Alternative à OpenCVE
OpenCVE est une plateforme de veille en vulnérabilités dont le code est publié, à installer sur votre serveur ou à consommer depuis son cloud. TechWatchAlert est un service hébergé en France qui part de votre inventaire au lieu d’abonnements manuels. Le choix se joue sur une question : voulez-vous exploiter une plateforme, ou recevoir des alertes ?
Ce qu’est OpenCVE, exactement
OpenCVE agrège les données publiques de vulnérabilités et vous laisse vous abonner à des éditeurs et à des produits pour recevoir des alertes par e-mail, Slack, Jira ou webhook, avec des règles et un suivi de remédiation. Il existe en deux formes : Community, que vous installez depuis GitHub, et Cloud, géré par l’éditeur. La version 2 est une réécriture complète du projet.
C’est un outil sérieux, proche du nôtre par son modèle d’abonnement éditeur/produit. Nous ne le présentons pas comme un concurrent faible, parce qu’il ne l’est pas.
« Open source » : la nuance de licence, qui compte
Précision souvent mal comprise : OpenCVE n’est pas open source au sens classique. Son code est publié sous Business Source License 1.1, une licence dite source-available. Jusqu’à une bascule prévue en 2030 vers Apache 2.0, elle interdit notamment d’utiliser le code pour exploiter un service commercial de surveillance et d’alerte de sécurité.
Concrètement : vous pouvez lire le code et l’auto-héberger pour votre propre usage. Vous ne pouvez pas en faire une offre revendue à vos clients. Si vous êtes une agence ou un infogérant, lisez la licence avant de bâtir un service dessus.
Les vraies différences
| Critère | TechWatchAlert | OpenCVE |
|---|---|---|
| Hébergé (rien à exploiter) | Oui | Cloud géré, ou auto-hébergement |
| Auto-hébergement du code | Non (service hébergé) | Oui, sous licence BSL 1.1 |
| Licence du code | Propriétaire | Source-available (bascule Apache 2.0 en 2030) |
| Ciblage sur la stack (CPE, SBOM) | Oui | Abonnement manuel éditeur / produit |
| Suivi de fin de vie (EOL) | Oui | Non |
| Priorisation KEV + EPSS dans l’alerte | Oui | Données présentes, tri à votre charge |
| Alertes e-mail, Slack, webhook | Oui | Oui |
| API REST | Oui | Oui |
| Langues de l’interface | Sept langues, dont le français | Anglais |
| Inventaire par agent et connecteurs | Oui | Non |
| Gestion des correctifs | Oui, offre Team | Non |
| Formule gratuite | Oui | Oui (cloud, formule gratuite) |
| Hébergement des données | France | Chez vous, ou cloud de l’éditeur |
En clair : OpenCVE gagne sur l’accès au code et la maîtrise de l’hébergement. TechWatchAlert gagne sur l’inventaire réel, la fin de vie, la correction et la preuve, sans rien à exploiter.
Ce qu’OpenCVE fait mieux que nous
Le code est lisible et exécutable chez vous. C’est une garantie que nous ne pouvons pas offrir. Si votre politique interne impose que la donnée d’inventaire ne quitte pas votre réseau, OpenCVE répond et nous non.
Le projet est antérieur et mature sur son périmètre. Sa gestion des abonnements éditeur/produit est éprouvée, et sa communauté publie des retours que nous n’avons pas encore accumulés.
Le coût d’entrée peut être nul durablement. Auto-hébergé, sans licence à payer, OpenCVE ne vous coûte que l’infrastructure et le temps d’exploitation. Pour une équipe qui a déjà une plateforme Docker et un astreinte, c’est un argument réel.
Ce que nous faisons différemment
Le périmètre se déduit, il ne se saisit pas. Avec OpenCVE, vous vous abonnez produit par produit. TechWatchAlert part de votre stack déclarée, saisie à la main, importée d’un SBOM (Software Bill of Materials, la nomenclature de vos composants) ou détectée sur une URL publique. Ne remontent alors que les CVE qui touchent vos versions, avec un seuil de sévérité par composant.
La fin de support est suivie comme un risque. Une version en fin de vie ne recevra plus jamais de correctif : c’est une vulnérabilité permanente. Nous relions vos produits à leurs dates de fin de support et nous prévenons avant l’échéance. OpenCVE ne met pas cette fonction en avant.
19 sources sont recoupées, dont neuf flux de vulnérabilités : liste CVE, NVD, KEV, EPSS, preuves de concept publiées, avis GitHub, OSV, CERT-FR et EUVD. Le recoupement tient quand l’un d’eux prend du retard, comme la NVD depuis avril 2026. Le détail est sur la page sources de données.
L’inventaire et la correction suivent. L’agent recense les machines Windows, Linux et macOS, les connecteurs lisent vos outils de parc et vos scanners, et l’offre Team installe les correctifs par anneaux. L’interface existe en sept langues.
Pour qui, concrètement
Développeur indépendant, quatre stacks de clients. Le plan gratuit suffit : jusqu’à 50 composants et 5 machines, alertes par e-mail et Slack. Ce que ça évite : découvrir une faille critique sur une mission livrée six mois plus tôt. OpenCVE auto-hébergé demanderait un serveur et sa maintenance pour le même résultat.
Agence de huit personnes. Le partage d’équipe ouvre un canal Slack commun : chacun prend les alertes qui le concernent, le suivi de cas garde la trace. À huit, l’offre Team (utilisateurs illimités) ouvre aussi l’API, les workflows et le SSO.
Équipe sécurité en entreprise de taille intermédiaire. Si l’exigence est « rien ne sort du réseau », choisissez OpenCVE. Si l’exigence est « nous n’avons personne pour exploiter une plateforme de plus », choisissez le service hébergé et branchez l’API sur votre outil de supervision.
Méthode et date de vérification
Faits vérifiés le sur les pages publiques des éditeurs, sans accès privilégié ni test en conditions réelles de leur produit. Les informations de licence viennent du fichier LICENSE du dépôt OpenCVE, les fonctionnalités de sa documentation et de son blog. Une erreur, un changement d’offre ? Signalez-le par la page contact : nous corrigeons la ligne et nous redatons la page.