Les alertes par e-mail

Dans Alertes, choisissez qui reçoit les alertes de l’espace, par e-mail ou dans Slack ou Teams, et lesquelles.

• L’adresse du propriétaire reçoit les alertes dès le départ.
• Toute autre adresse doit être confirmée : elle reçoit un lien, et rien ne lui est envoyé avant que quelqu’un clique sur le bouton de cette page.
• Pour chaque adresse, choisissez tout (nouvelles vulnérabilités, récapitulatifs, rappels) ou failles exploitées et échéances seulement.
• Dans Réglages, chaque adresse peut aussi se limiter à certains produits (ou à tous, futurs compris) et fixer un seuil de gravité pour les nouvelles failles (à partir de « moyenne », « élevée » ou « critique », par exemple). Les failles exploitées et les échéances de signalement sont envoyées quelle que soit leur gravité, car elles lancent le décompte de l’article 14. Un produit qu’aucune adresse ne suit envoie quand même ses failles exploitées à toutes les adresses plutôt qu’à aucune. Les rappels d’échéance et les exercices vont à toutes les adresses, quels que soient leurs produits. Une faille dont la gravité n’est pas connue passe toujours le seuil. Les nouvelles failles qu’une adresse ne reçoit pas restent dans l’application : elles ne lui sont pas envoyées plus tard. Quand un produit suivi est supprimé, une adresse qui ne suit plus aucun produit les suit de nouveau tous.

Slack et Microsoft Teams

Avec les offres payantes, les alertes peuvent aussi aller dans un canal Slack ou Microsoft Teams, avec les mêmes réglages qu’une adresse (tout ou seulement les failles exploitées, produits, seuil de gravité).

1. Slack : sur api.slack.com/apps, Create New App, puis Incoming Webhooks, Activate, Add New Webhook to Workspace, choisissez le canal et copiez l’adresse (https://hooks.slack.com/services/…). Teams : dans le canal, Workflows, choisissez le modèle Send webhook alerts to a channel (son nom anglais ; pas les variantes from specific people ou from people in an org, qui demandent une connexion), puis copiez l’adresse qu’il donne.
2. Dans Alertes, Ajouter un canal Slack ou Microsoft Teams : choisissez le service, collez l’adresse, choisissez ce qu’il reçoit, puis Connecter. Provetry envoie un message de test : le canal est connecté une fois ce message arrivé.

L’adresse est conservée chiffrée et seuls ses derniers caractères sont affichés. Toute personne qui la connaît peut publier dans votre canal : protégez-la comme un mot de passe, et retirez le canal ici si elle a fuité. Un canal qui refuse les messages (webhook supprimé, canal archivé) ou échoue cinq fois de suite est mis en pause, avec la dernière erreur affichée ; Envoyer un test le relance. Après un passage à l’offre gratuite, les canaux ne reçoivent plus d’alertes jusqu’à ce que vous repreniez une offre payante ; les adresses e-mail continuent de les recevoir.

Ce que vous recevez

• Avec les offres payantes, une alerte dès qu’une nouvelle vulnérabilité ou une exploitation est trouvée dans une version maintenue. Les nouvelles vulnérabilités publiées sur OSV.dev sont comparées toutes les heures aux paquets de vos versions maintenues : celle qui vous concerne est en général annoncée dans l’heure (les paquets système d’une image de conteneur, Debian ou Alpine par exemple, sont vérifiés chaque jour). Les listes de vulnérabilités exploitées étant elles aussi relues toutes les heures, l’exploitation d’une vulnérabilité déjà trouvée dans vos versions est en général annoncée dans l’heure (dans les six heures quand seul l’EUVD de l’ENISA la recense). Avec l’offre gratuite, un récapitulatif hebdomadaire.
• Des rappels avant chaque échéance d’un signalement en cours.
• Les événements importants de votre offre (démarrage, problème de renouvellement).

Les alertes et les rappels partent dans la langue de l’espace, choisie dans Réglages ; les e-mails de votre propre compte, dans votre langue.