· 6 min de lecture.
Les neuf flux, et ce que chacun apporte
| Source | Ce qu'elle apporte | Ce qu'elle ne dit pas | Fréquence |
|---|---|---|---|
| CVE List (MITRE) | La publication primaire, telle que la CNA l'a écrite | Ni score, ni exploitation ; parfois pas de version affectée | Intervalle court |
| NVD (NIST) | L'enrichissement : identifiants de produit, configurations, vecteur CVSS | Son enrichissement a fortement ralenti depuis février 2024 | Quotidien |
| CISA KEV | L'exploitation constatée, avec sa date de confirmation | Rien de ce qui est exploité sans preuve publiable | Intervalle court |
| EPSS (FIRST) | La probabilité d'exploitation à 30 jours, pour toutes les CVE | Rien de votre exposition réelle | Quotidien |
| PoC-in-GitHub | L'apparition d'un code de démonstration public | Ni la qualité ni l'usage réel de ce code | Intervalle court |
| GHSA (GitHub) | Les avis des écosystèmes de dépendances : npm, PyPI, Maven… | Les logiciels hors gestionnaire de paquets | Quotidien |
| OSV.dev | Les avis des distributions Linux : Red Hat, SUSE, Ubuntu… | Les produits propriétaires | Quotidien |
| CERT-FR (ANSSI) | Les avis et les alertes du CSIRT national français, rattachés aux CVE qu'ils citent ; une alerte signale une menace immédiate, typiquement une faille déjà exploitée | Les failles qui ne font pas l'objet d'un avis : le CERT-FR choisit ce qu'il publie | Toutes les heures |
| EUVD (ENISA) | La base européenne des vulnérabilités, prévue par la directive NIS2, avec leur état d'exploitation connu | Rien de votre exposition réelle : elle recense, elle ne trie pas | Plusieurs fois par jour |
La colonne du milieu est la plus importante de ce tableau. Elle dit pourquoi le recoupement n'est pas une coquetterie : une CVE peut être publiée sans score par sa CNA, recevoir un vecteur du NVD trois semaines plus tard, et entrer au KEV entre les deux. Qui ne lit qu'une source lit une photo, pas un film.
Neuf flux pour les alertes, douze sources pour le brief
Une confusion à lever, parce qu'elle revient souvent : nous manipulons deux ensembles de sources qui n'ont ni le même rôle ni le même nombre.
- Les neuf flux de vulnérabilités ci-dessus alimentent les alertes. Ce sont des données structurées, rapprochées de votre inventaire.
- Les douze sources de veille éditoriale — CERT-FR, blogs d'éditeurs, presse spécialisée — alimentent le brief quotidien. Ce sont des articles, lus et résumés, jamais rapprochés d'un inventaire.
Le CERT-FR figure dans les deux ensembles, à deux titres : ses avis et ses alertes, rattachés aux CVE qu'ils citent, alimentent les alertes ; son fil de publications nourrit aussi le brief.
Un chiffre nu (« nos sources ») mélangerait les deux et ne voudrait rien dire. Neuf et douze, selon ce dont on parle.
Ce qui déclenche une alerte : les transitions
Une CVE n'est pas un événement, c'est une trajectoire. Elle est publiée, puis enrichie, puis parfois marquée exploitée, puis parfois corrigée. Une veille qui n'écoute que la publication rate l'essentiel.
Les transitions que nous suivons et qui déclenchent une notification :
- une CVE nouvelle touche un composant déclaré dans votre inventaire ;
- une CVE que vous suivez entre au catalogue KEV, ou fait l'objet d'une alerte du CERT-FR ;
- une preuve de concept publique apparaît ;
- son score EPSS franchit un seuil que vous avez fixé ;
- ses versions affectées changent — une CVE écartée hier peut vous concerner aujourd'hui.
Deux délais, à ne pas confondre
C'est la question la plus posée, et elle mérite une réponse en deux temps plutôt qu'un chiffre unique :
- le délai de synchronisation : nous relisons CVE List, KEV, EPSS et les preuves de concept à intervalle court, de l'ordre de quelques minutes. Personne ne peut être plus rapide que ce rythme ;
- le délai de traitement : une fois la CVE vue, le rapprochement avec votre inventaire, la priorisation et l'envoi suivent aussitôt, sans attendre un traitement par lot.
En pratique, sur un signal critique, vous êtes prévenu dans les minutes qui suivent sa publication : le premier délai fixe le rythme, le second ne fait qu'enchaîner.
Recouper ne suffit pas : filtrer
Agréger neuf flux produit un volume ingérable si on s'arrête là. L'étape qui compte est le rapprochement avec votre inventaire déclaré : éditeur, produit, version. Tout ce qui ne touche aucune ligne de cet inventaire sort du champ, et c'est là que la quasi-totalité du bruit disparaît.
Ce rapprochement s'appuie sur les identifiants de produit normalisés quand ils existent, et sur des correspondances nom-version quand ils manquent — ce qui est fréquent, et c'est précisément pourquoi la complétude des sources nous occupe autant.
Les avis GHSA et OSV sans identifiant CVE sont rapprochés par l'URL de paquet (purl) dès qu'une version est épinglée. Ils s'affichent avec leur identifiant et leur source. Zéro CVE n'est pas zéro risque : 0 CVE ≠ 0 risque.
Licences & attributions
Toutes les sources que nous agrégeons sont des données publiques et libres d'usage, y compris commercial, sous réserve d'attribution. Le tableau ci-dessous couvre les neuf flux d'alerte plus trois jeux de données d'enrichissement : c'est pourquoi il compte douze lignes et non neuf.
| Source | Licence / conditions | Attribution |
|---|---|---|
| CVE List (MITRE / CVE.org) | CVE Terms of Use — redistribution libre | Requise |
| NVD (NIST) | Œuvre du gouvernement américain — domaine public | Recommandée |
| CISA KEV | Gouvernement américain — libre d'usage | Recommandée |
| EPSS (FIRST.org) | Données libres, fournies sans garantie | Requise (citer FIRST) |
| GHSA (GitHub Security Advisories) | CC BY 4.0 | Requise |
| OSV.dev | Licences ouvertes (souvent CC BY 4.0) ; peut varier par enregistrement | Requise |
| Red Hat, SUSE, Ubuntu, AlmaLinux, Rocky Linux (via OSV) | CC BY 4.0, CC BY-SA 4.0 (Ubuntu), MIT, BSD selon la distribution | Requise |
| PoC-in-GitHub | Liens et métadonnées publics — aucun code d'exploit redistribué | Recommandée |
| CERT-FR (ANSSI) | Licence ouverte / Open Licence 2.0 (Etalab) | Requise |
| EUVD (ENISA) | Réutilisation autorisée avec mention de la source, sauf mention contraire | Requise (citer l'ENISA) |
| endoflife.date | Projet communautaire ouvert, API libre | Recommandée |
| webappanalyzer (détection de technologies) | GPL-3.0 (enthec/webappanalyzer) | Requise (notice GPL-3.0 conservée) |
Les aperçus d'articles de veille n'affichent que le titre et un court extrait et renvoient toujours vers la source d'origine : le contenu intégral n'est jamais republié.
Le détail, source par source, avec les mentions d'attribution et les notices de licence, est sur la page Sources et licences.
Questions fréquentes
Couvrez-vous l'open source ?
Oui, par deux canaux : GHSA pour les dépendances applicatives (npm, PyPI, Maven, RubyGems, Go…) et OSV.dev pour les paquets de distributions (Red Hat, SUSE, Ubuntu…). Ce sont deux mondes distincts : une même faille peut y porter deux identifiants différents.
Pourquoi suivre le CERT-FR et l'EUVD ?
Parce qu'une veille qui ne lit que des sources américaines hérite de leurs angles morts. Le CERT-FR, CSIRT national français, publie ses avis et ses alertes en français ; l'EUVD, tenue par l'ENISA en application de la directive NIS2, signale elle aussi les vulnérabilités exploitées. Une exploitation signalée par l'un ou l'autre compte, pour la priorisation, comme une entrée au catalogue KEV. Voir aussi ce que nous outillons pour NIS2.
À quelle vitesse suis-je alerté ?
Deux délais se cumulent. La synchronisation relit les flux à intervalle court, de l'ordre de quelques minutes : c'est le plancher incompressible. Le traitement — rapprochement, priorisation, envoi — suit aussitôt, sans traitement par lot. Sur un signal critique, comptez donc quelques minutes après sa publication.
Pourquoi recouper plusieurs sources ?
Parce qu'aucune n'est complète. Une fiche peut être publiée sans score, recevoir son vecteur trois semaines plus tard et entrer au catalogue KEV entre les deux. En ne lisant qu'une source, on rate soit la faille, soit le moment où elle devient urgente.
Puis-je utiliser ces données commercialement ?
Oui. Les flux agrégés sont publics et libres d'usage, y compris commercial, sous réserve d'attribution (CVE/MITRE, NVD, CISA KEV, FIRST EPSS, GHSA, OSV…). La détection de technologies s'appuie sur webappanalyzer, sous licence GPL-3.0 : libre d'usage en service hébergé, avec conservation de la notice de licence.