# Monitor

Repérez les nouveaux problèmes de sécurité dans les logiciels qu'utilisent vos sites, en termes simples, avec ce qu'il faut faire pour chacun.

De nouveaux problèmes de sécurité sont découverts chaque jour dans des logiciels populaires. Monitor surveille ceux qui touchent aux technologies avec lesquelles vos sites sont construits, et vous dit quoi faire, en termes simples.

## D'où viennent les problèmes

Lockpick lit ces sources publiques toute la journée.

* **OSV.dev**, une base de données ouverte des problèmes de sécurité dans les paquets open source. Elle inclut chaque problème examiné par la **GitHub Advisory Database**. Lockpick conserve une copie complète pour les paquets JavaScript (npm) et Python (PyPI), y compris les signalements de paquets malveillants, qu'il actualise toutes les heures.
* La **GitHub Advisory Database** directement, une vérification rapide toutes les heures pour les logiciels que suit Monitor, afin qu'un nouveau problème apparaisse même avant qu'OSV.dev ne le copie.
* La liste **Known Exploited Vulnerabilities** de la CISA, l'agence américaine de cybersécurité. Un problème figurant sur cette liste est marqué **Exploité activement**, car des attaquants l'utilisent déjà.
* **EPSS** du FIRST, une prévision quotidienne de la probabilité que chaque problème soit exploité dans les 30 prochains jours. Un problème dans les 5 % les plus élevés est marqué **Probablement exploité bientôt**.
* **Wordfence Intelligence** pour le cœur de WordPress, lorsqu'il est activé pour votre compte Lockpick. Ses problèmes portent la mention de droits d'auteur de Wordfence et un lien vers ses conditions.
* Les avis publiés par la **Zero Day Initiative**, pour leurs identifiants, leurs titres et leurs scores de gravité.
* La **National Vulnerability Database**, uniquement pour un score de gravité lorsque les autres sources n'en donnent pas.

À partir d'une seule analyse, Monitor suit Next.js, React, WordPress, Supabase, Clerk, Stripe, Firebase, Auth0, Sentry, Vue, Shopify, Wix, Squarespace, Webflow, Framer. Lorsque vous [envoyez les versions de vos paquets](#affects-you-send-your-package-versions), il vérifie chaque paquet JavaScript et Python qu'elles contiennent.

## Comment un problème est associé à votre site

Votre dernière analyse de chaque site indique avec quoi il est construit, par exemple Next.js ou WordPress. Monitor affiche un problème pour chaque site construit avec le logiciel concerné.

Une analyse peut voir la technologie, mais en général pas la version que votre site utilise. C'est pourquoi Monitor indique qu'un problème **peut vous concerner**, et jamais que votre site est vulnérable. Si votre site utilise déjà une version corrigée, rien n'a besoin de changer.

## Vous concerne : envoyez les versions de vos paquets

Pour une réponse exacte, envoyez les noms et les versions des paquets qu'utilise le code de votre site. Lockpick compare alors chaque problème aux versions que vous utilisez réellement. Une correspondance affiche **Vous concerne**, avec la version qui le corrige, au-dessus de tout ce qui ne fait que pouvoir vous concerner. Un problème auquel vos versions sont déjà à l'abri quitte votre liste, même si l'analyse voit toujours la technologie.

Seuls les noms de paquets et les versions exactes sont envoyés, jamais votre code, vos chemins de fichiers, vos empreintes ni les adresses de vos registres privés. Lockpick lit `package-lock.json`, `npm-shrinkwrap.json`, `pnpm-lock.yaml`, `yarn.lock`, `requirements.txt` (lignes épinglées) et `poetry.lock`.

* Depuis le terminal, lancez `npx lockpicks deps <site>` dans le dossier du projet. Ajoutez `--dry-run` pour voir exactement ce qui serait envoyé, et `--forget` pour supprimer la liste de Lockpick.
* Lorsque vous lancez une analyse Pulse ou une nouvelle vérification depuis un dossier de projet, la CLI vous demande une fois s'il faut envoyer ses versions, et mémorise votre réponse pour ce dossier. `--lockfile` les envoie pour cette seule analyse, et `--no-lockfile` les ignore.
* Un agent de code ne les envoie que lorsqu'il appelle `lockpick_send_dependencies`, après que vous le lui avez demandé ou accepté.

Chaque envoi remplace le précédent. Après une mise à jour, envoyez-les à nouveau, et les problèmes corrigés disparaissent. Un problème que Pulse ou Deep a aussi vu sur le site en ligne est marqué **Constaté sur le site en ligne**. L'envoi nécessite une clé autorisée à gérer les sites (`lockpick login --sites`) et le droit de gestion sur ce site.

## Lire la page Monitor

Ouvrez **Monitor** dans la barre latérale de l'application. En haut de la page, vous voyez combien de technologies Monitor surveille sur vos sites, combien de problèmes ont été publiés cette semaine, combien peuvent vous concerner et, une fois que vous avez envoyé les versions de vos paquets, combien vous concernent.

Cinq vues choisissent ce qu'affiche la liste. Dès que vous avez un site, Monitor s'ouvre sur **Pour vos sites**.

* **Pour vos sites** liste les problèmes des logiciels utilisés par vos sites. Les problèmes qui concernent une version que vous avez envoyée viennent en premier, puis les plus urgents : d'abord ceux exploités activement, puis ceux probablement exploités bientôt, puis par gravité. Un problème est étiqueté **Peut vous concerner** lorsqu'il a été publié au cours des 90 derniers jours ou qu'il est exploité activement, sur un site que vous n'avez pas marqué comme traité.
* **Dernières alertes** liste chaque problème que Monitor a lu, du plus récent au plus ancien, que vos sites utilisent ce logiciel ou non.
* **Exploitation** ne liste que les problèmes que des attaquants utilisent déjà.
* **Suivis** liste les problèmes des technologies que vous choisissez de suivre pour un site. Le suivi les ajoute seulement à cette liste. Il n'envoie pas d'e-mails urgents.
* **Actualités de sécurité** liste les actualités récentes de sécurité, chaque titre renvoyant à l'article complet.

Recherchez par identifiant d'avis, titre ou nom de paquet. **Filtres** restreint la liste par langage ou plateforme, par type (vulnérabilités ou signalements de paquets malveillants), par gravité et par ancienneté. **Couverture des sources**, en bas de la page, indique quand Monitor a eu des nouvelles de chaque source pour la dernière fois.

## Sur votre tableau de bord

En haut de votre tableau de bord, les mêmes problèmes apparaissent en version courte.

* **Pour vos sites** liste jusqu'à cinq problèmes : ceux qui concernent une version que vous avez envoyée d'abord, puis ceux qui peuvent vous concerner, les plus urgents en premier. Chacun s'ouvre dans Monitor.
* **Actualité** affiche les actualités de sécurité récentes sur les logiciels de vos sites, provenant des billets de sécurité de Node.js et React, de Vercel, de Cloudflare et de Netlify, de BleepingComputer et de The Hacker News, ainsi que les problèmes que la CISA vient d'ajouter à sa liste des failles exploitées activement. Chaque titre affiche sa source, son titre et un court extrait, et renvoie à l'article complet sur le site de la source. Lockpick ne copie jamais l'article.

Les deux apparaissent sur chaque forfait.

## Pertinent maintenant sur chaque site

L'**Aperçu** de chaque site commence par **Pertinent maintenant** : les problèmes qui comptent pour ce site, chacun avec une étiquette et ce sur quoi il repose.

* **Vous affecte** : une version de paquet que vous avez envoyée est concernée. Elle affiche la version et la version qui la corrige.
* **Peut vous affecter** : l'analyse a vu le logiciel, mais pas sa version.
* **Observé en production** : une analyse Pulse ou Deep a trouvé le composant concerné sur votre site en ligne.
* **Exploité activement** : des attaquants l'utilisent déjà.
* **Corrigé** : une nouvelle analyse ne l'a plus trouvé, ou vous avez envoyé une liste avec la version corrigée.

Les étiquettes disparaissent d'elles-mêmes lorsqu'une nouvelle analyse ne trouve plus le problème ou que vous envoyez une liste mise à jour. La bande conserve un bref historique de l'apparition et de la disparition de chaque étiquette. La liste des Sites indique combien de problèmes sont pertinents pour chaque site. Un constat lié à un problème connu en indique le nom sur sa carte. **Points à corriger** peut n'afficher que ces constats, et **Pour vos sites** sur le tableau de bord peut n'afficher que ce qui vous concerne ou ce qui est exploité activement. Les agents de code lisent les mêmes étiquettes dans `lockpick_site_status`.

## Ce que dit chaque problème

Ouvrez un problème pour voir :

* **Ce qui s'est passé**, en deux phrases simples ;
* **Quoi faire**, avec le nom de la version corrigée lorsque la source la donne ;
* **Vos sites** qui utilisent le logiciel concerné ;
* la probabilité qu'il soit bientôt exploité (EPSS) et son score de gravité (CVSS), lorsqu'ils sont connus ;
* les sources d'origine, avec leurs identifiants, si vous ou votre développeur voulez les détails.

Les explications en termes simples sont rédigées par un modèle d'IA à partir du seul texte public de l'avis, jamais à partir de quoi que ce soit sur vos sites. Chaque réponse est vérifiée par rapport à la source, y compris chaque numéro de version qu'elle cite. Lorsqu'une vérification échoue, Monitor utilise une formulation fixe à la place.

## Faire corriger

* **Copier les consignes pour votre IA** copie des instructions pour votre assistant de code : vérifier quelle version utilise votre code, la mettre à jour si elle est concernée, lancer les tests et faire un rapport.
* **Envoyer à mon développeur** ouvre un e-mail avec les mêmes détails.
* **Marquer comme traité** indique, pour chaque site, que le problème y est réglé, et le retire de **Peut vous concerner**. **Annuler** le remet. Toute personne pouvant consulter les constats d'un site peut le marquer.

## Alertes

Lorsqu'un nouveau problème peut concerner l'un de vos sites, toutes les personnes de l'espace de travail qui peuvent voir les résultats de ce site le reçoivent dans la **cloche** en haut de l'application. L'ouvrir vous mène directement au problème. Seuls les problèmes publiés au cours des 14 derniers jours, ou ajoutés récemment à la liste des failles exploitées activement, déclenchent une alerte : activer Monitor ne vous submerge donc jamais d'anciennes nouvelles.

Monitor vous envoie aussi par e-mail un **résumé hebdomadaire** des nouveaux problèmes, regroupés par site, environ 7 jours après l'arrivée du premier. Un nouveau problème qui **concerne** une version que vous avez envoyée, et qui est exploité activement ou probablement exploité bientôt, vous est envoyé par e-mail immédiatement, sur chaque forfait. Chaque e-mail indique quoi faire et renvoie au problème dans Monitor. Pour arrêter ces e-mails, ouvrez **Paramètres**, puis **Notifications**, et désactivez **Nouvelles vulnérabilités**, ou utilisez le lien **Désinscription** de n'importe quel e-mail de Monitor.