Alertes

Une alerte signale qu’une CVE touche un composant de la stack du projet et mérite d’être traitée. La page Alertes en donne la liste pour le projet actif : c’est la file de travail de l’équipe, la même pour tous ses membres.

• Pour qui : tout membre du projet qui a le droit de voir les alertes (tous les rôles par défaut) ; changer leur statut demande le droit « Changer le statut » (ou « Rouvrir un dossier » depuis l’Historique), les assigner celui de modifier les dossiers, accordés par défaut à partir du rôle Analyste (voir Droits et offre).
• Où : menu Vue d’ensemble › Alertes. La pastille rouge du menu compte les alertes du projet actif que vous n’avez pas encore lues.
• Périmètre : les alertes du projet choisi dans Projet actif, en haut de la barre latérale. Changer de projet change la liste.

La page se lit de haut en bas :

1. Titre et projet actif.
2. Excel : télécharger les alertes du projet (offres Team et plus).
3. En cours / Historique : les deux onglets, avec leur nombre d’alertes.
4. Recherche, Vues rapides et tri (voir Trier la liste).
5. Filtres rapides : gravité, Exploitée, KEV, PoC public, Non lues, période de détection, puis le bouton Filtres avancés.
6. Résultats et filtres actifs : le nombre d’alertes trouvées, une puce par filtre posé et Tout effacer.
7. Le tableau : une ligne par alerte ; un clic sur la ligne ouvre sa fiche.

Comment une alerte naît

TechWatchAlert rapproche en continu les CVE qu’il importe de la stack du projet, c’est-à-dire la liste des produits et éditeurs que l’équipe y déclare (voir Stack). Une alerte est créée quand une CVE franchit toutes les étapes suivantes :

1. Correspondance. Le produit ou l’éditeur d’un élément de la stack figure parmi ceux que la CVE touche (son éditeur et son produit principaux, et chaque produit de ses versions affectées). La comparaison ignore la casse et les espaces en bord de nom.
2. Précision. Un produit homonyme d’un autre éditeur est écarté quand les références CPE de la CVE le prouvent.
3. Version. Si l’élément de stack porte une version, la CVE n’est retenue que si une plage de versions affectées la contient. Sans version déclarée, ou si la source ne publie pas de plage, toutes les versions sont considérées.
4. Politique de priorisation. La politique du projet décide si la CVE alerte : score CVSS au moins égal au seuil de la politique, ou, si l’exception est active, un signal d’exploitation (exploitation avérée, PoC public, EPSS au-dessus du seuil). Un élément de stack peut porter son propre seuil, plus strict ou plus large. Avec le modèle par défaut, Risque combiné, le seuil est un CVSS de 7,0 et l’exception est active.
5. Nouveauté. Seules les CVE nouvelles pour le projet alertent : celles publiées le jour de sa création ou après (date de publication de la CVE, au jour près, en UTC). Une CVE plus ancienne, même modifiée, rescorée, entrée au catalogue KEV ou dotée d’un PoC aujourd’hui, ne crée pas d’alerte et n’envoie rien : ni notification, ni e-mail, ni workflow. Elle reste visible dans la Base CVE.
6. Workflow. Toute notification passe par les workflows du projet. L’alerte n’est créée que si un workflow actif de l’événement « nouvelle CVE » contient l’action Créer un suivi. Chaque projet reçoit à sa création un workflow de veille qui le fait ; si vous le désactivez ou le supprimez, plus aucune alerte n’est créée (voir Workflows).

Quelques règles utiles :

• Une alerte par projet et par CVE, commune à l’équipe. Tous les membres voient la même alerte et le même dossier de traitement : un statut changé par un collègue change la liste de tous. Un membre qui rejoint le projet voit les alertes existantes. Seul l’état lu est personnel.
• Pas d’historique à l’inscription. Un projet qui vient d’être créé ne reçoit aucune alerte pour les CVE publiées avant lui, quel que soit le nombre de composants déclarés, même dans une organisation plus ancienne. Les CVE historiques qui touchent la stack se consultent dans la Base CVE.
• Rattrapage. À l’ajout d’un composant dans la stack, TechWatchAlert rejoue le même rapprochement sur les CVE déjà publiées depuis la création du projet : celles des 12 derniers mois, plus celles du catalogue KEV, 150 au plus, les exploitées d’abord. Il ne concerne donc qu’une organisation plus ancienne qui complète sa stack. Ces alertes ne déclenchent aucune notification et portent la mention Déjà publiée dans la colonne Détection.
• Une alerte déjà ouverte reste suivie. Une alerte existante continue de recevoir les mises à jour de sa CVE (CVE modifiée, entrée au KEV, PoC publié).
• Déclaration manuelle. Depuis la fiche d’une CVE de la base, Déclarer comme alerte crée l’alerte dans le projet actif, sans condition de seuil (voir Base CVE).

Pour savoir pourquoi une CVE précise a déclenché une alerte, ouvrez sa fiche : l’encart Pourquoi cette alerte ? rejoue chacune de ces étapes (voir Traiter une alerte).

Les trois onglets

• En cours : les alertes dont le dossier est À traiter, En analyse ou En remédiation. Une alerte que personne n’a encore ouverte (sans dossier) compte comme « À traiter ».
• Atténuées : les dossiers Atténuée, dont la faille n’est pas corrigée mais contenue par une mesure provisoire, jusqu’à leur échéance ; chaque ligne dit son échéance (« Atténuée → 19 oct. », la date entière au survol) (voir Atténuer une CVE). Ni à traiter, ni clos : le lendemain de l’échéance, sans correctif, le dossier revient seul dans En cours.
• Historique : les dossiers classés Risque accepté, Résolu ou Non applicable. C’est là que va une CVE écartée (voir Écarter une CVE).

Chaque onglet affiche son nombre d’alertes, recherche et filtres compris (le filtre de statut ne compte que pour l’onglet affiché). Changer d’onglet retire le filtre de statut, puisque les statuts appartiennent à l’onglet, garde les autres filtres et vide la sélection.

Lire une ligne

Colonne	Contenu
CVE ID	L’identifiant, un bouton pour le copier, et un point si l’alerte n’est pas lue.
Sévérité	La gravité de la CVE : Critique, Élevée, Moyenne, Faible.
Description	La première ligne de la description publiée par la source (en anglais), suivie des tags de la CVE dans ce projet. Elle prend toute la largeur disponible.
Éditeur, Produit	L’éditeur et le produit principaux de la CVE, avec leur logo quand il est connu. Sur un écran de moins de 1 536 pixels de large, la colonne Éditeur disparaît et l’éditeur s’affiche en petit sous le produit.
Exploitabilité	En vue Risque seulement : la probabilité d’exploitation affichée et les pictogrammes d’exploitation (ci-dessous).
État	Le statut du dossier, commun à l’équipe.
Assigné (icône de personne)	Les initiales des personnes assignées au dossier (deux au plus, puis « +N ») ; leurs noms complets au survol. Un tiret quand personne n’est assigné. On assigne depuis la fiche d’alerte (voir Assigner le dossier) ou depuis la barre d’actions de la liste (voir Agir sur plusieurs alertes).
Détection	Il y a combien de temps l’alerte a été créée (la date exacte au survol), ou « Déjà publiée » pour une alerte de rattrapage.

Les colonnes de cette page ne se configurent pas (contrairement à la Base CVE).

Pictogrammes et probabilité d’exploitation

Pour que chaque alerte tienne sur une ligne, les signaux d’exploitation sont de petits pictogrammes ronds ; leur libellé et leur détail s’affichent au survol.

• Flamme rose, Exploitée : exploitation avérée, selon au moins une source : catalogue KEV de la CISA, catalogue KEV de VulnCheck, EUVD de l’ENISA ou CERT-FR. Les sources sont citées au survol.
• Bâtiment, CERT-FR : la CVE est citée par le CERT-FR. Le pictogramme est toujours rouge, avis comme alerte ; l’infobulle précise s’il s’agit d’une alerte du CERT-FR (référence en « -ALE- »). Les références sont citées au survol (trois au plus, puis « +n »).
• Chevrons violets, PoC : des preuves de concept publiques existent ; leur nombre s’affiche au survol (« PoC ×3 »).
• Le pourcentage : 100 % si l’exploitation est avérée ; sinon, avec un PoC public, la probabilité EPSS est rehaussée à mi-chemin de 100 % (50 % au minimum) ; sinon l’EPSS seul ; « — » sans score EPSS. Il s’affiche en rouge dès 50 %, en orange dès 10 %, en gris en dessous.

Les statuts ont chacun leur couleur : À traiter En analyse En remédiation Atténuée Risque accepté Résolu Non applicable. Ce sont les mêmes libellés partout : liste, fiche d’alerte, tableau de bord, rapports. Sur la fiche d’alerte, le statut se lit par une icône à côté du libellé.

Alertes lues et non lues

Une alerte non lue porte un point après son identifiant ; une alerte lue est affichée légèrement estompée. La lecture est personnelle : l’alerte que vous avez lue reste non lue pour vos collègues tant qu’ils ne l’ont pas ouverte. La pastille du menu Alertes compte les non lues du projet actif. Ouvrir une alerte la marque comme lue, que vous veniez de la liste, du tableau de bord ou d’un lien reçu par e-mail ; la pastille du menu se met à jour aussitôt. Le bouton coche du widget Résumé alertes du tableau de bord la marque lue sans l’ouvrir.

Trier la liste

Deux ordres, au choix dans la liste à droite de Vues rapides :

• Publication récente (par défaut) : les CVE les plus récemment publiées d’abord ; à date égale, l’alerte la plus récente. La colonne Exploitabilité n’apparaît pas.
• Risque : l’ordre de la politique de priorisation du projet. Les alertes sont rangées par clés successives, chacune du plus fort au plus faible :
  1. le palier d’exploitation : 2 pour une exploitation avérée (si la politique la met en tête), 1 pour un EPSS au-dessus du seuil ou un PoC public (si la politique les compte), 0 sinon ;
  2. le critère principal de la politique : le score CVSS pour le modèle Risque combiné (ou l’EPSS, ou la gravité, selon la politique), les CVE sans score en dernier ;
  3. le critère secondaire : l’EPSS (ou le CVSS si le principal est l’EPSS) ;
  4. la date de l’alerte, la plus récente d’abord.

Pourquoi une CVE élevée passe devant une critique

Exemple : CVE-2024-10979 (Élevée, CVSS 8,8) précède CVE-2024-5535 (Critique, CVSS 9,1). La première a trois PoC publics : palier 1. La seconde n’a ni PoC ni EPSS au-dessus de 10 % : palier 0. Le palier est comparé avant le score. La politique se règle par projet (voir Projets).

Filtrer

La page a la même barre de filtres que la Base CVE. La recherche, la gravité, les signaux, le produit et les scores portent sur la CVE de chaque alerte ; la période et les dates, sur la détection de l’alerte ; le statut, le porteur, les tags et le ticket, sur son dossier ; la priorité et l’échéance, sur la politique de son projet.

Chercher

Le champ Rechercher une CVE, un produit, un éditeur, un mot… cherche le texte tapé dans l’identifiant, la description, l’éditeur et les produits de la CVE (tous les produits touchés, pas seulement le premier), majuscules ignorées. La liste suit la frappe après une courte pause ; Entrée applique la recherche tout de suite, Échap vide le champ (un second appui en fait sortir le curseur), la croix l’efface aussi, et la touche / y place le curseur depuis n’importe où dans la page.

Filtres de la barre

Ils s’appliquent aussitôt et se cumulent.

• Gravité : Critique, Élevée, Moyenne, Faible, cumulables ; sans choix, toutes les gravités s’affichent.
• Exploitée (exploitation avérée : KEV de la CISA ou de VulnCheck, EUVD de l’ENISA, CERT-FR), KEV (au catalogue KEV de la CISA), PoC public (une preuve de concept ou un exploit public existe).
• Non lues : seulement les alertes que vous n’avez pas encore lues.
• Période de détection : Toute période (par défaut), Dernières 24 h, 7 derniers jours, 30 derniers jours, 90 derniers jours ou 12 derniers mois, sur la date de détection de l’alerte (colonne Détection).
• Filtres avancés ouvre le panneau des autres filtres.

Filtres avancés

Filtres avancés déplie un panneau sous la barre ; le même bouton, ou Replier en bas du panneau, le referme. Le panneau est replié à chaque arrivée sur la page, même quand l’adresse porte des filtres avancés : ces filtres se lisent en puces, et le bouton affiche leur nombre.

• Traitement :
  • Statut : un ou plusieurs statuts de l’onglet affiché (À traiter, En analyse, En remédiation dans En cours ; Atténuée dans Atténuées ; Risque accepté, Résolu, Non applicable dans Historique).
  • Porteur du dossier : Tous (pas de filtre), Moi (les alertes dont le dossier vous est assigné, seul ou avec d’autres) ou Personne (personne ne les porte). Quand un projet est actif, la liste Assignées à… propose les membres du projet qui voient les dossiers, pour ne garder que les alertes d’une personne.
  • Tags : un ou plusieurs tags de l’organisation (la ligne apparaît dès qu’il en existe) ; une alerte est gardée si sa CVE porte au moins un des tags choisis dans ce projet. Changer de projet actif retire ce filtre.
  • Ticket lié : Tous, Avec ticket ou Sans ticket, selon qu’un ticket Jira, GitLab ou GitHub a été ouvert pour la CVE dans ce projet, depuis la fiche ou par un workflow (voir Ouvrir un ticket).
• Exploitation :
  • Exploit outillé (un module Metasploit ou un modèle Nuclei existe) et Rançongiciel (utilisée par des rançongiciels, selon la CISA ou VulnCheck) ;
  • Source des exploits : GitHub, Exploit-DB, Metasploit, Nuclei, cumulables ; une alerte est gardée si au moins un de ses PoC ou exploits vient d’une des sources choisies. Chaque bouton porte l’icône du site où mènent ses liens, comme dans la liste des PoC de la fiche (les modules Metasploit et les modèles Nuclei sont publiés sur GitHub) ;
  • Avis CERT : un ou plusieurs CERT nationaux, choisis dans une liste rangée par région (France, Europe, Amériques, Asie-Pacifique, Moyen-Orient), avec un champ pour chercher un CERT par son nom ou par son pays. Une alerte est gardée si au moins un des CERT choisis a publié sur sa CVE : ce sont les CERT du bloc « Avis des CERT » de la fiche, CERT-FR et EUVD compris. Le CERT-FR, qui avait jusqu’ici son propre bouton, est l’un d’eux.
• Remédiation :
  • Priorité : P1, P2, P3, cumulables. Ce sont les paliers d’exploitation de la politique de priorisation du projet de chaque alerte, ceux qui ouvrent l’ordre Risque : P1, exploitation avérée (KEV, EUVD, CERT-FR) quand la politique la met en tête ; P2, un signal d’exploitation que la politique retient (EPSS au-dessus de son seuil, PoC public) ; P3, aucun. Avec le modèle CVSS seul, qui ne retient aucun signal, tout est en P3.
  • Correctif : Tous, Disponible (au moins une version corrigée est connue : celles du bloc « Versions corrigées » de la fiche, tirées de la CVE, des avis GitHub ou OSV et des avis du CERT-FR) ou Aucun connu.
  • Contournement disponible : seulement les alertes dont la CVE a un contournement ou une atténuation publié par l’éditeur ou un CERT (bloc « Mesures provisoires » de la fiche : avis CSAF de la CISA, du NCSC-NL et de Siemens, alertes et avis du CERT-FR). « Pas de correctif disponible » et « Aucun correctif prévu » ne suffisent pas.
  • Échéance de remédiation, là où le suivi des échéances existe (offre qui inclut l’espace NIS2, NIS2 activée pour le projet) : Dépassée (échéance passée, escaladée ou non), Proche (dans la fenêtre de rappel de la politique de correction, 3 jours par défaut), Dans les temps, Aucune (dossier clos ou risque accepté). Cumulables ; ce sont les états de la page Échéances, selon la politique de correction du projet.
• Produit : Éditeur et Produit de la CVE, en texte partiel.
• Scores : Score CVSS (0 à 10) et Probabilité EPSS (%), chacun avec un Min et un Max, bornes comprises. Une valeur hors bornes est encadrée de rouge et ne filtre pas.
• Dates : Détectée entre deux jours. Cette plage remplace la période de la barre, qui affiche alors « Dates choisies » ; choisir une période dans la barre efface la plage.

Vues rapides

Vues rapides, à droite de la recherche, pose en un clic une combinaison courante :

• À trier : onglet En cours, statut À traiter ;
• Mes assignations : onglet En cours, porteur Moi ;
• Non lues : les alertes que vous n’avez pas lues ;
• Critiques exploitées : gravité Critique et Exploitée ;
• Utilisées par des rançongiciels : Rançongiciel ;
• Échéances dépassées : onglet En cours, échéance Dépassée (là où le suivi des échéances existe).

Une vue remplace la recherche et les filtres posés ; l’ordre et le nombre de lignes par page restent. Quand les filtres reproduisent exactement une vue, le bouton affiche son nom.

Filtres actifs

Sous la barre, une ligne donne le nombre d’alertes trouvées (« 9 résultats »), puis une puce par filtre posé : « Critique », « Exploitée », « Statut : En analyse », « Mes assignations », « Sans porteur », « Assignées à Claire Dubois », « Tag : Production », « Détectée depuis le 01/09/2026 », « Priorité : P1 », « Échéance dépassée », « Avec ticket »… La croix d’une puce retire son filtre. Tout effacer retire la recherche et tous les filtres, en gardant l’onglet, l’ordre et le nombre de lignes par page.

Les filtres s’appliquent côté serveur : la liste, son total, les compteurs des onglets et la pagination restent justes. Chaque changement de filtre revient à la première page.

Partager une liste filtrée

La recherche, les filtres, l’onglet, l’ordre, la page et le nombre de lignes par page s’inscrivent dans l’adresse de la page : recharger la page, ou partager son adresse, rouvre la même vue. Seuls les écarts au réglage par défaut y figurent ; l’ouverture du panneau avancé n’y est jamais.

Paramètre	Sens
q	recherche
severity=CRITICAL,HIGH	gravités (CRITICAL, HIGH, MEDIUM, LOW)
exploitee=1, kev=1, poc=1, outille=1, rancongiciel=1	signaux d’exploitation (certfr=1, ancien lien, devient cert=certfr)
exploit=metasploit,nuclei	source des exploits : github, exploitdb, metasploit, nuclei
cert=certfr,bsi	avis CERT, par identifiant (certfr, cert-eu, euvd, bsi, ncsc-nl, cisa, jvn…)
unread=1	non lues
periode	période de détection : 24h, 7j, 30j, 90j ou 1a (12 mois)
du, au	plage de détection, au format AAAA-MM-JJ
vendor, product	éditeur, produit
cvss_min, cvss_max, epss_min, epss_max	scores, l’EPSS en %
priorite=p1,p2	priorité : p1, p2, p3
correctif=oui	correctif : oui (disponible) ou non (aucun connu)
tab=history	onglet : contained (Atténuées) ou history (Historique) ; absent : En cours
status=PENDING,ANALYZING	statuts (PENDING, ANALYZING, FIXING ; MITIGATED ; ACCEPTED, RESOLVED, NOT_APPLICABLE)
assignee	porteur : me, none ou l’identifiant d’un membre
tag	identifiants des tags
echeance=depassee,proche	échéance : depassee, proche, dans_les_temps, aucune
ticket=avec	ticket lié : avec ou sans
sort=risk	ordre Risque (absent : Publication récente)
page, page_size	page, lignes par page

La page s’ouvre déjà filtrée quand on y arrive d’un autre écran :

• un compteur de gravité du tableau de bord ouvre /alerts?severity=CRITICAL ;
• une tuile de Dossiers du projet ouvre /alerts?status=… ; un statut clos ouvre l’onglet Historique ;
• un tag du widget Tags ouvre /alerts?tag=… ;
• le lien « Voir mes alertes » d’un e-mail (/alerts?project=…) active le projet concerné, puis le paramètre disparaît de l’adresse ;
• le lien Voir mes assignations de l’e-mail (ou de la notification) d’une assignation en masse (/alerts?project=…&assignee=me) ouvre ce projet filtré sur Porteur du dossier › Moi.

Un lien vers la page Alertes suivi alors qu’elle est déjà ouverte est relu : la liste prend ses filtres.

Pagination

Le pied du tableau indique combien d’alertes la page affiche. Lignes par page propose 25, 50 ou 100. Quand il y a plusieurs pages, Précédent et Suivant encadrent la plage affichée (« 1–25 sur 60 »).

Agir sur plusieurs alertes

Cochez des alertes : la barre d’actions apparaît en bas de l’écran. C’est la même barre que la barre de suivi de la fiche d’une alerte (voir La barre de suivi) : mêmes statuts, dans le même ordre, avec les mêmes libellés, et Assigner ; elle s’applique simplement à toutes les alertes sélectionnées. Seul Commenter reste propre à la fiche, un commentaire appartenant au fil d’un dossier.

1. Cochez les alertes voulues dans la première colonne, ou la case d’en-tête pour Tout sélectionner sur la page.
2. La barre d’actions apparaît avec le nombre d’alertes sélectionnées (« 3 alertes sélectionnées »). Quand toutes les alertes choisies ont le même statut, il est en relief.
3. Cliquez sur le statut à appliquer : En cours (À traiter, En analyse, En remédiation), Contenir (Atténuée) ou Clore le dossier (Non applicable, Résolu, Risque accepté). Dans l’onglet Historique, la barre ne propose que Réouvrir, qui repasse les dossiers En analyse.
4. Ou cliquez sur Assigner (voir ci-dessous).
5. La croix, à gauche de la barre, quitte la sélection.

Règles appliquées :

• le statut est posé sur le dossier de chaque alerte (celui de l’équipe), un par un ; si certains échouent, la barre reste ouverte sur la même sélection et affiche « Impossible de mettre à jour le statut. Vérifiez vos droits. » ;
• Non applicable classe directement les dossiers choisis ; le motif facultatif ne se saisit que depuis la fiche d’une alerte ;
• Atténuée ouvre le formulaire d’atténuation (nature de la mesure, mesure, justification, échéance) : la même atténuation est posée sur chaque dossier sélectionné, chacun dans la limite de la durée maximale de son projet ;
• un dossier de l’Historique (clos) ne peut que revenir en cours : Réouvrir n’est proposé qu’à qui a le droit « Rouvrir un dossier » ; dans l’onglet En cours, les statuts demandent le droit « Changer le statut » ;
• Risque accepté : quand le projet tient un registre des risques acceptés (conformité NIS2), le bouton ouvre une demande d’acceptation motivée, soumise à la direction, pour 50 alertes au plus (voir NIS2 › Registres). Sans registre, le bouton ouvre le même formulaire que Atténuée : une acceptation de risque porte, elle aussi, une justification et une échéance.

Assigner plusieurs alertes

Assigner ouvre le même panneau que sur la fiche : les membres du projet qui voient ses dossiers, vous en tête (« vous »), avec un champ Rechercher un membre. Une alerte peut avoir plusieurs personnes assignées.

• Cochez une ou plusieurs personnes, puis Appliquer : chacune est ajoutée aux personnes déjà assignées de toutes les alertes sélectionnées. Rien ne part avant Appliquer.
• Une case partielle (un trait) signale une personne qui porte certaines des alertes choisies seulement : la cocher l’ajoute aux autres, la décocher la retire de toutes. Décocher une personne qui les porte toutes la retire de toutes.
• M’assigner vous ajoute tout de suite à toutes les alertes sélectionnées ; Retirer toutes les assignations les laisse sans personne.
• Une sélection qui couvre plusieurs projets (vue « Tous les projets ») ne propose que M’assigner et Retirer toutes les assignations : les membres ne sont pas les mêmes d’un projet à l’autre.
• Une assignation porte sur 200 alertes au plus par requête ; au-delà, l’interface enchaîne les requêtes.

Chaque personne nouvellement assignée est prévenue une seule fois, quel que soit le nombre d’alertes : une notification dans la cloche et un e-mail récapitulatif qui liste les CVE (voir Assigner le dossier). Personne n’est prévenu de sa propre assignation, ni d’une assignation qui existait déjà, ni d’un retrait.

Par action de correction

Une liste de CVE dit ce qui est vulnérable ; une équipe, elle, corrige en montant des versions. La bascule Par CVE / Par action de correction / Exceptions, en haut de la page, regroupe les dossiers en gestes : « Passer openssl 3.0.11 → 3.0.15 · 14 CVE · 2 exploitées · échéance 12/10 ».

Comment un geste se calcule :

• il part des dossiers ouverts (À traiter, En analyse, En remédiation) et des dossiers atténués, comptés à part : une atténuation contient la faille sans la corriger, la montée de version la fermera aussi ;
• les dossiers sont regroupés par composant de la stack qui a fait alerter : produit et version installée déclarée (voir Stack) ;
• pour chaque CVE, TechWatchAlert lit toutes les versions corrigées publiées par les sources (bloc « Versions corrigées » de la fiche) — une CVE en publie souvent une par branche : Log4Shell est corrigée en 2.3.1, 2.12.2 et 2.15.0 — et retient celle qui s’applique à la version installée : la plus petite au-dessus d’elle sur sa branche (3.0.x pour une 3.0.11 ; 15.x pour PostgreSQL 15.6, dont chaque version majeure est une branche) ; à défaut, la plus petite au-dessus sur une autre branche (changement de branche : Log4j 2.14.1 → 2.15.0) ;
• la version cible du geste est la plus haute de ces versions : la seule qui ferme toutes ses CVE. Les CVE qui imposent un changement de branche sont réunies en un seul geste vers la plus haute de leurs cibles, qui ferme aussi celles dont elle dépasse toutes les versions corrigées (Log4j 2.14.1 → 2.17.1 ferme CVE-2021-44228, 45046 et 44832) ;
• une version installée non déclarée donne la plus haute version corrigée connue (« version non déclarée »).

Deux groupes restent à part, repliés sous la liste :

• Pas de correctif connu : aucune version corrigée n’est publiée, ou aucune au-dessus de la branche installée. Le résumé dit combien ont un contournement connu (mesures provisoires des éditeurs et des CERT), mis en avant sur chaque carte. Rien n’est deviné : une plage « jusqu’à 3.2 incluse » ne dit pas quelle version corrige ;
• Déjà corrigés d’après la version déclarée : la branche installée a sa version corrigée à ou sous la version déclarée (OpenSSL 3.0.13 et une CVE corrigée en 3.0.8). Vérifiez la version réellement déployée, puis clôturez en Non applicable, ou corrigez la version dans la stack.

Synthèse et « Par où commencer »

En tête de la vue, un bandeau de chiffres : gestes à faire (et les CVE et dossiers qu’ils ferment), ceux qui ferment une CVE exploitée, l’échéance la plus proche, les dossiers sans correctif connu (dont avec contournement) et, s’il y en a, ceux déjà corrigés ?. Chaque chiffre est un filtre : un clic ne montre que les gestes qui ferment une exploitée, ceux qui ont une échéance (la plus proche d’abord), ou ouvre seul le groupe concerné ; un second clic, ou Tout afficher, revient à la vue complète.

Par où commencer liste les gestes, numérotés dans l’ordre où les faire : ceux qui ferment une CVE exploitée d’abord, puis l’échéance la plus proche, puis le nombre de CVE. Chaque ligne se lit d’un coup d’œil : composant, version installée → version cible mise en avant, nombre de CVE fermées, puis les exploitées (KEV, VulnCheck, EUVD, CERT-FR, rançongiciel), la sévérité la plus haute, l’EPSS le plus haut, l’échéance la plus proche — celle de la politique de remédiation, ou l’échéance fixée par l’équipe si elle est plus proche —, le changement de branche, le ticket éventuel ; à droite, les porteurs et un bouton : l’étape suivante (« Passer en correction », puis « Marquer résolu » ; « Passer en analyse » pour un groupe sans correctif ; « Clore : non applicable » pour un groupe déjà corrigé). Une ligne se déplie sur ses CVE (statut, version corrigée, porteurs, lien vers la fiche) et indique les CVE du même composant que cette version ne ferme pas.

Actions sur tout le geste

Une ligne dépliée porte une barre de quatre actions ; chacune ouvre un petit panneau (une feuille en bas de l’écran sur téléphone) :

• Changer le statut : En analyse, En correction, Résolu ou Non applicable, avec un commentaire commun facultatif. Chaque dossier reçoit sa propre ligne d’historique et sa ligne au journal d’audit, exactement comme un changement fait depuis sa fiche, avec les mêmes droits (« Changer le statut ») ; un dossier refusé (dossier clos, registre des risques) n’empêche pas les autres et est signalé. Les dossiers atténués ne passent ni « En analyse » ni « En correction » (ils perdraient leur atténuation) ; Résolu et Non applicable les ferment avec les autres. Le bouton de l’étape suivante ouvre ce même panneau, l’étape présélectionnée ;
• Assigner (projet actif seulement) : ajoute la personne choisie à toutes les CVE du geste, comme l’assignation de plusieurs alertes ;
• Échéance : une échéance d’équipe choisie dans le calendrier (à partir d’aujourd’hui), l’engagement de l’équipe pour ce geste ; Retirer l’efface. Elle ne remplace pas l’échéance de la politique de remédiation (voir NIS2) ; chaque dossier en garde une ligne d’historique ;
• Créer un ticket : un seul ticket dans l’outil du projet (Jira, GitLab, GitHub), qui liste toutes les CVE du geste, exploitées d’abord, et qui est lié à chacune d’elles. Une CVE qui avait déjà son ticket le garde. Droit : Analyste et plus.

Sans projet actif (« Tous les projets »), la vue regroupe les gestes de tous les projets dont vous voyez les alertes ; un même geste sur plusieurs projets affiche leur nombre, et ses actions s’appliquent projet par projet (un ticket par projet).

Exceptions : atténuées et risques acceptés

Troisième position de la bascule, Exceptions (adresse /alerts?vue=exceptions) liste ce qui n’est pas corrigé mais décidé : les dossiers Atténuée (une mesure contient la faille) et Risque accepté. Elle remplace l’ancienne page « Risques acceptés » de l’espace conformité : mêmes données, au même endroit que les alertes.

Pour chaque dossier : la CVE (lien vers sa fiche), le statut, la nature de la mesure (contournement de l’éditeur, patch virtuel, fonction désactivée, isolement réseau, autre), la mesure en clair, la justification, l’échéance (« Jusqu’au 20 oct. · 9 j », en orange dans les 14 jours qui précèdent, en rouge une fois échue), l’auteur et la date. Les compteurs (Toutes, Atténuées, Risques acceptés, Expirent sous 14 j) filtrent la liste. Sans projet actif, la vue couvre tous les projets dont vous voyez les alertes.

Une acceptation approuvée du registre des risques acceptés (là où il s’applique) porte la pastille Registre : sa mesure est la mesure compensatoire, son échéance la date de revue. Les exceptions qui expirent figurent aussi dans le Planning.

Registre des risques acceptés

Sous la liste, là où l’organisation suit NIS2, le registre des risques acceptés. Différer un correctif est possible si le risque est analysé, compensé et approuvé par la direction : le registre garde chaque demande, sa justification, ses mesures compensatoires, la décision et son auteur. Rien n’y est effacé ; une décision n’est jamais réécrite.

1. Onglets du registre, avec leur compte : À approuver, En vigueur, À revoir, Historique.
2. Tous les projets : filtre par projet.
3. Recherche : une CVE, un projet, une justification…
4. Exporter : tableur (CSV) ou registre PDF.
5. Une demande : un clic ouvre son détail.

Les quatre onglets

Onglet	Contenu
À approuver	demandes en attente de la direction. S’ouvre par défaut pour la direction, et son compte est alors mis en avant.
En vigueur	acceptations approuvées, jusqu’à leur date de revue. Seules celles-ci suspendent l’échéance de correction. S’ouvre par défaut pour les autres membres.
À revoir	acceptations en vigueur dont la date de revue tombe dans les 30 jours : à renouveler par une demande motivée, ou à corriger.
Historique	demandes refusées ou retirées, acceptations révoquées, expirées ou remplacées par un renouvellement.

Colonnes : CVE (avec sa sévérité et, s’il y a lieu, la pastille « Exploitée »), Projet, Demande (qui, quand), Décision (qui a statué et quand ; pour une demande en attente, « En attente depuis N jours », en orange au-delà de 7 jours), Revue (date et jours restants), Statut.

Statuts : En attente, Approuvée, Refusée, Retirée, Expirée, Révoquée, Remplacée. Une acceptation approuvée par son propre demandeur, seul membre de la direction, porte la pastille Approuvée d’office : le principe des quatre yeux ne pouvait pas s’appliquer, et le registre le dit.

Demander une acceptation

La demande ne se crée pas depuis le registre mais depuis l’alerte :

• sur la fiche d’une alerte, en passant le dossier au statut Risque accepté ;
• dans la liste des alertes, par l’action groupée Accepter le risque… (50 CVE au plus par demande).

Voir Traiter une alerte. La fenêtre est la même que celle du renouvellement, montrée ici :

• Vulnérabilités concernées : on peut en retirer de la liste.
• Justification : pourquoi ne pas corriger maintenant (exposition réelle, exploitabilité, contrainte technique ou métier), 20 caractères au moins.
• Mesures compensatoires : ce qui réduit le risque d’ici la revue ; au moins une.
• Date de revue : 90 jours par défaut, raccourcis 30 jours, 90 jours, 6 mois, 1 an ; 365 jours au plus, postérieure à aujourd’hui. L’acceptation expire à la fin de ce jour, heure de Paris.
• Ce qui va se passer : qui décidera (les titulaires de la direction, ou à défaut les propriétaires), le passage du dossier de la CVE, commun à l’équipe, au statut « Risque accepté », le rappel 14 jours avant la date de revue.

Si vous êtes le seul membre de la direction, la demande est approuvée d’office à l’envoi (le bouton devient Enregistrer l’acceptation). Une CVE qui a déjà une demande en attente ou une acceptation en vigueur est retirée de la demande, avec un message.

Demander une acceptation demande le droit de projet « Demander une acceptation de risque » (analyste et au-delà par défaut).

Décider : approuver, refuser, révoquer

Un clic sur une ligne ouvre le détail : la décision (demandeur, date de revue, décideur), la justification, les mesures compensatoires, le contexte au moment de la demande (sévérité, CVSS, EPSS, exploitation, preuve de concept, produit), la chaîne des renouvellements et le journal. Les boutons du pied sont ceux que vous avez le droit d’utiliser.

Statut	Boutons	Qui
En attente	Approuver, Refuser	la direction, jamais le demandeur (sauf s’il est seul à la direction)
En attente	Retirer ma demande	le demandeur
Approuvée	Révoquer	la direction
Approuvée	Renouveler	qui peut demander une acceptation sur le projet, s’il n’y a pas déjà un renouvellement en attente
Expirée	Renouveler	idem, si aucune autre acceptation n’est active pour cette CVE

Chaque décision ouvre une fenêtre de confirmation. Le motif est facultatif pour approuver, obligatoire pour refuser ou révoquer : il est communiqué au demandeur et conservé au registre. La décision est nominative, datée et conservée au journal.

• Refuser : le dossier du demandeur repasse en analyse ; la CVE reste à corriger dans les délais.
• Révoquer : l’acceptation prend fin immédiatement, la CVE revient dans les échéances de correction.
• Retirer : la demande est retirée avant décision, le dossier repasse en analyse.
• Renouveler : crée une nouvelle demande liée ; l’acceptation en vigueur reste valable jusqu’à la décision et, une fois le renouvellement approuvé, elle passe à « Remplacée ».

Rappels et expiration

• À la fin du jour de revue (heure de Paris), l’acceptation expire : la CVE revient dans les échéances, le dossier du demandeur est rouvert et un avis « acceptation à revoir » part.
• 14 jours avant la date de revue, un rappel part.
• Une demande qui attend depuis 7 jours relance la direction.

Ces avis passent par le workflow NIS2 · Risques acceptés du projet.

Exports

Exporter propose le Tableur (CSV) et le Registre PDF, « registre formel à faire signer par la direction : base légale, chiffres clés, entrées en vigueur, en attente et historique ». Les deux suivent le filtre de projet et la recherche en cours. Si le serveur ne sait pas produire le PDF, un message le dit et propose le CSV.

Exporter

Excel (droit Exporter (Excel) des alertes, Analyste et plus par défaut) télécharge un classeur .xlsx : toutes les alertes du projet actif, de la plus récente à la plus ancienne, quels que soient l’onglet, la recherche et les filtres affichés, par tranches de 2 500 lignes. Jusqu’à 2 500 alertes, un clic suffit ; au-delà, le bouton propose les tranches (« Lignes 2 501 à 5 000 »), un fichier chacune (alertes-2501-5000.xlsx). Une ligne par alerte. Colonnes : CVE, Projet, Sévérité, Description, Éditeur, Produit, Statut, Lue (par vous), Détectée le. Le bouton est grisé quand il n’y a rien à exporter.

L’export est inclus dans les offres Team, Pro et Business. Sur Free, le bouton porte un cadenas et ouvre le choix d’abonnement.

Sur téléphone

La liste devient une pile de cartes ; les initiales de la personne assignée suivent le statut. Sous le titre viennent les onglets En cours et Historique, puis la recherche, pleine largeur, et une barre d’outils qui reste collée en haut de l’écran pendant le défilement : Filtres (une pastille donne le nombre de filtres posés), le bouton de tri, qui affiche l’ordre choisi, et la plage affichée (« 1–25 sur 60 »). Les filtres posés suivent en puces, sur une rangée qui défile de côté et se termine par Tout effacer.

Filtres ouvre une feuille basse, fermée par défaut : vues rapides, gravité, les cinq signaux d’exploitation, période de détection, puis Traitement (statut, porteur du dossier et Assignées à…, Non lues, tags, ticket lié), Exploitation (source des exploits, avis CERT), Remédiation (priorité, correctif, échéance), Produit, Scores et Dates. Chaque choix s’applique tout de suite ; le bouton du pied (« Voir les 9 résultats ») referme la feuille, et Tout effacer retire tous les filtres. Le bouton de tri ouvre la feuille Trier par (Publication récente ou Risque).

Le … de l’en-tête ouvre la feuille Actions :

La sélection multiple se lance par … › Sélectionner, puis un appui sur chaque carte ; Tout sélectionner coche toute la page. La barre d’actions, pleine largeur au-dessus des onglets, dit le nombre d’alertes choisies et offre Changer le statut et Assigner, qui s’ouvrent en feuilles basses. Après un changement de statut groupé, Annuler rétablit les statuts précédents pendant 9 secondes.

Droits et offre

Action	Rôle du projet
Voir la liste, filtrer, trier	Utilisateur (le rôle le plus restreint) et plus
Exporter en Excel (offres Team et plus)	Analyste et plus
Cocher des alertes, changer leur statut (droit « Changer le statut ») ou les rouvrir depuis l’Historique (droit « Rouvrir un dossier »)	Analyste et plus
Assigner des alertes (droit de modifier les dossiers, comme sur la fiche)	Analyste et plus

Ce sont les droits par défaut : un droit personnalisé du membre ou de son groupe s’applique aussi, y compris à l’export Excel (voir Équipe, rôles et groupes).

Les cases à cocher n’apparaissent que si la barre d’actions vous propose au moins un geste (un statut de l’onglet affiché, ou Assigner) : un Utilisateur n’en voit pas. Le suivi des dossiers de traitement (statuts, fiche d’alerte) fait partie des offres Team, Pro et Business.

Disponible selon votre offre

Les vues Exceptions et Par action de correction ont chacune leur fonction d’offre, incluses dans toutes les offres par défaut. Hors offre, la bascule porte un cadenas : la choisir ouvre la fenêtre d’abonnement, qui dit ce que la vue apporte et l’offre qui l’ouvre ; arrivé par l’adresse (?vue=exceptions, ?vue=gestes), la page présente l’offre. Les actions groupées de la vue par action de correction demandent en plus la gestion des dossiers (Team et plus). Voir aussi : Abonnement › pages, vues et éléments.

Questions fréquentes

Une CVE touche un produit de la stack, mais le projet n’a pas d’alerte. Ouvrez la CVE dans la Base CVE : elle est peut-être sous le seuil de la politique du projet, hors de la plage de versions déclarée dans la stack, ou écartée par une règle d’exclusion du projet (l’encart Pourquoi cette alerte ? de la fiche CVE le dit), ou le workflow de veille du projet ne crée plus de suivi. Si une alerte existe dans le projet, l’encart Pourquoi cette alerte ? de sa fiche détaille chaque étape.

Un collègue a classé une alerte : la vois-je changer ? Oui. Le dossier est celui du projet : son statut, ses notes et ses commentaires sont les mêmes pour tous, et l’historique de la fiche dit qui a fait le changement. Seul l’état lu ou non lu vous est propre.

Comment retrouver les alertes qui me sont assignées ? La vue rapide Mes assignations, ou Filtres avancés › Porteur du dossier › Moi. L’adresse /alerts?assignee=me peut se garder en favori ; c’est aussi celle du lien Voir mes assignations des e-mails d’assignation en masse.

Pourquoi l’export contient-il plus de lignes que l’écran ? L’export ignore l’onglet, la recherche et les filtres : il reprend toutes les alertes du projet actif.

Traiter une alerteLa fiche d'alerte, les statuts et les tickets.

Base CVEChercher dans toutes les CVE connues.