« On est concernés ? » Vous avez déjà la réponse.

Une faille critique sort le matin, elle tourne sur tous les fils, et la question tombe avant midi. Chez vous, l'alerte est partie avant la question, parce que votre veille CVE ne suit que les versions que vous exploitez, déclarées une fois à la main, par SBOM ou depuis une URL. Neuf flux relus en continu, dont le catalogue KEV de la CISA et les alertes du CERT-FR. Et l'ordre de correction est déjà fixé : exploitation constatée d'abord, probabilité à 30 jours ensuite, gravité en dernier.

Créer un compte gratuit Voir comment ça marche

Traitement < 30 s 360 000 CVE indexées Conçu et hébergé en France

Plan gratuit, sans carte bancaire Sous-traitants publiés Export de vos données à tout moment

Intégrations

Slack Microsoft Teams Discord Email Notifications in-app Webhooks HTTP API REST

Plateforme

Trois veilles à tenir. Une seule à lire.

Neuf flux de vulnérabilités alimentent vos alertes : CVE List, NVD, le catalogue KEV de la CISA, l'EPSS, PoC-in-GitHub, GHSA, OSV, les avis et alertes du CERT-FR et la base européenne EUVD. Douze sources de veille éditoriale alimentent votre brief quotidien. Vous n'ouvrez plus qu'un onglet ; nous gardons les autres ouverts pour vous. Comment se construit un périmètre de veille CVE.

01 · Détection Scan en cours

Chaque CVE passée au crible de votre stack.

Pas de bruit. Notre moteur compare vos technos et leurs versions, par identifiant CPE (Common Platform Enumeration, la nomenclature qui nomme un produit et sa version), aux 360 000 enregistrements CVE indexés, identifiants réservés et rejetés compris. Ne remonte que ce qui touche vos composants déclarés.

CVE critiques affectant votre stack sur 1 842 publiées ces 30 derniers jours · ratio de signal 0,38 %

Votre stack · 51 composants

php 8.1.28

nginx 1.24.0

postgresql 16.2

ubuntu 22.04

node 20.10

redis 7.2.3

elasticsearch 8.11

docker 24.0.7

kubernetes 1.28.4

openssl 3.2.1

mysql 8.0.35

apache 2.4.58

+ 39 autres

7 matchs critiques

9.8 CVE-2026-1847 KEV

OpenSSL : RCE via cert parsing

Exploit public · correctif dispo

9.1 CVE-2026-1801 KEV

Apache 2.4 : SSRF dans mod_proxy

Exploitée activement · correctif dispo

8.1 CVE-2026-1798

PostgreSQL 16 : priv escalation

EPSS 0.82 · correctif dispo

7.8 CVE-2026-1712

nginx 1.24 : HTTP/3 buffer overflow

Mitigation : désactiver HTTP/3

7.5 CVE-2026-1689

Node.js 20 : prototype pollution

EPSS 0.44 · correctif dispo

02 · Anticipation endoflife.date

Aucune fin de support ne vous tombe dessus.

Alertes J-90, J-30 et J-7 pour chaque composant de votre stack.

jours

PHP 8.1

Fin du support sécurité

31 déc 2026

J-94CentOS 7OS serveur

J-218Ubuntu 20.04LTS standard

J-412Node 18 LTSRuntime

J-548MySQL 5.7Base de données

03 · Synthèse Tous les matins 8h00

Un brief quotidien, pas un déluge de RSS.

Nous appelons ce brief Patchwork : un e-mail à 8 h qui résume ce que nos 12 sources de veille éditoriale ont publié la veille, filtré sur votre stack. Deux minutes de lecture, à la place de douze onglets.

Patchwork · votre brief quotidien

Votre brief du mardi 14 avril

3 CVE critiques sur votre stack

PHP 8.1 : fin de support dans 62 jours

CERT-FR signale 2 campagnes actives

Fortinet publie 3 avis majeurs

5 patchs mineurs disponibles

Lecture 2 min Exemple de brief

Un jour dans la vie d'une CVE

De la publication à votre canal : moins de 30 secondes de traitement.

Deux délais, à ne pas confondre. La synchronisation : nous relisons CVE List, KEV et EPSS en continu, par cycles de quelques minutes. Le traitement : une fois la CVE vue, le rapprochement avec votre stack, la priorisation et la notification prennent moins de 30 secondes. Personne ne peut être plus rapide que sa fréquence de relecture ; nous préférons l'écrire.

T+0

Publication CVE

Vue lors d'un cycle de synchronisation sur CVE List v5, le catalogue KEV de la CISA ou l'EPSS de FIRST.org.

T+15s

Rapprochement avec votre stack

Rapprochement CPE éditeur / produit / version avec les composants que vous avez déclarés, puis filtre de sévérité minimale.

T+20s

Priorisation

Trois signaux, dans cet ordre : la CVE est-elle déjà exploitée (KEV) ? quelle probabilité qu'elle le soit sous 30 jours (EPSS) ? quelle casse si elle l'est (CVSS) ?

T+30s

Notification multi-canal

Slack, Teams, email, webhook. Workflow : PENDING → ANALYZING → FIXING → RESOLVED.

Workflows

Ce que vous refaites à chaque alerte, écrivez-le une fois.

Choisissez un déclencheur, ajoutez vos conditions, branchez vos actions. De la CVE détectée à l'équipe prévenue, en automatique, sans écrire une ligne de code.

Éditeur visuel

Du déclencheur à l'action, sur un canevas.

Construisez vos automatisations sur un canevas : chaque workflow part d'un événement, filtre par des conditions, puis exécute des actions sur vos canaux.

✓Déclencheurs CVE, EOL & certificats nouvelle CVE, mise à jour, PoC, KEV, fin de support…
✓Conditions composables sévérité, CVSS, EPSS, KEV, produit, éditeur
✓Actions multi-canal Slack, Teams, e-mail, webhook, dossier
✓Test à blanc (dry-run) simulez sur une CVE réelle avant d'activer

Workflow · Alertes critiques

Nouvelle CVE sur votre stacktrigger.cve_new_match Déclencheur

Score CVSS ≥ 9.0condition.cvss Condition

Présent au catalogue KEVcondition.is_kev Condition

Notifier Slack / Teamsaction.fire_webhooks Action

Créer un dossieraction.create_case Action

Assistant IA

Projet : Socle de production

Comment puis-je vous aider ?

Je connais la stack, les alertes et les suivis EOL de votre projet courant.

Quelle est la CVE la plus grave sur mon parc ?

Quelles alertes de cette semaine dois-je traiter en premier ?

Quels produits arrivent en fin de support ce trimestre ?

Vos échanges restent dans votre espace. Vigie ne voit que les données techniques du projet sélectionné.

Vous

Quelle est la CVE la plus grave sur mon parc ?

Assistant IA

CVE-2026-1847 est la priorité du moment sur votre parc : CVSS 9.8, exploitation confirmée.

Pourquoi elle passe devant

Inscrite au catalogue KEV le 12 mars : elle est exploitée dans la nature, pas seulement notée grave.

EPSS à 97 %, le score le plus élevé de vos 214 vulnérabilités ouvertes.

12 de vos serveurs tournent en OpenSSL 3.2.1 ; la version corrigée est la 3.2.2.

Le correctif est publié chez l'éditeur. Je peux préparer le suivi de remédiation ; rien ne s'applique sans votre validation.

CVE-2026-1847 Critique 12 mars 2026 KEV PoC public

OpenSSL · OpenSSL 3.2.1

Dépassement de tampon dans le traitement des extensions TLS, permettant l'exécution de code à distance sans authentification.

CVSS 9.8EPSS 97 %12 actifs

Posez une question sur votre parc

Les réponses peuvent comporter des erreurs. Vérifiez les informations importantes.

Assistant IA

247 CVE publiées depuis hier soir. Vigie vous en désigne une.

Une question en français, une réponse sur VOTRE inventaire : vos versions, vos alertes, vos échéances de fin de support. Ton d'analyste, 250 mots maximum, et chaque CVE citée est vérifiée dans la base avant d'être affichée.

Comprend vos vulnérabilitésExplique chaque CVE (CVSS, EPSS, KEV, PoC) et ce qu'il faut corriger en premier.

Connaît votre contexteLit votre stack, vos alertes, vos échéances EOL et la veille des sources que vous suivez.

Ne fabrique rienChaque identifiant cité est relu dans la base : s'il n'existe pas, la fiche ne s'affiche pas.

Propose, vous validezMettre à jour une version, suivre une fin de support : Vigie prépare l'action, vous confirmez d'un clic.

Conçu et hébergé en France · comprendre l'EPSS en cinq minutes

Comprendre

Quatre notions, vingt minutes. Et vous défendez une priorisation en réunion.

On ne vend pas un outil de priorisation à quelqu'un à qui on n'a pas expliqué sur quoi elle repose. Ces quatre guides se lisent dans cet ordre ; ils sont gratuits, sans inscription, et sans un mot de promotion.

1. La CVE, l'identifiant

Ce que désigne exactement CVE-2021-44228, qui attribue ce numéro, et pourquoi deux outils peuvent décrire la même faille différemment.

Ce qu'est vraiment une CVE

2. Le CVSS, la gravité

Comment se lit un vecteur champ par champ, et pourquoi un 9.8 n'est pas une consigne de priorité mais une mesure de casse potentielle.

Lire un vecteur CVSS

3. L'EPSS, la probabilité

Ce que veut dire un score de 0,92, pourquoi il est recalculé chaque matin, et ce qu'il ne prédit surtout pas.

Comment l'EPSS estime le risque

4. Le KEV, le constat

Le catalogue de la CISA ne prédit rien : il liste les failles dont l'exploitation est constatée. C'est le signal le plus dur du lot.

Ce qu'impose le catalogue KEV

API v1 · offres Pro et Business

API REST CVE : la veille descend dans votre chaîne de livraison.

Vingt points d'entrée REST documentés : lire vos alertes, interroger la base CVE, consulter votre inventaire, bloquer un déploiement quand une CVE critique n'est pas traitée. L'API est incluse dans les offres Pro et Business. Authentification Bearer, quotas par offre, exemples en curl, Python, JavaScript et GitHub Actions.

Intégrez TechWatchAlert dans votre chaîne de livraison.

Récupérez vos alertes, interrogez la base CVE, lisez votre watchlist, vos cas et vos statistiques. Toute votre veille est accessible en lecture via l'API (GET), pour bloquer un déploiement en cas de CVE critique.

✓Auth Bearer clés révocables, format twa_…
✓Lecture seule (GET) 5 000 appels par heure en Pro, sans quota horaire en Business
✓Docs Starlight exemples curl, Python, JS, GitHub Actions
✓Webhooks sortants signatures HMAC, retries exponentiels

Démarrer en trois étapes Référence de l’API

cURL
Python
JavaScript
GitHub Actions
Copier
# Récupérer les alertes critiques d'un projet
curl "https://app.techwatchalert.com/api/v1/organizations/org_x7y8/projects/prj_a1b2/alerts?severity=critical&status=pending" \
  -H "Authorization: Bearer twa_xK9...f2q" \
  -H "Accept: application/json"

# Réponse
{
  "items": [{
    "cve_id": "CVE-2026-1847",
    "severity": "CRITICAL",
    "cvss_score": 9.8,
    "epss_percentile": 0.97,
    "is_kev": true,
    "has_poc": true,
    "status": "PENDING"
  }],
  "total": 3, "page": 1
}
import httpx

client = httpx.Client(
    base_url="https://app.techwatchalert.com/api/v1",
    headers={"Authorization": f"Bearer {API_KEY}"}
)

# Lister la stack surveillée d'un projet
r = client.get(
    f"/organizations/{org_id}/projects/{project_id}/stack"
)

for tech in r.json()["items"]:
    print(f"{tech['vendor']}/{tech['product']}")
// Recherche CVE par vendor + sévérité
const res = await fetch(
  'https://app.techwatchalert.com/api/v1/cves?' +
  new URLSearchParams({
    vendor: 'nginx',
    severity: 'critical,high',
    is_kev: true
  }),
  {
    headers: {
      'Authorization': `Bearer ${apiKey}`
    }
  }
);

const { items, total } = await res.json();
console.log(`${total} failles actives sur nginx`);
# .github/workflows/security-gate.yml
name: Security Gate

on: [push, pull_request]

jobs:
  check-cves:
    runs-on: ubuntu-latest
    steps:
      - name: Block on critical CVEs
        run: |
          COUNT=$(curl -s \
            -H "Authorization: Bearer ${{ secrets.TWA_KEY }}" \
            "$TWA_URL/organizations/$ORG/projects/$PRJ/alerts?severity=critical&status=pending" \
            | jq '.total')
          if [ "$COUNT" -gt "0" ]; then
            echo "❌ $COUNT CVE critique(s) non résolue(s)"
            exit 1
          fi

360K

enregistrements CVE indexés, l'intégralité du programme depuis 1999, identifiants réservés et rejetés compris

flux de vulnérabilités recoupés entre eux, parce qu'aucun n'est complet à lui seul

sources de veille éditoriale pour le brief quotidien. Elles ne déclenchent aucune alerte

100%

de l'infrastructure en France : application, base CVE et vos inventaires

Tarifs

Tarifs veille cybersécurité : simples, transparents, sans surprise.

Quatre offres, de la veille d’une personne à l’équipe qui doit prouver ce qu’elle corrige. Les alertes CVE ne sont jamais facturées au volume : ce qui change, c’est le nombre de composants suivis, la taille de l’équipe et les fonctions. Prix HT, TVA ajoutée au paiement selon votre pays. Voir la grille détaillée.

Free

0 € sans limite de durée

Pour démarrer. Un projet surveillé, sans carte bancaire.

Commencer gratuitement

✓1 projet
✓3 composants de stack saisis
✓1 webhook d'alertes
✓1 application SBOM
✓5 suivis de fin de vie
✓Alertes par e-mail
✓Brief de veille quotidien

Team

49 € HT / mois

La veille en équipe. Trier les alertes à plusieurs et garder la trace.

Choisir Team →

✓5 projets · 10 membres
✓200 composants de stack saisis
✓Dossiers de traitement tickets Jira, GitLab, GitHub
✓Rapports PDF 12 mois d’historique
✓Slack, Teams, webhooks signés

Pro Recommandée

99 € HT / mois

Veille + preuves NIS2. Montrer comment vous traitez vos vulnérabilités.

Choisir Pro →

✓Tout Team, sans limite de projets ni de membres
✓Module NIS2 délais de correction, risques acceptés, incidents, rapport direction
✓Connecteurs d’inventaire GLPI et Intune
✓API REST v1 5 000 appels par heure
✓Journal d’audit conservé 1 an

Business

dès 249 € HT / mois

SSO, audit, achats. Au-delà, sur devis.

Choisir Business →

✓Tout Pro, et :
✓SSO OIDC avec domaines vérifiés
✓Journal d’audit conservé 5 ans
✓Démarrage accompagné support e-mail prioritaire
✓Bon de commande DPA signé, Chorus Pro sur demande

Sans engagement, changement d’offre à tout moment, prorata à la bascule. Prix hors taxes. Infogérant ? L’offre Partner est facturée par client. Avant de choisir, comparez : cinq outils concurrents, nos critères, nos dates de vérification.

Comparer

Six outils, les mêmes critères pour tous. Voici où nous prenons l’avantage.

OpenCVE demande un serveur. Nous, une adresse e-mail.

C'est un logiciel à déployer, mettre à jour et surveiller. Nous avons chiffré ce que coûte réellement cet auto-hébergement, heures d'ingénieur comprises.

Le comparatif OpenCVE, chiffré

Cyberwatch scanne le réseau. Nous partons de votre inventaire.

Un scanner actif suppose un agent à poser, un accès réseau à obtenir et une fenêtre à négocier. Ici, vous déclarez vos composants et la première alerte part à la prochaine synchronisation.

Le comparatif Cyberwatch

Sur CVEDetails, vous cherchez. Ici, l’alerte vous trouve.

Une base de consultation attend votre requête, en anglais. Nous partons de vos versions déclarées et nous écrivons, en français, quand l’une d’elles est touchée.

Le comparatif CVEDetails

Les six outils côte à côte, critères identiques

Ciblage de la stack, priorisation, fraîcheur des données, prix réel, hébergement. Méthode et date de vérification affichées, y compris là où un concurrent nous devance.

Le comparatif complet 2026

Sécurité & souveraineté

Votre inventaire est une carte de votre SI. Nous le gardons comme telle.

Qui fait tourner quoi, dans quelle version, avec quelles failles encore ouvertes : c’est la première chose qu’un attaquant cherche à reconstituer. Hébergement en France, chiffrement AES-256 au repos, TLS 1.3 en transit, double authentification, journal d’audit des actions sensibles. Le détail, sous-traitants compris, est sur notre page Sécurité.

Double authentification TOTP

Google Authenticator, Authy, 1Password, compatible RFC 6238.

Chiffrement AES-256

Au repos et TLS 1.3 en transit. JWT court + refresh token en Redis.

Hébergement en France

Application, base CVE et inventaires en région parisienne, chez OVHcloud. Nos sous-traitants et leurs garanties sont publiés sur la page Sécurité.

Journal d’audit

Actions sensibles tracées : acteur, entité, détails JSON, horodatage.

Rate limiting natif

10 tentatives / 60s par IP. Alertes automatiques si brute-force détecté.

Réseau isolé

Services data sur réseau privé. Frontend et API uniquement exposés en HTTPS.

DPA disponible

Accord de traitement (DPA) sur demande dès l’offre Team, signé avec l’offre Business. Export complet de vos données à tout moment, sans nous le demander.

Disponibilité : objectif 99,5 %

Objectif mensuel inscrit aux CGU, article 11.1. C’est un objectif publié, pas un engagement assorti de pénalités.

FAQ

Les questions qui reviennent.

Si la vôtre n'y est pas, posez-la : nous répondons sous 24 h ouvrées.

Comment savez-vous quelles CVE me concernent ?

Vous déclarez vos composants (système, appliances, frameworks, bibliothèques) à la main, par import d'un SBOM CycloneDX ou SPDX, ou par détection sur une URL publique. Chaque CVE publiée est rapprochée de cet inventaire par identifiant CPE (éditeur, produit, version). Une CVE qui ne touche aucun de vos composants ne vous est jamais envoyée.

En combien de temps suis-je prévenu ?

Deux délais, à ne pas confondre. Nous relisons les flux en continu, par cycles de quelques minutes : c'est la synchronisation. Une fois la CVE vue, le rapprochement, la priorisation et la notification prennent moins de 30 secondes : c'est le traitement. Personne ne peut être plus rapide que sa fréquence de relecture, et nous préférons l'écrire plutôt que d'afficher un chiffre que notre propre documentation démentirait.

Quelles sources alimentent vos alertes ?

Neuf flux de vulnérabilités : CVE List, NVD, le catalogue KEV de la CISA (Known Exploited Vulnerabilities, les failles dont l'exploitation est constatée), l'EPSS de FIRST.org, PoC-in-GitHub, GHSA, OSV, les avis et alertes du CERT-FR et la base européenne EUVD de l'ENISA. À part, douze sources de veille éditoriale (fil du CERT-FR, blogs d'éditeurs, presse spécialisée) alimentent le brief quotidien. Elles ne déclenchent aucune alerte. Le détail est sur la page des sources de données.

Un CVSS 9.8 doit-il être corrigé avant un 7.5 ?

Pas forcément, et c'est le piège le plus courant. Le CVSS mesure la casse potentielle, pas la probabilité d'attaque. La majorité des CVE critiques ne sont jamais exploitées. Nous regardons d'abord si la CVE est au catalogue KEV (exploitation constatée), puis son score EPSS (probabilité d'exploitation sous 30 jours), et seulement ensuite le CVSS.

Mes données d'inventaire sont-elles confidentielles ?

Votre inventaire ne sert qu'à une chose : filtrer le flux CVE. Il n'est ni revendu, ni utilisé pour entraîner un modèle, ni partagé avec un tiers. Hébergement en région parisienne, chiffrement AES-256 au repos, TLS 1.3 en transit. Nos sous-traitants, dont trois établis hors de l'Union européenne, sont listés avec leurs garanties sur la page Sécurité. Un accord de traitement des données (DPA) est signable à la demande.

Puis-je essayer sans carte bancaire ?

Oui. L'offre Free ne demande aucun moyen de paiement : une adresse e-mail suffit. Elle couvre un projet, 3 composants de stack saisis, 1 webhook d'alertes, 1 application SBOM et 5 suivis de fin de vie, avec notification par e-mail. C'est assez pour voir si le filtrage tient ses promesses sur votre stack.

Qu'est-ce qui est inclus dans l'API ?

L'API est incluse dans les offres Pro et Business : alertes, base CVE, inventaire, dossiers, statistiques, en lecture (points d'entrée GET). Pro permet 5 000 appels par heure, Business n'a pas de quota horaire. Authentification Bearer avec clés révocables. Dès l'offre Team, les alertes partent aussi vers Slack, Teams et des webhooks signés en HMAC.

Et si je veux partir ?

Vous exportez vos données à tout moment, sans nous le demander et sans frais : inventaire, alertes, dossiers, journal d'audit. Le changement d'offre se fait dans les deux sens, avec prorata. Rien n'est supprimé quand vous descendez d'offre : seules les fonctions de l'offre supérieure cessent d'être accessibles.

Plan gratuit, sans carte bancaire

La prochaine CVE qui vous concerne, vous la recevrez.

Deux minutes pour déclarer vos composants. Ensuite, c’est nous qui lisons les quarante mille autres.

Hébergé en France · sous-traitants publiés · export de vos données à tout moment