Aller au contenu principal

Résumé de sécurité

Le résumé de sécurité hebdomadaire est un rapport de tendance envoyé par e-mail : comment la posture de sécurité de l’organisation a évolué au cours de la dernière semaine. Il ne contient que des décomptes, sans aucun résultat individuel. Les résultats individuels arrivent dans l’alerte de sécurité et le récapitulatif quotidien des alertes.

Il est activé par défaut pour chaque membre de l’organisation : le paramètre Résumé hebdomadaire dans les paramètres de notification de chaque personne est activé au départ, et chacun peut le désactiver pour n’importe quelle organisation. Un propriétaire peut aussi abonner d’autres adresses, par exemple celle d’un auditeur, sous Sécurité › Rapports › Notifications (voir S’abonner).

Ce qu’il contient

Open findings
  Critical: 4
  High:     12
  Resolved in the last 7d: 8
  Past SLA: 1

Newly known exploited: 1
Newly reachable: 2

Security fixes this week
  Pull requests opened: 4, merged: 2, closed without merging: 1

Needs migration (3)

Les objets sont pensés pour la boîte de réception : « [acme] Weekly security digest — 4 critical, 12 high open ».

Les propriétaires reçoivent avec chaque décompte des liens vers la console de sécurité. Les membres et les abonnés externes reçoivent les mêmes décomptes sans liens, car la console est réservée aux propriétaires. Seuls les propriétaires reçoivent la section Dépendances de Renovate hébergé et le PDF du rapport de conformité, qui nomment des dépôts et des pull requests. Un propriétaire peut activer la pièce jointe PDF pour l’organisation ; elle est désactivée par défaut.

Jusqu’au 20 octobre 2026, le résumé listait aussi des résultats individuels : les principaux résultats nouvellement atteignables et exploités connus, les principales mises à niveau correctives possibles, et les paquets nécessitant une migration. Ces lignes ont disparu. Les décomptes, et les liens pour les propriétaires, demeurent.

Nouvellement exploités connus, nouvellement atteignables et correctifs de sécurité

Ces sections n’apparaissent que lorsqu’il y a quelque chose à signaler :

  • Nouvellement exploités connus : combien de résultats de dépendances ouverts sur une branche par défaut ont été listés comme exploités dans la nature par ENISA EUVD ou CISA KEV au cours des 7 derniers jours, ou étaient nouveaux et déjà listés.
  • Nouvellement atteignables : combien de résultats de dépendances ouverts ont vu leur verdict d’atteignabilité passer d’inconnu ou non atteignable à atteignable au cours des 7 derniers jours.
  • Correctifs de sécurité de la semaine : combien de pull requests de correctif de sécurité ont été ouvertes, fusionnées et fermées sans fusion au cours des 7 derniers jours, correctifs déterministes et correctifs par IA confondus.

Un résultat corrigé depuis son changement n’est pas compté. Les deux premiers proviennent des mêmes enregistrements que les alertes sur les résultats, et figurent dans le résumé que votre organisation ait activé ces alertes ou non.

Migration nécessaire

Cette section n’apparaît que lorsqu’il y a quelque chose à signaler. Elle compte les paquets dont les résultats de dépendances ouverts n’ont aucun correctif sur le paquet que vous utilisez et ne sont corrigés que sous un autre, par exemple un nouveau chemin de module, une nouvelle version majeure ou un nouveau nom de paquet. Aucune pull request de correctif n’est ouverte pour eux. Les paquets et leurs cibles sont listés sur la page des résultats de dépendances, par paquet. Voir Migration nécessaire.

Aperçu

Un propriétaire peut voir le résumé que l’organisation recevrait maintenant, sans rien envoyer : /<org>/_admin/security/digest-preview, avec ?lang=da (ou de, fr, nl, sv) pour une autre langue.

S’abonner

Abonnez-vous (ou abonnez un collègue) sous Sécurité › Rapports › Notifications (/<org>/_admin/security/reports/notifications) : la carte Résumé de sécurité liste les abonnés actuels et propose directement les actions subscribe / toggle / unsubscribe. La même page contient l’interrupteur des alertes sur les résultats et indique combien de destinations de webhook et de points de terminaison SIEM reçoivent les événements de sécurité. Une ligne par (tenant, recipient_email) : plusieurs administrateurs d’une même organisation peuvent s’abonner indépendamment.

Via l’API REST

Les abonnements au résumé se gèrent via l’API publique, ce qui est utile pour scripter l’intégration d’un nouvel administrateur ou synchroniser les abonnés avec l’annuaire de votre organisation.

  • S’abonner POST /_app/api/v1/orgs/:slug/security/digests corps : { "recipient_email": "alice@acme.example", "cadence": "weekly" }
  • Activer/désactiver PATCH /_app/api/v1/orgs/:slug/security/digests/:id corps : { "enabled": false }
  • Se désabonner DELETE /_app/api/v1/orgs/:slug/security/digests/:id

Nécessite un jeton d’accès personnel (PAT) avec la portée policy:write :

curl -X POST \
  -H "Authorization: Bearer ${FREMFORGE_PAT}" \
  -H "Content-Type: application/json" \
  -d '{"recipient_email":"alice@acme.example","cadence":"weekly"}' \
  https://frem.sh/_app/api/v1/orgs/acme/security/digests

Voir la référence de l’API REST publique pour la spécification OpenAPI complète.

Fréquence

  • Hebdomadaire : la valeur par défaut. Le résumé part lors d’une exécution quotidienne à 02:30 UTC, une fois que sept jours se sont écoulés depuis le dernier résumé d’une personne ; le jour de la semaine dépend donc de la date à laquelle elle a reçu le premier.
  • Quotidienne : disponible pour une adresse abonnée ("cadence": "daily"). Utile pendant les périodes de collecte de preuves de conformité.

Un décompte est un instantané pris au moment où le résumé est composé. Un résultat ouvert est compté à nouveau chaque semaine tant qu’il reste ouvert : l’objet de l’e-mail est « ceci n’est toujours pas corrigé », pas une alerte ponctuelle.

Confidentialité

Le résumé passe par Lettermint (NL, sous-traitant UE) comme tous les autres e-mails transactionnels de fremforge. Aucun traceur tiers ; les seules cibles de liens sont les pages de console de votre propre organisation, pour les propriétaires.

Voir aussi

Preuves de contrôleTransfert vers un SIEM