
 Réglages par variables d'environnement (`NETCROSS_API_TOKEN` pour
 l'en-tête `X-API-Key`, `NETCROSS_MAX_UPLOAD_MB`, `NETCROSS_API_MAX_FILES`,
@@ -325,7 +326,7 @@ Classés par impact pour un utilisateur :
    Révisé le 11/10/2026 (#330) : plus aucune exemption, toute fonction
    doit exister en CLI, GTK4 et API. Restent : l'API de la capture en
    direct (#902 à #908) et la CLI et l'API des vues propres à la GUI
-   (#909 cartographie, #910 annotations, #911 dashboard, #912
+   (#910 annotations, #911 dashboard, #912
    exploration statistique).
 
 Correctifs apportés à l'audit du 24/09 (commentaire de #330) :
 
@@ -167,6 +167,7 @@
     write_support_map_csv,
     write_ticket,
 )
+from netcross_report.comm_map import build_comm_map, write_comm_map
 from netcross_report.security_report import build_security_report, print_security_report
 from pcap_parser.capture import split_by_interface
 from pcap_parser.ek_source import TsharkError, TsharkNotFoundError
@@ -1290,6 +1291,24 @@ def _run_content_extraction(captures, out_dir, kinds) -> None:
     logger.debug("_run_content_extraction: fin")
 
 
+def comm_map_protocols(values) -> list[str] | None:
+    """Protocoles de --comm-map-protocol (repetable, virgules acceptees)."""
+    protos = [p.strip() for v in values or [] for p in v.split(",") if p.strip()]
+    return protos or None
+
+
+def _check_comm_map_args(args) -> None:
+    """Validations de l'issue #909."""
+    filtres = args.comm_map_protocol or args.comm_map_top_n is not None or args.comm_map_anomalies_only
+    if filtres and not args.comm_map:
+        print("--comm-map-protocol/--comm-map-top-n/--comm-map-anomalies-only necessitent --comm-map.", file=sys.stderr)
+        sys.exit(1)
+    if args.comm_map_top_n is not None and args.comm_map_top_n < 1:
+        print("--comm-map-top-n : 1 minimum.", file=sys.stderr)
+        sys.exit(1)
+    logger.debug("_check_comm_map_args: fin")
+
+
 def _check_live_report_args(args) -> None:
     """Validations de l'issue #274."""
     logger.debug("_check_live_report_args: args={}", summarize(args, "args"))
@@ -1601,6 +1620,30 @@ def main():
     )
     ap.add_argument("--order", help="Ordre physique des points sur le chemin reseau, ex: LAN,WAN,DC")
     ap.add_argument("--detail-csv", help="Chemin de sortie pour le detail par flux (CSV)")
+    # Issue #909 : cartographie des communications (vue GUI « Cartographie »)
+    ap.add_argument(
+        "--comm-map",
+        metavar="FICHIER",
+        help="Cartographie des communications (qui parle a qui) : DOT Graphviz si FICHIER finit par .dot/.gv "
+        "(anomalies en rouge ; SVG : dot -Tsvg), JSON sinon",
+    )
+    ap.add_argument(
+        "--comm-map-protocol",
+        action="append",
+        metavar="PROTO[,PROTO...]",
+        help="Cartographie : seulement ces protocoles (repetable ou separes par des virgules)",
+    )
+    ap.add_argument(
+        "--comm-map-top-n",
+        type=int,
+        metavar="N",
+        help="Cartographie : N aretes les plus volumineuses (defaut : toutes)",
+    )
+    ap.add_argument(
+        "--comm-map-anomalies-only",
+        action="store_true",
+        help="Cartographie : seulement les aretes avec retransmissions ou signaux d'expertise",
+    )
     ap.add_argument(
         "--names",
         metavar="PATH",
@@ -2734,6 +2777,7 @@ def main():
         sys.exit(1)
     extract_kinds = _check_extraction_args(args)
     _check_live_report_args(args)
+    _check_comm_map_args(args)
     if args.redact and (args.tls or args.quic or args.client_group):
         print(
             "--redact n'est pas disponible avec --tls/--quic/--client-group : ces "
@@ -3168,6 +3212,18 @@ def main():
     if args.detail_csv:
         write_detail_csv(args.detail_csv, flows, r.points, names=names)
         print(f"\nDetail par flux ecrit dans {args.detail_csv}")
+    if args.comm_map:
+        cmap = build_comm_map(
+            flows,
+            protocols=comm_map_protocols(args.comm_map_protocol),
+            top_n=args.comm_map_top_n,
+            only_anomalies=args.comm_map_anomalies_only,
+        )
+        fmt = write_comm_map(args.comm_map, cmap)
+        print(
+            f"\nCartographie ({fmt.upper()}) ecrite dans {args.comm_map} : "
+            f"{len(cmap.edges)} arete(s) sur {cmap.total_edges}, {len(cmap.nodes)} hote(s)"
+        )
 
     # Objets de contrat de la Session 0 (FEATURES.md section 13.3) --
     # construits UNE fois ici, puis partages par la console
 
@@ -43,7 +43,7 @@
 
 from fastapi import Depends, FastAPI, File, Form, HTTPException, Query, Request, UploadFile
 from fastapi.concurrency import run_in_threadpool
-from fastapi.responses import JSONResponse, PlainTextResponse, StreamingResponse
+from fastapi.responses import JSONResponse, PlainTextResponse, Response, StreamingResponse
 from fastapi.security import APIKeyHeader
 
 from netcross_api.models import (
@@ -1687,6 +1687,42 @@ async def get_analysis_sequence(
     return JSONResponse({"sequence_views": [asdict(v) for v in views]})
 
 
+_COMM_MAP_PROTOCOL_QUERY = Query(
+    default=None, description="Seulement ces protocoles (répétable ou séparés par des virgules)"
+)
+
+
+@app.get(
+    "/analyses/{analysis_id}/comm-map",
+    tags=["analyses"],
+    responses={**_ANALYSIS_RESPONSES, 404: {"model": ErrorResponse}},
+)
+async def get_analysis_comm_map(
+    analysis_id: str,
+    protocol: list[str] | None = _COMM_MAP_PROTOCOL_QUERY,
+    top_n: int | None = Query(default=None, ge=1, description="N arêtes les plus volumineuses (défaut : toutes)"),
+    anomalies_only: bool = Query(default=False, description="Seulement les arêtes avec anomalies"),
+    format: str = Query(default="json", description="json ou dot (Graphviz, anomalies en rouge)"),
+    _auth: None = Depends(_verify_api_key),
+) -> Response:
+    """Cartographie des communications (équiv. ``--comm-map``, vue GUI « Cartographie », issue #909)."""
+    from netcross_report.comm_map import build_comm_map, comm_map_to_dict, comm_map_to_dot
+
+    if format not in ("json", "dot"):
+        logger.debug("get_analysis_comm_map: format {} -> 400", format)
+        raise HTTPException(status_code=400, detail="format : json ou dot")
+    entry = _completed_entry(analysis_id)
+    flows = entry.get("flows")
+    if flows is None:
+        logger.debug("get_analysis_comm_map: pas de flux -> 404")
+        raise HTTPException(status_code=404, detail="Aucun flux disponible pour la cartographie")
+    protos = [p.strip() for v in protocol or [] for p in v.split(",") if p.strip()] or None
+    cmap = build_comm_map(flows, protocols=protos, top_n=top_n, only_anomalies=anomalies_only)
+    if format == "dot":
+        return PlainTextResponse(comm_map_to_dot(cmap), media_type="text/vnd.graphviz")
+    return JSONResponse(comm_map_to_dict(cmap))
+
+
 @app.get(
     "/analyses/{analysis_id}/siem",
     tags=["analyses"],