Alternativa OpenCVE
OpenCVE é uma plataforma de monitoramento de vulnerabilidades com código-fonte publicado, que você instala em seu próprio servidor ou usa na nuvem. TechWatchAlert é um serviço hospedado na França que começa no seu inventário em vez de assinaturas manuais. A escolha se resume a uma pergunta: você quer operar uma plataforma ou receber alertas?
O que é OpenCVE, exatamente
OpenCVE agrega dados públicos de vulnerabilidade e permite assinar fornecedores e produtos para receber alertas por e-mail, Slack, Jira ou webhook, com regras e rastreamento de remediação. Ele vem em duas formas: Comunidade, que você instala a partir do GitHub, e Nuvem, gerenciado pelo fornecedor. A versão 2 é uma reescrita completa do projeto.
É uma ferramenta séria, próxima da nossa no modelo de assinatura de fornecedor/produto. Não o apresentamos como um concorrente fraco, porque não o é.
“Código aberto”: a nuance de licenciamento que importa
Um ponto muitas vezes mal compreendido: OpenCVE não é código aberto no sentido clássico. Seu código é publicado sob o Licença de origem Business 1.1, um chamado fonte disponívellicença. Até uma mudança planejada 2030 para o Apache 2.0, proíbe notavelmente o uso do código para operar um serviço comercial de monitoramento e alerta de segurança.
Na prática: você pode ler o código e hospedá-lo para seu próprio uso. Você não pode revendê-lo como um serviço aos seus clientes. Se você for uma agência ou provedor de serviços gerenciados, leia a licença antes de criar um serviço nela.
As verdadeiras diferenças
| Critério | TechWatchAlert | OpenCVE |
|---|---|---|
| Hospedado (nada para operar) | Sim | Nuvem gerenciada ou auto-hospedagem |
| Auto-hospedagem do código | Não (serviço hospedado) | Sim, sob a licença BSL 1.1 |
| Licença de código | Proprietário | Fonte disponível (muda para Apache 2.0 em 2030) |
| Segmentação de pilha (CPE, SBOM) | Sim | Assinatura manual de fornecedor/produto |
| Rastreamento de fim de vida (EOL) | Sim | Não |
| Priorização KEV + EPSS no alerta | Sim | Dados disponíveis, a triagem depende de você |
| Email, Slack, alertas de webhook | Sim | Sim |
| REST API | Sim | Sim |
| interface em francês | Francês e Inglês | English |
| Plano Free | Sim | Sim (nuvem, nível gratuito) |
| Hospedagem de dados | França | Nas suas instalações ou na nuvem do fornecedor |
Resumindo: OpenCVE ganha em acesso ao código e controle sobre hospedagem. O TechWatchAlert ganha em tempo de configuração, direcionamento automático, rastreamento de fim de vida útil e idioma.
O que o OpenCVE faz melhor do que nós
Você pode ler o código e executá-lo em sua própria infraestrutura. Essa é uma garantia que não podemos oferecer. Se a sua política interna exige que os dados de inventário permaneçam dentro da sua rede, o OpenCVE atende e nós não.
O projeto é mais antigo e maduro dentro do seu escopo. Seu gerenciamento de assinaturas de fornecedores/produtos é comprovado e sua comunidade publica comentários que ainda não acumulamos.
O custo de entrada pode ficar em zero para sempre. Auto-hospedado, sem taxa de licença, o OpenCVE custa apenas infraestrutura e tempo de operação. Para uma equipe que já administra uma plataforma Docker e um rodízio de plantão, esse é um verdadeiro argumento.
O que fazemos de diferente
O escopo é inferido, não digitado. Com o OpenCVE, você assina produto por produto. TechWatchAlert começa a partir de sua pilha declarada, inserida manualmente, importada de um SBOM (Lista de materiais de software, o inventário de seus componentes) ou detectado em um URL público. Apenas CVEs que afeta seu as versões chegam, com um limite de gravidade por componente.
O fim do suporte é rastreado como um risco. Uma versão em fim de vida nunca receberá outro patch: é uma vulnerabilidade permanente. Vinculamos seus produtos às datas de término do suporte e avisamos você antes do prazo. OpenCVE não destaca esse recurso.
Nove feeds de vulnerabilidade são verificados: Lista CVE, NVD, KEV, EPSS, provas de conceito publicadas, avisos GitHub, OSV, CERT-FR e EUVD. A verificação cruzada é mantida quando um deles fica para trás. Para obter detalhes, consulte fontes de dados. Dois atrasos que não devem ser confundidos: a sincronização, que relê os feeds, e depois o processamento, que leva menos de 30 segundos desde a leitura do CVE até o envio da notificação.
Tudo está em francês, incluindo suporte e boletins. A interface também está disponível em inglês.
Para quem se destina, na prática
Desenvolvedor freelancer, quatro pilhas de clientes. O plano gratuito chega: 3 elementos de stack, 1 webhook de alertas, 1 aplicação SBOM, alguns alertas por mês, notificações por e-mail. O que evita: descobrir uma falha crítica num projeto entregue seis meses antes. O OpenCVE auto-alojado exigiria um servidor e a sua manutenção para o mesmo resultado.
Agência de oito pessoas. O compartilhamento Team abre um canal Slack compartilhado: todos recebem os alertas que lhes dizem respeito e o rastreamento de casos mantém o registro. Uma limitação real: o API é somente leitura neste nível de plano.
Equipe de segurança em uma empresa de médio porte. Se o requisito for “nada sai da rede”, escolha OpenCVE. Se o requisito for “não temos ninguém para executar outra plataforma”, escolha o serviço hospedado e conecte o API à sua ferramenta de monitoramento.
Método e data de verificação
Fatos verificados nas páginas públicas dos fornecedores, sem acesso privilegiado ou testes reais de seus produtos. As informações de licença vêm do arquivo LICENSE no repositório OpenCVE; recursos vêm de sua documentação e blog. Identificou um erro ou uma mudança na oferta? Denuncie através do nosso página de contato: corrigimos a linha e atualizamos a página.