Alternative à OpenCVE
OpenCVE est une plateforme de veille en vulnérabilités source-available (licence BSL, pas « open source » au sens strict) que l'on auto-héberge ou que l'on utilise via son offre cloud. TechWatchAlert en est l'alternative SaaS hébergée en France, qui ajoute le matching automatique de votre stack, le suivi de fin de vie (EOL) et un moteur de workflows — sans infrastructure à maintenir.
Qu'est-ce qu'OpenCVE ?
OpenCVE agrège et analyse les données de vulnérabilités (NVD, MITRE, CISA KEV…) et permet de s'abonner à des éditeurs et produits pour recevoir des alertes (e-mail, Slack, Jira, webhook) avec des règles et un suivi de remédiation. Il existe en deux formes : Community (à auto-héberger depuis GitHub) et Cloud (SaaS géré, avec analyse par IA). La version 2 est une réécriture complète du projet. C'est un outil sérieux et proche du nôtre par son modèle d'abonnement éditeur/produit.
« Open source » ? La nuance de licence
Une précision importante, souvent mal comprise : OpenCVE n'est pas open source au sens classique. Son code est publié sous Business Source License (BSL 1.1) — une licence source-available qui, jusqu'à une date de bascule prévue en 2030 (passage en Apache 2.0), interdit notamment d'utiliser le code pour exploiter un service de surveillance et d'alerte de sécurité. Vous pouvez donc lire et auto-héberger le code, mais pas n'importe quel usage commercial. À considérer si l'ouverture du code est un critère pour vous.
Les vraies différences
Les deux outils alertent sur des CVE ; ils divergent sur le reste :
| Critère | TechWatchAlert | OpenCVE |
|---|---|---|
| Hébergé (SaaS, sans ops) | Oui | Cloud géré ou auto-hébergement |
| Auto-hébergement du code | Non (SaaS) | Oui (source-available, BSL) |
| Licence | SaaS propriétaire | Source-available (BSL 1.1) |
| Matching automatique de stack (CPE / SBOM) | Oui | Abonnement manuel éditeur/produit |
| Suivi de fin de vie (EOL) | Oui | Non |
| Moteur de workflows | Oui | Règles d'alerte + suivi de remédiation |
| Alertes e-mail / Slack / webhook | Oui | Oui |
| API REST | Oui | Oui |
| Interface en français | Oui | Anglais |
| Offre gratuite pour démarrer | Oui | Oui (cloud, formule gratuite) |
En clair : OpenCVE gagne sur l'accès au code et l'auto-hébergement ; TechWatchAlert gagne sur le temps de mise en route (rien à installer), le matching de stack, l'EOL et la langue.
Le matching de stack, la différence clé
Avec OpenCVE, vous vous abonnez manuellement aux éditeurs et produits à surveiller. TechWatchAlert peut déduire votre périmètre (déclaration de stack, import SBOM) puis ne remonter que les CVE touchant vos versions, avec un seuil de sévérité par composant — moins de configuration, moins de bruit.
Le suivi EOL, non couvert par OpenCVE
Une version en fin de vie ne reçoit plus de correctifs. TechWatchAlert relie vos produits à leurs dates de fin de support et vous alerte avant l'échéance — un angle qu'OpenCVE ne met pas en avant. KEV, EPSS et EOL sont croisés pour prioriser.
Lequel choisir ?
Choisissez OpenCVE si l'accès au code et l'auto-hébergement priment (en respectant la licence BSL). Choisissez TechWatchAlert pour démarrer en minutes, sans serveur à maintenir, avec le matching de stack, l'EOL et les workflows en français.