Évaluer la fiabilité d'une source et recouper l'information

Évaluer la fiabilité d'une source, c'est juger quelle confiance tu peux lui accorder à partir de critères vérifiables : qui parle, quand, d'où vient l'information, dans quel but, avec quelles preuves. Recouper, c'est confirmer une information par une seconde source indépendante. Ce chapitre te donne une grille de six questions, la méthode pour recouper, la lecture d'un avis de sécurité et les pièges les plus courants : tutoriel périmé, contenu sponsorisé, rumeur.

Pourquoi c'est une compétence professionnelle

Une information technique fausse ou périmée a des conséquences concrètes : un code vulnérable copié d'un vieux tutoriel, une configuration déconseillée depuis des années, une panique pour une faille qui ne concerne pas ta version, ou au contraire une vraie urgence ignorée parce que la source semblait douteuse. Le référentiel le demande d'ailleurs : ta veille doit utiliser « de manière approfondie » les moyens de recherche d'information. Savoir dire pourquoi tu fais confiance à une source fait partie des questions classiques de la commission.

La grille des six questions

Pose ces six questions à toute information que tu comptes noter, appliquer ou partager.

Recouper : deux sources vraiment indépendantes

Recouper, c'est trouver une seconde source qui confirme l'information sans dépendre de la première. Dix articles qui reprennent le même communiqué ne font qu'une seule source : si le communiqué se trompe, ils se trompent tous.

Trois façons de recouper efficacement :

1. Remonter à la source primaire : l'avis de l'éditeur, le texte de loi, la recommandation officielle. Si elle dit la même chose, l'information est confirmée.
2. Trouver une source d'une autre famille : un article de presse confirmé par un avis du CERT-FR, une annonce d'éditeur confirmée par les notes de version.
3. Pratiquer la lecture latérale : au lieu de juger un site inconnu sur sa propre présentation, ouvre un autre onglet et cherche ce que d'autres disent de lui. Un site qui se présente comme « l'observatoire indépendant de la cybersécurité » peut être le blog d'un vendeur.

Lire un avis de sécurité

Les avis de sécurité sont au cœur de toute veille qui touche à la sécurité. Ils ont presque toujours la même structure. Voici un avis fictif, construit sur le modèle de ceux du CERT-FR :

Avis           : CERTFR-2026-AVI-XXXX (fictif)
Date           : 02 novembre 2026
Objet          : Multiples vulnérabilités dans ExempleVPN
Risques        : exécution de code arbitraire à distance,
                 contournement de la politique de sécurité
Systèmes       : ExempleVPN versions 9.x antérieures à 9.4.2
affectés         ExempleVPN versions 10.x antérieures à 10.1.1
Résumé         : de multiples vulnérabilités ont été découvertes.
                 Certaines permettent à un attaquant non
                 authentifié d'exécuter du code à distance.
Solution       : se référer au bulletin de sécurité de l'éditeur
                 pour l'obtention des correctifs.
Documentation  : bulletin de l'éditeur ; CVE-2026-XXXX1
                 (CVSS 9,8) ; CVE-2026-XXXX2 (CVSS 6,5)

Ce que tu en tires, dans l'ordre :

1. Suis-je concerné ? Le produit est-il utilisé dans ton entreprise, ton projet, ton laboratoire ? Quelle version exactement ? Une version 10.1.1 n'est pas touchée ; une 10.0.8 l'est.
2. Quelle gravité ? Les risques annoncés et les scores CVSS. « Non authentifié » et « à distance » sont les deux mots qui rendent une faille urgente.
3. Est-elle exploitée ? Un avis signale une faille et son correctif ; quand une exploitation active est constatée, le CERT-FR publie une alerte, et la faille entre souvent dans le catalogue KEV de la CISA. Une faille exploitée passe devant toutes les autres.
4. Quelle solution ? Le correctif de l'éditeur, ou une mesure de contournement en attendant.

Le score CVSS (Common Vulnerability Scoring System) mesure la gravité technique d'une vulnérabilité, de 0 à 10. Les versions 3.1 et 4.0, utilisées aujourd'hui, classent les scores de la même façon :

Les pièges les plus courants

Le tutoriel périmé. Tu suis un tutoriel et une commande n'existe plus, une option est signalée deprecated, une méthode est déconseillée. En informatique, un tutoriel de trois ans peut décrire une pratique devenue dangereuse : stocker des mots de passe avec un hachage rapide, désactiver une vérification de certificat, utiliser une version de protocole abandonnée. Réflexe : chercher la date et la version visée, puis comparer avec la documentation officielle de ta version.

Le contenu sponsorisé. Un article qui compare des solutions et conclut que l'une est la meilleure peut avoir été payé par son éditeur. Cherche les mentions « contenu sponsorisé », « partenaire », « publi-rédactionnel », les liens d'affiliation, et regarde qui publie. Les livres blancs et les études des éditeurs contiennent souvent des données utiles, mais ils servent aussi à vendre : croise leurs chiffres avec une source indépendante.

La communication d'éditeur. Un éditeur qui annonce sa nouvelle version est une source primaire pour les faits (ce qui sort, quand), pas pour les jugements (« la solution la plus sûre du marché »). Garde les faits, laisse les superlatifs.

La rumeur et la capture d'écran. « Il paraît que… », une capture d'écran sans lien, une publication qui fait réagir mais ne cite rien. Une capture se fabrique en une minute. Sans source vérifiable, ce n'est qu'une piste.

Le titre alarmiste. « Une faille catastrophique menace tous les utilisateurs ». Lis l'article : souvent, la faille touche une configuration rare, ou elle est déjà corrigée. Le titre sert à faire cliquer ; les faits sont dans le texte et dans l'avis de l'éditeur.

Le contenu généré en masse. Des sites publient des articles produits automatiquement par IA, sans relecture, pour attirer des visiteurs. Signes : pas d'auteur, des généralités, des erreurs de dates ou de versions, des phrases qui tournent en rond, aucune source. Le chapitre 9 y revient.

Noter la fiabilité dans tes notes

Ajoute à chaque note une ligne courte sur la fiabilité : « Source primaire (avis de l'éditeur), confirmé par le CERT-FR », ou « Article de presse, source primaire non trouvée : à confirmer ». En six mois, ces lignes montrent à la commission que tu as un regard critique, et elles te préparent à la question « Comment savez-vous que vos sources sont fiables ? ».

Exercices