Meilleurs outils de veille CVE en 2026
Il n’existe pas de meilleur outil de veille CVE dans l’absolu. Il existe six outils sérieux qui ont chacun choisi un métier : consulter, scanner, auto-héberger, filtrer par mots-clés, interroger par API, ou prévenir sur un périmètre déclaré. Voici lequel convient à quel profil, avec la méthode, les sources et la date.
Le verdict, avant le détail
- Conçu et hébergé en France
- Plan gratuit, sans carte bancaire
- Prix affichés publiquement
- Export de vos données à tout moment
Une CVE (Common Vulnerabilities and Exposures) est l’identifiant public d’une vulnérabilité. Plus de 40 000 ont été publiées en 2024, et la courbe n’a pas fléchi depuis 2016 (chiffres du programme CVE). Sur ce volume, quelques dizaines concernent une équipe donnée. Tout le travail d’un outil de veille tient dans ce rapport : ramener 40 000 à trente, sans perdre les trente.
Les sept critères, et pourquoi ceux-là
Chaque critère a été retenu parce qu’il change la charge de travail d’une équipe, pas parce qu’il nous avantage.
- Ciblage sur la stack. L’outil part-il de votre inventaire, ou d’une liste d’abonnements que vous entretenez ? C’est le critère qui décide du bruit.
- Priorisation KEV + EPSS. Le KEV est le catalogue des vulnérabilités activement exploitées publié par la CISA ; l’EPSS estime la probabilité d’exploitation dans les 30 jours. Sont-ils dans l’alerte, ou à chercher soi-même ?
- Suivi de fin de vie (EOL). Une version qui ne recevra plus de correctif est un risque permanent, jamais refermé.
- Canaux. E-mail seul, ou Slack, Teams, webhook et API ?
- Langue. Sur un sujet technique, lire dans sa langue réduit les contresens.
- Modèle tarifaire. Prix affiché, devis, ou gratuit avec un coût d’exploitation caché ?
- Hébergement. Où résident vos données d’inventaire, qui sont une cartographie de votre système d’information.
| Outil | Ciblage stack | KEV + EPSS | EOL | Canaux | Langue | Modèle | Hébergement |
|---|---|---|---|---|---|---|---|
| TechWatchAlert | Automatique (CPE, SBOM) | Dans l’alerte | Oui | E-mail, Slack, Teams, webhook, API | FR et EN | Gratuit puis prix affiché | France |
| OpenCVE | Abonnement manuel | Données présentes | Non | E-mail, Slack, Jira, webhook | EN | Auto-hébergé ou cloud | Chez vous ou éditeur |
| Cyberwatch | Inventaire scanné | Oui, avec contexte | Non communiqué | Selon offre | FR, EN, ES | Sur devis | France |
| CVEDetails | Abonnement manuel | KEV visible | Non | E-mail, RSS, API | EN | API sur abonnement | États-Unis |
| Vulmon Alerts | Mots-clés | Partiel | Non | E-mail, Slack, Teams, RSS, API | EN | Gratuit limité puis payant | Non communiqué |
| CVEFeed.io | Requêtes (CVEQL) | Oui, enrichi | Non | E-mail, Slack, Teams, Jira, webhook | EN | Gratuit puis payant | Non communiqué |
1. TechWatchAlert — la veille ciblée, en français
Pour qui. Équipes IT, responsables sécurité et équipes de développement qui savent ce qu’elles exploitent et veulent être prévenues dessus, sans déployer d’agent.
Forces. Ciblage automatique par CPE (la nomenclature qui identifie un produit et sa version) ou par import SBOM (la nomenclature de vos composants), priorisation KEV puis EPSS puis CVSS dans l’alerte, suivi des fins de support, workflows de traitement, API REST, sept flux recoupés, hébergement en France, plan gratuit sans carte.
Limites. Ce n’est pas un scanner : si votre inventaire est faux, nos alertes le seront aussi. Le produit est jeune — détection, matching et alerte tournent en production, les workflows d’équipe se stabilisent encore. L’objectif de disponibilité annoncé est de 99,5 % par mois, pas davantage.
Modèle. Plan gratuit, puis grille publique. Détail de la méthode sur la page veille CVE.
2. OpenCVE — le code sous les yeux
Pour qui. Équipes techniques qui veulent lire le code et héberger elles-mêmes, ou dont la politique interne interdit que l’inventaire sorte du réseau.
Forces. Abonnement par éditeur et par produit éprouvé, alertes Slack, Jira et webhook, règles et suivi de remédiation, offre cloud avec formule gratuite, réécriture complète en version 2.
Limites. Licence BSL 1.1 — code disponible mais pas open source au sens strict, bascule prévue en Apache 2.0 en 2030, usages commerciaux restreints d’ici là. Interface en anglais. Pas de suivi de fin de vie mis en avant. Auto-hébergé, le coût réel n’est pas la licence mais l’exploitation.
Le face-à-face détaillé avec OpenCVE.
3. Cyberwatch — la suite entreprise française
Pour qui. Organisations avec un parc étendu, mal inventorié, et des obligations de conformité à démontrer.
Forces. Découverte d’actifs et scan actif — c’est le seul outil de cette liste qui trouve ce que vous n’avez pas déclaré. Gestion de la conformité. Éditeur français, hébergement en France, interface en français, anglais et espagnol.
Limites. Pas de prix public, pas d’inscription en libre-service : l’entrée passe par une démonstration puis un devis. Lourd si votre besoin se limite à être prévenu sur une dizaine de composants.
Le face-à-face détaillé avec Cyberwatch.
4. CVEDetails — la bibliothèque
Pour qui. Quiconque doit fouiller l’historique d’un produit, d’un éditeur ou d’une CVE précise.
Forces. Archive ancienne et vaste, gratuite à la consultation, très bien référencée. Alertes e-mail par éditeur, produit, version ou présence au KEV. Flux RSS réutilisables. API au format NVD.
Limites. Interface en anglais. Abonnements à déclarer et à entretenir à la main, sans rapprochement d’inventaire. API sur abonnement payant. Pas de suivi de fin de vie. Hébergement hors Union européenne.
Le face-à-face détaillé avec CVEDetails.
5. Vulmon Alerts — les alertes par mots-clés
Pour qui. Suivi léger d’une poignée de sujets, sans inventaire à déclarer.
Forces. Mise en route immédiate, alertes e-mail, Slack, Teams, RSS et API, synthèses quotidiennes des tendances.
Limites. La formule gratuite se limite à deux abonnements. Le filtrage par mots-clés produit des faux positifs dès que le nom du produit est commun. Interface en anglais, pas de rapprochement de stack, pas de suivi de fin de vie.
6. CVEFeed.io — l’approche requête et API
Pour qui. Équipes qui ont déjà une chaîne de traitement et veulent brancher un flux enrichi dessus.
Forces. Surveillance proche du temps réel du NVD, du KEV et des avis éditeurs, enrichissement EPSS, CVSS et KEV, routage vers e-mail, Slack, Teams, Jira et webhook, langage de requête dédié (CVEQL), offre gratuite pour démarrer.
Limites. Interface en anglais, pas de suivi de fin de vie, et l’intérêt de l’outil suppose que quelqu’un écrive et maintienne les requêtes.
Le piège de toutes ces comparaisons
Corollaire pratique : avant de comparer des fonctions, estimez combien d’alertes chaque outil vous enverrait réellement sur votre périmètre. Un outil qui envoie trois alertes justes par semaine bat un outil qui en envoie cinquante, quelle que soit la longueur de sa fiche produit.
Choisir en dix minutes
Quatre questions, dans cet ordre. Chacune élimine des candidats.
- Connaissez-vous votre inventaire ? Si non, il vous faut un scanner avant une veille. Cyberwatch.
- Vos données d’inventaire peuvent-elles sortir de votre réseau ? Si non, OpenCVE auto-hébergé est la seule réponse de cette liste.
- Votre équipe travaille-t-elle en français ? Si oui, deux candidats restent : Cyberwatch et TechWatchAlert.
- Avez-vous quelqu’un pour exploiter un outil de plus ? Si non, écartez tout ce qui s’auto-héberge et tout ce qui demande d’écrire des requêtes.
Puis testez. Les formules gratuites de TechWatchAlert, OpenCVE cloud, Vulmon et CVEFeed permettent de mesurer le volume d’alertes réel sur votre périmètre en une semaine. C’est plus instructif que n’importe quel tableau, y compris le nôtre.
Méthode, date, et limites de ce classement
Faits vérifiés le sur les pages publiques des éditeurs, sans accès privilégié ni test en conditions réelles de leur produit. Aucun des six outils n’a été testé en conditions de production sur un même parc : les lignes du tableau décrivent des fonctions annoncées, pas des performances mesurées. Une erreur, un changement d’offre ? Signalez-le par la page contact : nous corrigeons la ligne et nous redatons la page.