Traiter une alerte

La fiche d’alerte réunit tout ce qu’il faut pour décider quoi faire d’une CVE qui touche la stack du projet : pourquoi elle alerte, ce qu’elle est, si elle est exploitée, quelle version la corrige, et où en est le dossier de l’équipe.

• Pour qui : tout membre du projet qui voit ses dossiers peut lire la fiche ; chaque action (statut, réouverture, notes, tags et affectation, commentaire) suit un droit précis, accordé par défaut à partir du rôle Analyste (voir Droits et offre). Sans aucun de ces droits, la fiche s’affiche en lecture seule.
• Où : Vue d’ensemble › Alertes, puis un clic sur une ligne. L’adresse est /alerts/<projet>/<CVE> ; ouvrir une fiche depuis un lien (un e-mail, par exemple) active son projet dans la barre latérale.
• Exemple de cette page : CVE-2021-44228 (Log4Shell) dans le projet « Portail patients ».

Un dossier par projet et par CVE, commun à l'équipe

Une CVE qui touche un projet a une seule alerte et un seul dossier dans ce projet. Tous les membres voient le même statut, la même personne assignée, les mêmes notes, les mêmes tags, le même fil de commentaires et le même historique ; l’historique dit qui a fait chaque changement. Seule la lecture reste personnelle : ouvrir la fiche marque l’alerte et ses commentaires comme lus pour vous, pas pour vos collègues.

1. En-tête : l’identifiant et son bouton de copie, l’éditeur et le produit, l’autorité qui a attribué l’identifiant CVE (« Attribuée par »), puis une ligne avec le statut du dossier et les signaux de la CVE.
2. Actions : le bouton de ticket, Ouvrir un incident et le menu … (export CSV, version imprimable).
3. Pourquoi cette alerte ? : l’explication, repliée par défaut.
4. Colonne principale : Description, Exploitation, Versions corrigées, Mesures provisoires, Versions affectées, Avis des CERT, puis les compléments repliables (Détail CVSS, Matrices MITRE, Références), les Commentaires et l’Historique.
5. Dossier : projet, référence, dates, personnes assignées (Assigné à), tags.
6. Notes internes du dossier.
7. Propriétés de la CVE : scores, exploitation, éditeur, faiblesses, dates.
8. Barre de suivi, flottante en bas de l’écran : les statuts, les actions de clôture, Assigner et Commenter.

La flèche en haut à gauche revient à la page précédente. La fiche entière, compléments repliés :

L’en-tête

La ligne sous l’identifiant commence par le statut du dossier (son icône et son libellé), puis les signaux :

• Sévérité et score CVSS (« Critique 10,0 »), avec un point de la couleur de la gravité.
• Exploitée : exploitation avérée selon au moins une source (catalogue KEV de la CISA, KEV de VulnCheck, EUVD de l’ENISA, CERT-FR) ; les sources s’affichent au survol.
• Rançongiciel : la CVE est utilisée par des rançongiciels selon les catalogues KEV.
• KEV : la CVE figure au catalogue KEV de la CISA ; la date d’ajout s’affiche au survol.
• CERT : un CERT national au moins a publié sur la CVE. Un seul badge, toujours rouge, quel que soit le CERT ; l’infobulle signale une alerte du CERT-FR. Les CERT concernés s’affichent au survol, et un clic mène au bloc « Avis des CERT ».
• n PoC : nombre de preuves de concept et d’exploits publics ; Outillé à la place quand un module Metasploit ou un modèle Nuclei existe.

Seules la sévérité et l’exploitation portent un point de couleur ; le détail de chaque signal se retrouve dans les Propriétés.

Menu Plus d’actions

• Exporter CSV télécharge CVE-…-case-export.csv : identité, dates et notes du dossier, données de la CVE (scores, produit, KEV, PoC, CWE, données brutes), références, versions affectées et historique.
• Version imprimable ouvre la page « Rapport de dossier CVE » dans un nouvel onglet (voir Exporter et imprimer).

Pourquoi cette alerte

L’encart Pourquoi cette alerte ? rejoue, pour cette CVE et la stack du projet, les étapes du moteur d’alertes. Sa phrase de résumé donne le verdict ; un clic le déplie.

Dans l’ordre, l’encart dit :

• quel élément de la stack correspond (« La stack du projet suit le produit log4j ») et la version déclarée ;
• si la version est concernée : dans une plage publiée comme vulnérable, hors de toute plage (non concernée), ou considérée d’office quand aucune version n’est déclarée ou que la source ne publie pas de plage ; ou encore écartée parce que les références CPE désignent un autre éditeur ;
• ce que dit la politique de priorisation : score au-dessus du seuil, exception pour exploitation signalée, absence de seuil, ou score sous le seuil sans exploitation ; « (Seuil affiné sur cet élément de la stack.) » quand l’élément porte son propre seuil ;
• l’exploitation : exploitée selon telles sources, ou « un exploit est public », ou aucune exploitation connue, avec l’EPSS ;
• la version conseillée, quand elle est connue ;
• la date de l’alerte, en précisant si elle vient du rattrapage (CVE déjà publiée quand le composant a été ajouté) ;
• la règle d’exclusion du projet qui vise la CVE, s’il y en a une, avec son auteur et sa date : elle l’a écartée, ou elle a été ignorée parce que la CVE est exploitée ou liée à un rançongiciel, ou elle est sans effet parce que l’alerte existait avant elle (voir Projets › Exclusions).

Les verdicts possibles : « Un composant de la stack du projet est concerné et la politique du projet fait alerter », « Concernée, mais sous le seuil de la politique du projet : pas d’alerte », « Aucun composant de la stack du projet n’est concerné en l’état », « Concernée, mais publiée avant la création du projet : seules les CVE nouvelles alertent », « Concernée, mais écartée par une règle d’exclusion du projet : pas d’alerte ». Ce dernier verdict s’affiche aussi en tête de la fiche CVE, faute d’alerte où le lire. L’explication reflète l’état actuel de la stack et de la politique : si l’une ou l’autre a changé depuis la création de l’alerte, le verdict peut différer.

La colonne principale

Elle se lit dans l’ordre de la décision : de quoi il s’agit, est-ce exploité, que faut-il installer, qu’est-ce qui est touché.

Description et exploitation

La Description est celle publiée par la source, en anglais.

La section Exploitation répond en phrases : exploitation avérée et ses sources (ou « Aucune exploitation avérée n’est signalée… »), usage par des rançongiciels, liens vers les preuves d’exploitation quand VulnCheck en fournit, maturité de l’exploit et références publiques par source et, quand la CISA en publie une, l’analyse SSVC.

La maturité de l’exploit tient en un niveau, du plus grave au moins grave :

Niveau	Signification
Exploitée	Exploitation avérée (KEV de la CISA, KEV de VulnCheck, EUVD, CERT-FR) : des attaques réelles sont signalées.
Exploit outillé	Un module Metasploit ou un modèle de détection Nuclei existe : n’importe qui peut attaquer (ou balayer Internet) sans écrire de code.
Preuve de concept publique	Seulement du code public : dépôt GitHub (recensé par nomi-sec/PoC-in-GitHub) ou exploit d’Exploit-DB.
Aucune	Aucune preuve de concept ni aucun exploit public n’est référencé.

Sous la maturité, le nombre de références par source : Metasploit, Nuclei, Exploit-DB et GitHub. Les sources sont relues chaque jour ; seuls le titre, l’adresse, la date et le type de chaque exploit sont conservés, jamais leurs auteurs.

Voir les PoCs ouvre d’abord une mise en garde, quelle que soit la source : ces liens mènent vers du code publié par des tiers, qui peut être malveillant, incomplet ou trompeur, et ils n’ont été ni vérifiés ni testés par TechWatchAlert. Un code d’exploitation ne s’exécute que dans un environnement isolé, sur des systèmes qu’on est autorisé à tester. Afficher les liens ouvre la liste ; Annuler referme.

La liste regroupe les liens par source, avec un filtre par source en haut (Toutes, Metasploit, Exploit-DB…). Chaque lien porte l’icône du site de destination (GitHub, GitLab, Exploit-DB… ; une pastille à l’initiale du domaine pour les autres), son titre, son adresse, sa date et, selon la source, les étoiles GitHub ou la mention vérifié d’Exploit-DB. Les icônes sont intégrées à l’application : rien n’est chargé depuis le site de destination.

Versions corrigées

Le bloc Versions corrigées répond à « quelle version installer ? ». Pour chaque produit, les versions sûres (« ≥ 3.0.15 ») et leur source : CVE / NVD, GitHub Advisory, OSV ou CERT-FR. Le produit suivi dans la stack vient en premier ; les autres se déplient avec Autres produits (n). Rien n’est inventé : quand aucune source ne le dit, le bloc l’écrit (« Aucune version corrigée publiée par les sources à ce jour… »).

Mesures provisoires

Le bloc Mesures provisoires répond à « que faire en attendant le correctif ? ». Il reprend ce que l’éditeur ou un CERT publie, une ligne par avis et par catégorie, avec un badge :

• Contournement : une manœuvre qui évite la faille sans la corriger (désactiver un service, changer un réglage) ;
• Atténuation : une mesure qui réduit le risque ou l’exposition (filtrage réseau, droits restreints) ;
• Pas de correctif disponible : l’éditeur n’a pas encore publié de correctif ;
• Aucun correctif prévu : l’éditeur n’en publiera pas (produit en fin de vie, éditeur sans réponse).

Chaque ligne donne les produits concernés quand l’avis les nomme, le texte de la mesure (les plus longs se déplient avec Lire la suite), puis la source, la référence de l’avis, sa date de mise à jour et le lien Avis original. Les sources sont les avis CSAF de la CISA, du NCSC-NL et de Siemens ProductCERT, et les sections « Contournement provisoire » des alertes et avis du CERT-FR.

Pour un avis d’éditeur que la CISA republie (ABB, Hitachi Energy, Mitsubishi Electric, Schneider Electric…), le bloc affiche la catégorie et le lien vers l’avis de l’éditeur, sans le texte : les conditions de ces éditeurs n’en permettent pas la reproduction. Le détail de chaque licence est sur la page Sources et licences.

Une mesure provisoire réduit le risque sans corriger la faille : vérifiez qu’elle s’applique à votre version, et prévoyez la mise à jour. Le bloc n’apparaît pas quand aucune source n’en publie. Le filtre Contournement disponible des listes CVE et Alertes retrouve les CVE qui en ont une.

Versions affectées

Chaque plage publiée : éditeur, produit, Version depuis, Version jusqu’à (« < 2.15.0 » pour une borne exclue, « ≤ » pour une borne incluse), Corrigée en, statut (Affectée, Non affectée) et chaîne CPE, avec un bouton pour la copier.

Avis des CERT

Les CERT et CSIRT nationaux, de tous pays, qui ont publié sur la CVE : un CERT par ligne, avec son pays. Le CERT-FR est détaillé (type, référence, titre avec lien, dates de publication, de mise à jour et de clôture, mention « Exploitation signalée » quand l’avis le dit), comme les fiches de l’EUVD de l’ENISA (exploitée ou non, score, EPSS). Pour les autres (CERT/CC, BSI, JVN, CCCS, CISA, CERT-EU…), le lien vers leur publication, relevé dans les références de la CVE : leur contenu reste chez eux. Le badge CERT de l’en-tête mène à ce bloc. Il n’apparaît pas quand aucun CERT ne cite la CVE.

Compléments repliables

Trois sections secondaires tiennent chacune sur une ligne, avec un résumé à droite : un clic les déplie. Votre choix (replié ou déplié) est retenu dans ce navigateur : qui déplie le détail CVSS le retrouve déplié sur la fiche suivante.

• Détail CVSS : le score, sa gravité et sa version, les métriques du vecteur groupées (exploitabilité, impact) et le vecteur complet, copiable. Quand plusieurs sources publient un score (CNA, ADP de la CISA, GitHub, OSV), un onglet par source ; le plus récent est choisi par défaut.

  

• Matrices MITRE : combien de techniques ATT&CK, de contre-mesures D3FEND et de techniques ATLAS sont associées à la CVE. Un bouton ouvre la matrice de référence complète, cases concernées en couleur (confiance exacte, dérivée ou heuristique pour ATT&CK).

  

  

• Références (« n liens ») : les liens de l’éditeur et des bases, avec leur provenance. La section n’apparaît que si la source publie des références.

La colonne latérale

Dossier

• Projet : le projet de l’alerte.

• Référence : les huit premiers caractères de l’identifiant du dossier (le bouton copie l’identifiant complet).

• Détectée : la date de l’alerte ; Mis à jour : le dernier changement du dossier.

• Assigné à : les personnes qui portent le dossier pour l’équipe, ou « Non assigné ». Voir Assigner le dossier.

• Tags : les tags du dossier, communs à l’équipe. Le bouton + (« + Tag » quand il n’y en a aucun) ouvre la liste des tags de l’organisation ; un clic coche ou décoche un tag, la croix d’une pastille le retire. Les tags servent de filtre dans la liste des alertes ; le catalogue se gère avec l’organisation.

  

• Autres projets : quand la même CVE a un dossier dans d’autres projets dont vous voyez les alertes, chacun est listé avec l’icône de son statut ; un clic ouvre sa fiche.

Ouvrir la fiche pour la première fois crée le dossier s’il n’existe pas encore (« dossier ouvert · À traiter » dans l’historique, au nom de la personne qui l’a ouverte).

Sans le droit de modifier le dossier, Assigné à et Tags se lisent sans contrôle : ni flèche, ni +, ni croix (« — » quand le dossier n’a pas de tag).

Assigner le dossier

Un dossier peut avoir une ou plusieurs personnes assignées, qui le portent pour l’équipe (l’analyste et la personne qui appliquera le correctif, par exemple). C’est un repère de répartition du travail : l’assignation ne change ni le statut, ni les droits, ni qui peut agir sur le dossier.

1. Cliquez sur Assigner dans la barre de suivi, ou sur la valeur de Assigné à dans la section Dossier (les noms actuels ou « Non assigné », suivis d’une flèche). Les deux ouvrent le même panneau.
2. Tapez au besoin le début d’un nom ou d’une adresse dans Rechercher un membre ; les flèches ↑ ↓ et Entrée cochent ou décochent aussi.
3. Cochez les personnes à ajouter, décochez celles à retirer, puis cliquez sur Appliquer (le bouton compte les changements). Rien n’est enregistré avant.

Deux raccourcis s’appliquent tout de suite, en haut du panneau : M’assigner vous ajoute aux personnes assignées, Retirer toutes les assignations laisse le dossier sans personne.

• La liste propose les membres du projet qui voient ses dossiers (droit « Voir les dossiers ») ; vous y figurez en tête, marqué « vous ». Le serveur refuse toute autre personne.
• Chaque personne nouvellement assignée est prévenue :
  • par une notification dans la cloche (« CVE-… vous est affectée », avec le projet et le nom de qui l’a assignée), qui mène à la fiche ;
  • par un e-mail « Une alerte CVE vous a été attribuée » : la CVE, sa gravité et son score CVSS, les signaux qui pressent (exploitée, catalogue KEV, exploit public), le projet, qui l’a attribuée et le bouton Ouvrir la fiche d’alerte. Il part tout de suite, dans la langue de la personne, quelle que soit sa cadence d’e-mails ; elle peut le couper avec la préférence Assignations (voir Notifications › Vos préférences).
• Personne n’est prévenu quand vous vous assignez vous-même, quand une assignation est refaite à l’identique (la personne portait déjà le dossier), ni quand une assignation est retirée.
• Plusieurs alertes peuvent être assignées en une fois depuis la liste des alertes : chaque personne ne reçoit alors qu’une notification et un e-mail récapitulatif, qui liste les CVE.
• Les initiales des personnes assignées apparaissent dans la liste des alertes, dont la vue rapide Mes assignations retrouve vos dossiers ; la portée Assignés à moi des indicateurs du tableau de bord ne compte que les dossiers qui vous sont assignés (seul ou avec d’autres).
• Un membre retiré du projet (ou de l’organisation, ou dont l’accès a expiré) perd ses affectations sur ce projet ; les autres personnes assignées les gardent.
• Assigner et retirer demandent le droit de modifier le dossier (voir Droits et offre) ; chaque changement est inscrit au journal d’audit de l’organisation, avec les personnes ajoutées et retirées.

Notes internes

Le champ Notes internes garde le contexte de travail de l’équipe : ce qui a été vérifié, ce qui est prévu. C’est un seul texte par dossier, que chaque membre autorisé peut modifier. Dès que vous le modifiez, le bouton Enregistrer apparaît ; Ctrl+Entrée (⌘+Entrée sur Mac) enregistre aussi. « Enregistré » s’affiche quelques secondes. Enregistrer une note ne crée pas de ligne d’historique.

Sur un dossier clos, ou sans le droit « Ajouter / modifier une note », la note s’affiche en simple texte, sans champ ni bouton (« Aucune note. » quand elle est vide) : un dossier clos doit être rouvert avant que sa note soit modifiée.

Propriétés

Ce qu’on consulte d’un coup d’œil : Sévérité, Score CVSS (avec sa version et une jauge sur 10), EPSS (probabilité d’exploitation sous 30 jours, avec son percentile), Exploitation (« Exploitée » et ses sources, ou « Non signalée »), KEV CISA (date d’ajout, seulement si la CVE y figure), Éditeur, Produit, Faiblesses (les CWE, liens vers le site du MITRE), dates Publiée, Mise à jour, Réservée (la date complète au survol) et État (Publiée, Rejetée, Réservée).

La barre de suivi

La barre flotte en bas de l’écran, centrée sur la zone de contenu : elle reste à portée de main pendant la lecture. C’est la même barre que celle qui apparaît quand on coche des alertes dans la liste des alertes : mêmes actions, dans le même ordre, avec les mêmes libellés ; la fiche y ajoute seulement Commenter.

• En cours : À traiter, En analyse, En remédiation. Le statut actuel est en relief ; son infobulle donne la date de la dernière mise à jour.
• Contenir : Atténuée (voir Atténuer une CVE).
• Clore le dossier : Non applicable, Résolu, Risque accepté.
• Assigner ouvre le choix des personnes assignées (voir Assigner le dossier).
• Commenter (touche C) ouvre le composeur.

Sans le droit « Changer le statut », les statuts ne sont pas proposés : la barre affiche seulement le statut actuel et sa date de mise à jour, suivis de Lecture seule si vous ne pouvez pas non plus commenter (voir La fiche en lecture seule).

Un clic sur un statut l’enregistre aussitôt et ajoute une ligne à l’Historique, avec votre nom. Si le changement est refusé, la barre affiche « Impossible de mettre à jour le statut. Vérifiez vos droits. »

Statut	Onglet de la liste	Usage
À traiter	En cours	Pas encore pris en charge.
En analyse	En cours	L’équipe vérifie si la CVE touche vraiment le projet et son impact.
En remédiation	En cours	La correction est décidée ou en cours.
Atténuée	Atténuées	Pas corrigée : une mesure la contient (contournement, règle WAF, fonction désactivée, isolement), jusqu’à une échéance.
Non applicable	Historique	La CVE ne concerne pas le projet (faux positif, composant non exposé, fonction désactivée…).
Résolu	Historique	Corrigée.
Risque accepté	Historique	Elle touche le projet, mais l’équipe ne la corrigera pas, en connaissance de cause.

Le statut étant celui de l’équipe, classer une alerte la fait passer dans l’onglet Historique de la liste des alertes pour tous les membres.

Écarter une CVE

Une CVE qui ne concerne pas le projet se classe Non applicable, avec un motif facultatif.

1. Cliquez sur Non applicable dans la barre. Le panneau Classer non applicable s’ouvre : « Cette CVE ne concerne pas ce projet. Le motif, facultatif, est publié dans la discussion du dossier. »
2. Écrivez le motif si vous le souhaitez (composant non déployé, fonction désactivée…). Les mentions @ y fonctionnent comme dans un commentaire.
3. Cliquez sur Classer (ou Ctrl+Entrée). Le motif est publié comme commentaire du dossier, puis le dossier passe Non applicable.

Le motif se lit ensuite dans les Commentaires (le fil passe en lecture seule), et la ligne « En analyse → Non applicable » dans l’Historique :

Sans le droit de commenter, Non applicable classe directement, sans panneau de motif.

Pour qu’un composant entier cesse d’alerter, c’est la stack qui se règle : relevez son seuil d’alerte ou retirez-le de la stack.

Non applicable ou risque accepté ?

Non applicable dit que la CVE ne touche pas le projet. Si elle le touche mais que vous ne la corrigerez pas, choisissez Risque accepté : dans un projet sous NIS2, c’est une décision tracée, approuvée par la direction et revue à échéance.

Atténuer une CVE

Entre « à traiter » et « résolu », il y a la fenêtre sans correctif : le correctif n’existe pas encore, ou ne peut pas être déployé tout de suite. Si une mesure contient la faille en attendant (contournement publié par l’éditeur, règle WAF ou IPS, fonction désactivée, isolement réseau), classez le dossier Atténuée. La faille n’est pas corrigée : le statut le dit, distinct de Résolu partout (liste, fiche, tableau de bord, rapports, API).

1. Cliquez sur Atténuée dans la barre (groupe Contenir). Le panneau Atténuer la faille s’ouvre.
2. Choisissez la nature de la mesure : Contournement de l’éditeur, Patch virtuel (WAF, IPS), Fonction désactivée, Isolement réseau ou Autre mesure. Rien n’est coché d’office.
3. Décrivez la mesure en place : la règle, le module désactivé, le filtrage.
4. Écrivez la justification, 20 caractères au moins : pourquoi atténuer plutôt que corriger maintenant.
5. Choisissez l’échéance, obligatoire : le dernier jour où la mesure vaut. 30 j, 90 j et Max. la posent d’un clic ; elle tombe au plus tard 180 jours après aujourd’hui (voir l’encadré).
6. Cliquez sur Atténuer (ou Ctrl+Entrée).

Le dossier passe Atténuée, et l’historique garde la mesure, la justification et l’échéance, avec votre nom. Sous l’en-tête de la fiche, un bloc le rappelle à toute l’équipe : « Atténuée jusqu’au … », les jours restants, la nature, la mesure, la justification, qui l’a posée et quand.

Ce que change Atténuée :

• la file : l’alerte quitte l’onglet En cours de la liste pour l’onglet Atténuées. Tant que l’atténuation court, le dossier n’est plus « à traiter » : il ne compte ni dans l’ancienneté du retard, ni dans les échéances de correction dépassées ;
• l’exposition : la faille reste exposée. Le tableau de bord la compte à part, comme « contenue » (cartes Où en est le traitement, Exposition et Composants exposés), et les rapports aussi ;
• les délais : ce n’est pas une clôture. Corrigée ensuite (Résolu depuis Atténuée), la CVE compte dans les délais si l’atténuation a été posée avant son échéance de correction ;
• le dossier reste ouvert : on commente, et on change de statut directement, par exemple Résolu dès le correctif déployé.

Rappels et réouverture. TechWatchAlert rappelle l’échéance 14 jours avant, puis la veille, une fois chacun, par la cloche et par e-mail : à la personne qui a posé l’atténuation et aux personnes assignées, à défaut aux administrateurs du projet. Le lendemain de l’échéance, sans correctif, le dossier se rouvre seul : il repasse À traiter, ou En remédiation s’il y était avant l’atténuation. L’historique ajoute « Atténuation expirée », signée TechWatchAlert, et un avis part aussitôt. La CVE retrouve son échéance de correction d’origine : l’atténuation suspend le retard, elle ne le repousse pas.

Renouveler. Sur un dossier atténué, Atténuée est en relief dans la barre ; un clic ouvre Renouveler l’atténuation, prérempli sauf l’échéance, à choisir à nouveau. Les rappels repartent pour la nouvelle échéance.

Durée maximale d'une atténuation

180 jours par défaut. Avec la conformité NIS2, la politique de correction de l’organisation, ou celle d’un projet, la règle de 7 à 365 jours : Échéance maximale d’une atténuation (voir NIS2 › Réglages).

Risque accepté

Quand le projet tient un registre des risques acceptés (conformité NIS2), Risque accepté ne se pose pas d’un clic : le bouton ouvre une demande d’acceptation motivée, soumise à la direction (voir NIS2 › Registres). Une fois l’acceptation demandée ou approuvée, le dossier s’y aligne. Sans registre, Risque accepté ouvre le même panneau que Atténuée (la nature peut y être Aucune mesure) : l’acceptation porte une justification et une échéance, avec les mêmes rappels, et le dossier se rouvre seul à l’échéance. Clos, il se renouvelle sans être rouvert : Renouveler, à côté de Réouvrir. Avec registre, un bandeau sous l’en-tête rappelle l’état de l’acceptation pour toute l’équipe. De même, quand les échéances de correction NIS2 sont actives pour le projet, un encart donne l’échéance de correction d’un dossier encore ouvert.

Dossier clos et réouverture

Un dossier Non applicable, Résolu ou Risque accepté est clos : la barre ne montre plus que son statut, la date de mise à jour et Réouvrir, qui le repasse En analyse. Réouvrir demande le droit « Rouvrir un dossier », distinct de « Changer le statut ». Tant qu’il n’est pas rouvert, on ne peut ni changer son statut, ni enregistrer sa note, ni commenter : Commenter disparaît, le fil affiche Lecture seule et Répondre n’est plus proposé.

Commenter

Les Commentaires sont la discussion de l’équipe sur la CVE. On écrit depuis le composeur, ancré à la barre de suivi.

1. Ouvrez le composeur : Commenter dans la barre, la touche C (hors d’un champ de saisie), ou le champ Ajouter un commentaire… sous le fil.
2. Écrivez (4 000 caractères au plus ; un compteur apparaît quand il en reste moins de 400).
3. Envoyez avec Envoyer ou Ctrl+Entrée (⌘+Entrée sur Mac). Le bouton de la barre affiche brièvement Publié et le message entre dans le fil.

• Échap ou Annuler referme le composeur. Le brouillon est conservé : en rouvrant le composeur, vous le retrouvez là où vous l’aviez laissé (tant que la page n’est pas rechargée). Le brouillon d’un commentaire et celui d’un motif « Non applicable » sont distincts.
• Chaque message affiche son auteur, la date relative (la date exacte au survol) et un point bleu si vous ne l’aviez pas encore lu. La lecture est personnelle : ouvrir la fiche marque les commentaires comme lus pour vous seul, vos collègues gardent leurs propres points ; vos propres commentaires comptent toujours comme lus.

Mentionner un collègue

Tapez @ puis le début d’un nom ou d’une adresse : la liste des membres du projet s’affiche (six au plus). Choisissez avec les flèches puis Entrée ou Tab, ou à la souris. Échap referme d’abord la liste, puis le composeur.

• Chaque personne mentionnée reçoit un e-mail avec le message et un lien vers la fiche, dans sa langue. Une mention qui vise quelqu’un d’extérieur au projet est ignorée ; si vous retouchez à la main le nom inséré, il redevient du texte et personne n’est prévenu.
• Vous recevez vous-même une copie de votre commentaire par e-mail.
• Dans le fil, une mention qui vous vise est soulignée.

Répondre

Au survol d’un message, Répondre ouvre le composeur en réponse : un rappel « En réponse à … » cite le message ; sa croix revient à un commentaire simple. Les réponses s’affichent en retrait sous le message, sur un seul niveau (on ne répond pas à une réponse).

Historique

En tête, trois chiffres :

• Premier traitement : le temps entre la détection de l’alerte et le premier vrai changement de statut (« En attente » tant que rien n’a bougé) ;
• Temps de résolution : du premier traitement au premier passage dans un statut clos (« En cours » avant) ;
• Nombre d’actions : les lignes de l’historique.

Dessous, du plus récent au plus ancien : Dossier archivé · Clôture pour un dossier clos, puis chaque changement avec son auteur (nom, e-mail au survol), le passage d’un statut à l’autre et le commentaire éventuel (« dossier ouvert » pour la création, « note ajoutée » pour une ligne sans changement de statut), la date relative (date exacte au survol) ; tout en bas, Alerte détectée · Origine. Une ligne signée TechWatchAlert est une action automatique (workflow, échéance d’une atténuation ou d’une acceptation de risque, regroupement des anciens dossiers individuels en un dossier d’équipe) ou celle d’un compte supprimé depuis. Les affectations et les tags n’y figurent pas.

Tickets et incidents

Ouvrir un ticket

Ouvrir un ticket Jira (ou GitLab, GitHub), dans l’en-tête, crée le ticket dès le clic, sans fenêtre intermédiaire. Il contient la gravité, l’EPSS, l’exploitation, le composant, les versions corrigées, la description et un lien retour vers l’alerte. Une fois créé, le bouton devient un lien vers le ticket (« Jira SEC-123 »).

• Un seul ticket par CVE et par projet, qu’il ait été ouvert à la main ou par la tuile de workflow « Créer un ticket ».
• Sans outil configuré, le bouton n’apparaît pas. La configuration se fait dans les réglages du projet, page Intégrations (administrateurs du projet).

Ouvrir un incident

Ouvrir un incident déclare un incident de sécurité à partir de ce dossier, avec un titre proposé à partir de la CVE. Le bouton n’apparaît que si le module Incidents de la conformité NIS2 est actif et que vous pouvez gérer les incidents (voir NIS2 › Incidents).

Exporter et imprimer

• … › Exporter CSV : voir Menu Plus d’actions.
• … › Version imprimable ouvre « Rapport de dossier CVE » dans un nouvel onglet : état du dossier, description, informations du dossier, contexte CVE, notes, versions affectées, références et historique d’activité (sans les commentaires). La fenêtre d’impression du navigateur s’ouvre d’elle-même ; choisissez « Enregistrer au format PDF » pour obtenir un PDF. Exporter en PDF la rouvre.

Sur téléphone

La fiche s’empile : l’en-tête, Pourquoi cette alerte ?, le Dossier et les Notes internes, puis la description, les propriétés et le reste. La barre de suivi occupe toute la largeur, au-dessus de la barre d’onglets : à gauche le statut actuel, puis Assigner et Commenter.

Les choix s’ouvrent en feuilles basses :

• le statut ouvre la feuille Suivi (statut et date de mise à jour, groupes En cours et Clore le dossier, ou Réouvrir pour un dossier clos) ;
• Assigner ouvre la feuille d’assignation (membres à cocher, Appliquer, M’assigner, Retirer toutes les assignations) ;
• Commenter ouvre le composeur en feuille ;
• … (en-tête) ouvre la feuille Actions : Exporter CSV, Version imprimable, le ticket et Ouvrir un incident quand ils sont disponibles.

La fiche en lecture seule

Un membre qui voit les dossiers sans pouvoir les modifier (le rôle Utilisateur, par défaut) lit toute la fiche, mais n’y trouve aucun contrôle d’écriture. Ici, Marc Lefèvre, Utilisateur du projet Portail patients :

1. Dossier : les personnes assignées et les tags se lisent, sans flèche, sans + ni croix.
2. Notes internes : le texte de l’équipe, sans champ ni bouton Enregistrer.
3. Barre de suivi : le statut actuel, sa date de mise à jour et la mention Lecture seule ; ni statuts, ni Assigner, ni Commenter, et la touche C ne fait rien.

Le fil des Commentaires affiche Lecture seule : ni champ Ajouter un commentaire…, ni bouton Répondre. Les commentaires qu’il n’a pas encore lus portent le point bleu, pour lui seul :

Chaque contrôle suit son propre droit : un membre à qui l’on a accordé « Commenter un dossier » sans « Changer le statut » voit Commenter mais pas les statuts ; la mention Lecture seule de la barre n’apparaît que s’il ne peut ni changer le statut (ni rouvrir, sur un dossier clos), ni assigner, ni commenter. Exporter CSV, Version imprimable et Pourquoi cette alerte ? restent disponibles.

Raccourcis

Touche	Effet
C	Ouvre le composeur de commentaire (hors d’un champ de saisie et d’une fenêtre ouverte, si vous pouvez commenter).
Ctrl+Entrée (⌘+Entrée)	Envoie le commentaire, classe avec le motif, ou enregistre la note.
Échap	Referme la liste des mentions, puis le composeur (le brouillon reste).
↑ ↓, Entrée, Tab	Parcourent et insèrent une mention.

La recherche globale (Ctrl K) permet de revenir à une fiche par l’identifiant de la CVE.

Droits et offre

Chaque action de la fiche suit un droit précis, celui que le serveur vérifie ; l’interface ne propose que ce que vous pouvez faire. Les libellés sont ceux de la ligne Cas & rapports de la matrice des droits (réglages du projet, bouton Droits ; voir Projets › Droits fins d’un membre).

Action	Droit (matrice)	Rôle par défaut
Lire la fiche, « Pourquoi cette alerte ? », exporter, imprimer	colonne Voir (« Voir les dossiers »)	Utilisateur et plus
Changer le statut d’un dossier ouvert, classer	colonne Modifier (« Changer le statut »)	Analyste et plus
Atténuer, renouveler une atténuation (ou une acceptation hors registre)	colonne Modifier (« Changer le statut ») : un geste de l’équipe, pas une décision de la direction	Analyste et plus
Rouvrir un dossier clos	Avancé : « Rouvrir un dossier »	Analyste et plus
Modifier les notes internes	Avancé : « Ajouter / modifier une note »	Analyste et plus
Commenter, répondre, mentionner	Avancé : « Commenter un dossier »	Analyste et plus
Tags, affectation (Assigné à, Assigner de la barre), ouvrir un ticket	l’un au moins de « Changer le statut », « Ajouter / modifier une note », « Rouvrir un dossier »	Analyste et plus
Configurer l’outil de tickets	—	Administrateur du projet

Ces droits se règlent membre par membre ou par groupe, et le serveur applique le résultat. Le dossier de traitement (statuts, affectation, notes, commentaires, historique, tickets) fait partie des offres Team, Pro et Business (« Gestion des dossiers »). La demande d’acceptation de risque et l’incident dépendent de la conformité NIS2.

Pendant le chargement des droits

À l’ouverture de la fiche, les contrôles d’écriture n’apparaissent qu’une fois vos droits connus : pendant une fraction de seconde, la fiche peut s’afficher comme en lecture seule.

Questions fréquentes

Une CVE ne nous concerne pas : comment l’écarter ? Classez-la Non applicable depuis la barre de suivi, avec un motif (voir Écarter une CVE). Pour tout un composant, réglez plutôt la stack : seuil d’alerte ou retrait.

« Atténuée » ou « Résolu » ? Résolu : le correctif est déployé. Atténuée : il ne l’est pas, mais une mesure provisoire contient la faille jusqu’à une échéance. Une atténuation n’est jamais comptée comme une correction ; à l’échéance, sans correctif, le dossier revient dans En cours.

Je passe une alerte en « Résolu » : disparaît-elle pour mon équipe ? Oui : le dossier est celui de l’équipe. L’alerte quitte l’onglet En cours de tous les membres et rejoint l’Historique. L’historique du dossier garde votre nom sur ce changement.

Un collègue vient d’arriver dans le projet : voit-il les alertes existantes ? Oui. Les alertes et les dossiers appartiennent au projet : un nouveau membre voit tout l’existant, avec les statuts, notes et commentaires de l’équipe. Les alertes apparaissent pour lui comme non lues.

Pourquoi « Pourquoi cette alerte ? » dit-il « Aucun composant de la stack du projet n’est concerné » alors que l’alerte existe ? L’explication lit la stack d’aujourd’hui. Si le composant a été retiré ou sa version mise à jour depuis l’alerte, elle le dit : c’est souvent le signe que la CVE peut être classée Résolu.

Où est passé mon motif « Non applicable » ? Dans les Commentaires du dossier : il y est publié juste avant le classement. La ligne d’historique, elle, ne porte que le changement de statut.

Le bouton de ticket n’apparaît pas. Aucun outil n’est configuré pour le projet, vous n’avez aucun des droits qui permettent de modifier le dossier (« Changer le statut », « Ajouter / modifier une note », « Rouvrir un dossier »), ou votre offre n’inclut pas la gestion des dossiers.

Je ne vois ni les statuts ni « Commenter », seulement « Lecture seule ». Votre rôle sur le projet (Utilisateur par défaut) permet de lire les dossiers, pas de les modifier. Demandez à un administrateur du projet les droits utiles, ou le rôle Analyste par un groupe.

Qui est prévenu quand j’assigne un dossier ? Les seules personnes nouvellement désignées, sauf vous : une notification dans leur cloche et un e-mail « Une alerte CVE vous a été attribuée » (sauf si elles ont coupé la préférence Assignations). Refaire une assignation à l’identique ne prévient personne de nouveau. Un collègue qui quitte le projet perd ses affectations : pensez à réassigner ses dossiers.

Peut-on assigner un dossier à plusieurs personnes ? Oui : cochez-les toutes dans le panneau d’assignation. Chacune voit le dossier dans Mes assignations et est prévenue une fois.

J’ai lu les commentaires : mes collègues les voient-ils comme lus ? Non. L’état lu des commentaires, comme celui des alertes, est propre à chacun.

AlertesLa liste, ses filtres et les actions groupées.

Base CVELa fiche d'une CVE hors de tout dossier.