GET /v1/statistics/delays

Trois délais mesurés sur l’ensemble de la base CVE, en jours. Ce sont les indicateurs qui répondent à « combien de temps ai-je avant qu’une vulnérabilité soit exploitée ».

Scope requis : stats-global

Requête

GET /api/v1/statistics/delays
Authorization: Bearer twa_votre_cle_ici

Paramètres de requête

Paramètre	Type	Défaut	Description
metric	string	kev	kev, disclosure, poc
granularity	string	—	Si fourni (day…year), un jeu de percentiles par période au lieu d’un seul global
period	string	—	2026, 2026-Q1, 2026-03, 2026-W12, 2026-03-15
from / to	date	—	Bornes explicites, ignorées si period est fourni

La fenêtre porte toujours sur la date de publication de la CVE, quelle que soit la métrique.

Les trois métriques

metric	Mesure	Lecture
kev	Publication → inscription au catalogue CISA KEV	Le délai avant exploitation constatée dans la nature
disclosure	Réservation de l’identifiant → publication	La latence de divulgation, entre réservation et publication effective
poc	Publication → premier PoC public connu	La fenêtre avant qu’un code d’exploitation circule

Réponse 200 OK

Sans granularity :

{
  "metric": "kev",
  "unit": "days",
  "granularity": null,
  "from": "2020-01-01",
  "to": "2026-09-11",
  "overall": {
    "count": 842,
    "avg": 187.4,
    "min": -12,
    "max": 3921,
    "p50": 41.0,
    "p90": 612.0,
    "p99": 2447.0
  }
}

Avec granularity, le bloc overall est remplacé par points, une entrée par période portant les mêmes champs plus period.

Champs

Champ	Type	Description
count	integer	Nombre de CVE pour lesquelles le délai est calculable
avg	float	Moyenne, en jours
min max	integer	Extrêmes observés
p50 p90 p99	float	Médiane et percentiles

Les délais négatifs sont conservés

Un délai négatif n’est pas une anomalie de données et n’est pas filtré : un PoC public peut précéder la publication de la CVE (cas d’un 0-day), et une inscription au catalogue KEV peut être antidatée. La médiane reste donc l’indicateur à privilégier sur la moyenne, que ces valeurs tirent vers le bas.

count est très inférieur au nombre total de CVE : seules celles entrées au catalogue KEV ont un délai kev, et seules celles disposant d’un PoC daté ont un délai poc.

Erreurs

Code	Détail	Cause
422	Métrique inconnue…	metric hors de kev, disclosure, poc
422	Granularité inconnue…	Valeur hors de la liste autorisée
422	Période « … » non reconnue	Format de period invalide

Exemple

La médiane du délai avant exploitation, année par année depuis 2020 :

curl -s \
  -H "Authorization: Bearer twa_votre_cle_ici" \
  "https://app.techwatchalert.com/api/v1/statistics/delays?metric=kev&granularity=year&from=2020-01-01" \
  | jq '.points | map({annee: .period[0:4], mediane_jours: .p50, echantillon: .count})'