Alternative à CVEDetails
CVEDetails est une base de consultation de référence : on y cherche une vulnérabilité, un éditeur, un produit, en anglais. TechWatchAlert fait l’inverse : il part de votre inventaire et vous prévient quand l’un de vos composants est touché, avec la fin de support suivie et le correctif à appliquer. Deux usages, pas deux niveaux de qualité.
Ce qu’est CVEDetails, exactement
CVEDetails agrège les données du NVD et d’autres sources en pages consultables par CVE, par éditeur et par produit. C’est une base ancienne, très bien référencée, et gratuite à la lecture. Elle propose aussi des alertes par e-mail (par éditeur, produit, version, présence au catalogue KEV ou par CNA), une API au format du NVD sur abonnement, et des flux RSS personnalisés.
Son cœur reste la consultation : interface en anglais, abonnements déclarés à la main, abonnement payant pour l’API.
Chercher une CVE, ou être trouvé par elle
| Critère | TechWatchAlert | CVEDetails |
|---|---|---|
| Ciblage sur l’inventaire (agent, connecteurs, SBOM) | Oui | Abonnements manuels éditeur / produit |
| Langues de l’interface | Sept langues, dont le français | Anglais |
| Suivi de fin de vie (EOL) | Oui | Non |
| Priorisation KEV + EPSS dans l’alerte | Oui | KEV visible, tri manuel |
| Alertes e-mail | Oui | Oui |
| Slack, Teams, webhook, workflows | Oui | E-mail, RSS, API |
| API REST | Oui | Oui, sur abonnement |
| Profondeur d’archive consultable | Recherche dans l’application | Oui |
| Hébergement des données | France | États-Unis |
CVEDetails gagne sur la profondeur d’archive. Nous gagnons sur tout ce qui relève de l’action ciblée : être prévenu, en français, sur le bon périmètre, sans avoir à entretenir une liste d’abonnements.
Ce que CVEDetails fait mieux que nous
L’archive est plus profonde, et gratuite. Pour remonter l’historique complet d’un produit, croiser des statistiques anciennes ou préparer un dossier d’audit, c’est plus riche que notre recherche interne.
Il n’y a rien à configurer pour commencer à lire. Une URL, une recherche, une réponse. Aucun compte, aucune déclaration de stack. Pour une question ponctuelle, c’est imbattable.
Les flux RSS sont librement réutilisables par n’importe quel outil maison. Si vous avez déjà une chaîne de traitement, c’est une entrée simple.
Ce que nous faisons différemment
Le périmètre n’est pas une liste à entretenir. Sur CVEDetails, vous créez un abonnement par produit et vous le maintenez. Chez nous, la stack déclarée, saisie à la main, importée d’un SBOM (la nomenclature de vos composants) ou détectée sur une URL, sert de filtre, versions comprises.
L’alerte arrive déjà triée. Présence au KEV (exploitation avérée, publiée par la CISA), EPSS (probabilité d’exploitation à 30 jours), puis CVSS (gravité). Dans cet ordre, parce que le troisième est celui qui se trompe le plus souvent : la majorité des CVE dites critiques ne sont jamais exploitées. Le raisonnement complet est détaillé sur la page veille CVE.
La fin de support est suivie. CVEDetails ne traite pas ce sujet ; or une version qui ne recevra plus de correctif est un risque qui ne se referme jamais.
L’interface existe en sept langues, dont le français ; bulletins et support sont en français et en anglais.
La fraîcheur des données, et la fin de l’enrichissement NVD
Depuis février 2024, l’enrichissement des CVE par le NVD avait fortement ralenti ; depuis avril 2026, le NIST n’enrichit plus la plupart des CVE : elles restent sans score ni référence de produit exploitable. Tout service dérivé du seul NVD hérite de ce trou.
Nous recoupons 19 sources, dont neuf flux de vulnérabilités : liste CVE, NVD, KEV, EPSS, preuves de concept publiées, avis GitHub, OSV, CERT-FR et EUVD. C’est ce qui nous garde utilisables quand l’un d’eux prend du retard. Le détail, source par source et licence par licence, est sur la page sources de données.
Pour qui, concrètement
Analyste qui fouille vingt ans d’archives. CVEDetails reste taillé pour cet usage. Notre recherche interne couvre le même référentiel, mais elle est faite pour partir de votre stack, pas pour l’exploration historique.
Petite équipe, quelques serveurs. Le plan gratuit suffit : jusqu’à 50 composants et 5 machines avec l’agent, alertes par e-mail et Slack, plus de liste d’abonnements à tenir à jour quand une version change.
Équipe qui veut brancher la veille sur ses outils. Slack ou Teams pour le critique, un résumé quotidien pour le reste, et l’API pour le reste de la chaîne. Conseil d’usage : n’envoyez pas tout sur Slack, sinon les notifications sont coupées en une semaine.
Méthode et date de vérification
Faits vérifiés le sur les pages publiques des éditeurs, sans accès privilégié ni test en conditions réelles de leur produit. Les fonctions d’alerte, d’API et de flux RSS proviennent de la documentation publique de CVEDetails. Une erreur, un changement d’offre ? Signalez-le par la page contact : nous corrigeons la ligne et nous redatons la page.