En bref
Sept flux complémentaires, recoupés et filtrés sur votre stack : la publication (CVE List), l'enrichissement (NVD), l'exploitation (KEV, PoC), la probabilité (EPSS) et les advisories des écosystèmes (GHSA, OSV).
Les flux agrégés
| Source | Apport | Fréquence |
|---|---|---|
| CVE List | Publication primaire (CNA) | Temps réel |
| NVD | CPE, configurations, CVSS | Quotidien |
| CISA KEV | Vulnérabilités activement exploitées | Court intervalle |
| EPSS | Probabilité d'exploitation à 30 j | Quotidien |
| PoC-in-GitHub | Preuves de concept publiques | Court intervalle |
| GHSA | Advisories GitHub (écosystèmes) | Quotidien |
| OSV.dev | Advisories distributions (Debian, Ubuntu…) | Quotidien |
Recoupement et enrichissement
Une CVE n'est pas figée : elle est publiée, enrichie (versions, CVSS, CWE), puis éventuellement marquée exploitée (KEV) ou dotée d'un PoC. TechWatchAlert suit ces transitions et déclenche des alertes ciblées à chaque évolution significative — pas seulement à la publication.
Fraîcheur des données
Les flux CVE, KEV, EPSS et PoC sont synchronisés à intervalle court ; les advisories externes (GHSA, OSV) quotidiennement. L'objectif : vous prévenir avant que la fenêtre d'exploitation ne s'ouvre.
Filtré sur votre stack
Agréger ne suffit pas : l'essentiel est de ne remonter que ce qui vous concerne. TechWatchAlert fait correspondre ces flux à vos technologies (par CPE) et n'alerte que sur les CVE de votre parc, via email, webhook, Slack et un moteur de workflows.
Licences & attributions
Toutes les sources agrégées par TechWatchAlert sont des données publiques et libres d'usage — y compris commercial — sous réserve d'attribution. Détail par source :
| Source | Licence / conditions | Attribution |
|---|---|---|
| CVE List (MITRE / CVE.org) | CVE Terms of Use — redistribution libre | Requise |
| NVD (NIST) | Œuvre du gouvernement américain — domaine public | Recommandée |
| CISA KEV | Gouvernement américain — libre d'usage | Recommandée |
| EPSS (FIRST.org) | Données libres, fournies sans garantie | Requise (citer FIRST) |
| GHSA (GitHub Security Advisories) | CC BY 4.0 | Requise |
| OSV.dev | Licences ouvertes (souvent CC BY 4.0) ; peut varier par enregistrement | Requise |
| Debian / Ubuntu (via OSV) | Données de sécurité ouvertes | Recommandée |
| PoC-in-GitHub | Liens et métadonnées publics — aucun code d'exploit redistribué | Recommandée |
| endoflife.date | Projet communautaire ouvert, API libre | Recommandée |
| webappanalyzer (détection de technologies) | GPL-3.0 (enthec/webappanalyzer) | Requise (notice GPL-3.0 conservée) |
Les aperçus d'articles de veille n'affichent que le titre et un court extrait, et renvoient toujours vers la source d'origine — le contenu intégral n'est jamais republié.
À retenir
- Sept flux : CVE List, NVD, KEV, EPSS, PoC, GHSA, OSV.
- Les transitions (KEV, PoC) déclenchent des alertes, pas seulement la publication.
- Synchronisation à intervalle court pour les signaux critiques.
- Tout est filtré sur votre stack par matching CPE.
- Sources publiques et libres d'usage commercial, sous réserve d'attribution.
Questions fréquentes
Couvrez-vous l'open source ?
Oui : GHSA (advisories GitHub) et OSV.dev (Debian, Ubuntu, Alpine…) couvrent les écosystèmes logiciels et distributions.
À quelle vitesse suis-je alerté ?
Sur les signaux critiques (KEV, PoC, nouvelle CVE du stack), l'alerte part en quelques minutes après la synchronisation.
Puis-je utiliser ces données commercialement ?
Oui. Les flux de vulnérabilités agrégés sont publics et libres d'usage, y compris commercial, sous réserve d'attribution (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). La détection de technologies s'appuie sur webappanalyzer, sous licence GPL-3.0 : libre d'usage en SaaS hébergé, avec conservation de la notice de licence.