Les sources de veille : où trouver une information fiable

Une source de veille est un site, un organisme, une publication ou une personne qui produit ou relaie de l'information sur ton sujet. Toutes ne se valent pas : certaines publient l'information à l'origine, d'autres la reprennent, la résument ou la déforment. Ce chapitre classe les sources utiles à un étudiant de BTS SIO, explique la différence entre source primaire et source secondaire, et t'aide à composer ta propre liste de cinq à huit sources.

Source primaire et source secondaire

C'est la distinction la plus utile de toute la veille.

• Une source primaire publie l'information à l'origine : l'éditeur qui annonce une nouvelle version dans ses notes de version, l'autorité qui publie une recommandation, le centre d'alerte qui publie un avis de sécurité, le texte de loi lui-même.
• Une source secondaire reprend une information publiée ailleurs : un article de presse qui résume l'avis, un blog qui commente la nouvelle version, une vidéo qui explique la loi, une publication sur un réseau social qui partage l'article.

Les sources secondaires sont précieuses : elles trient, expliquent, mettent en contexte, et souvent tu découvres une information par elles. Mais chaque reprise peut ajouter une erreur, une simplification ou une exagération. Le réflexe à prendre : découvrir par le secondaire, vérifier et citer le primaire.

Les sources officielles françaises et européennes

Ce sont les plus fiables : publiques, datées, rédigées par des spécialistes, sans intérêt commercial.

Les bases de vulnérabilités

Pour une veille sécurité, trois bases de référence complètent le CERT-FR. Elles sont en anglais.

• CVE (cve.org) : le catalogue mondial des identifiants de vulnérabilités. Chaque fiche donne une description courte et des liens vers les avis des éditeurs.
• NVD (nvd.nist.gov), la base américaine qui enrichit chaque CVE d'un score de gravité CVSS et de la liste des produits touchés.
• Le catalogue KEV de la CISA (Known Exploited Vulnerabilities) : la liste des vulnérabilités dont l'exploitation réelle est confirmée. Une faille qui y entre doit être corrigée en priorité.

Le chapitre 7 t'apprend à lire un avis de sécurité.

Les éditeurs et les projets

L'éditeur d'un logiciel est la source primaire de tout ce qui le concerne : nouvelles versions, failles, fins de support, changements de licence.

Exemples de documentations de référence : MDN Web Docs pour HTML, CSS et JavaScript ; Microsoft Learn pour Windows, Windows Server, C# et .NET ; la documentation officielle de PHP, de Node.js, de Debian, de Docker. Le site communautaire endoflife.date rassemble les dates de fin de support de centaines de produits : pratique pour repérer une échéance, mais vérifie la date sur la page de l'éditeur avant de l'écrire dans une note.

Les organismes de normalisation et de référence

• OWASP : la fondation qui publie le Top 10 des risques des applications Web, le Top 10 de la sécurité des API, des aide-mémoire (cheat sheets) et des guides de test. Incontournable en SLAM (cours sécurité applicative).
• W3C et WHATWG : les standards du Web (HTML, CSS, accessibilité, WebAuthn).
• IETF : les RFC, les standards d'Internet (TCP/IP, DNS, TLS, HTTP).
• ISO : les normes de management, comme l'ISO 27001 pour la sécurité de l'information (analyse de risques).

Ces sources sont primaires et très fiables, mais denses. Tu ne les lis pas chaque semaine : tu y remontes quand une information les cite.

La presse spécialisée

Elle trie, explique et met en contexte. Choisis des titres qui citent leurs sources et signent leurs articles.

La presse généraliste (quotidiens, chaînes d'information) parle d'informatique lors des grandes attaques, mais rarement avec la précision dont tu as besoin : elle sert d'alerte, pas de source.

Newsletters, podcasts et vidéos

• Newsletters. Un auteur ou une rédaction trie l'actualité pour toi et te l'envoie à rythme fixe. Exemples : tldr (actualité tech quotidienne, en anglais), JavaScript Weekly (hebdomadaire, en anglais), les lettres d'information de la CNIL. Choisis-en deux ou trois au maximum, sinon ta boîte déborde.
• Podcasts. Pratiques dans les transports. En français : NoLimitSecu, hebdomadaire, consacré à la cybersécurité ; Les Cast Codeurs, sur le développement et l'écosystème Java. Note le numéro de l'épisode et le passage qui t'intéresse, pour pouvoir le citer.
• Conférences enregistrées. Les grandes conférences publient leurs présentations en vidéo : Devoxx France pour le développement, FOSDEM pour le logiciel libre, SSTIC et Le Hack pour la sécurité. Une présentation de 45 minutes par un praticien vaut souvent dix articles.

Les communautés et les réseaux

• Forums de questions-réponses (Stack Overflow) et discussions des projets (issues et discussions sur GitHub) : les problèmes réels, les contournements, les échanges avec les mainteneurs. Regarde toujours la date et la version concernée.
• Agrégateurs communautaires (Hacker News, forums Reddit spécialisés comme r/sysadmin ou r/webdev) : des liens votés par la communauté et des discussions souvent riches, mais aussi beaucoup d'opinions.
• Réseaux sociaux professionnels : LinkedIn, Mastodon (de nombreux chercheurs en sécurité y publient, par exemple sur l'instance infosec.exchange), Bluesky. Suis des personnes identifiées, des éditeurs et des organismes plutôt que des comptes anonymes.
• Les personnes : ton tuteur, tes enseignants, les intervenants des conférences. Une discussion avec un professionnel est une source, à noter avec la date.

Composer ta liste de sources

Vise cinq à huit sources au départ, en couvrant plusieurs familles. Une bonne liste ressemble à ceci :

• au moins une source officielle (CERT-FR, ANSSI, CNIL) ;
• au moins une source primaire d'éditeur ou de projet (notes de version, avis de sécurité) ;
• un ou deux titres de presse spécialisée, dont un en anglais si possible ;
• une newsletter ou un podcast pour la régularité ;
• une communauté pour les retours d'expérience.

Voici la liste de Yanis, option SISR, sujet « la protection des sauvegardes contre les rançongiciels dans les PME » :

Six sources, cinq familles, trois primaires : c'est équilibré. Présente une liste de ce type dans ton portfolio, avec la colonne « Pourquoi » : la commission te demandera souvent pourquoi tu fais confiance à tes sources.

Exercices

Exercice 1 sur 3 Primaire ou secondaire ? Réussi À revoir

Classe chaque source, pour une information sur une faille dans un logiciel de messagerie.

1. L'avis de sécurité publié par l'éditeur sur son site.
2. L'avis du CERT-FR qui reprend la faille en français, avec les versions touchées.
3. Un article de presse spécialisée qui explique la faille.
4. Une vidéo d'un vulgarisateur qui résume l'article.
5. La fiche CVE de la faille sur cve.org.

Voir la réponseMasquer la réponse de l'exercice 1

1. Primaire : l'éditeur publie l'information à l'origine.
2. Source officielle de relais, qu'on traite comme primaire en français : le CERT-FR reprend l'avis de l'éditeur, le vérifie et renvoie vers lui, sans le déformer. C'est la source à citer pour un public francophone, avec le lien vers l'éditeur.
3. Secondaire : elle explique une information publiée ailleurs.
4. Secondaire, voire tertiaire : la reprise d'une reprise.
5. Primaire pour l'identifiant et la description de référence ; la fiche renvoie elle-même vers l'avis de l'éditeur.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Remonter à la source Réussi À revoir

Camille lit sur un réseau social : « Énorme : tel grand navigateur va supprimer les mots de passe l'année prochaine ! » La publication renvoie vers un article de blog, qui cite « une annonce de l'éditeur ».

1. Quelles étapes suit Camille avant d'écrire une note ?
2. Qu'est-ce qui, dans la publication, doit déjà l'alerter ?

Voir la réponseMasquer la réponse de l'exercice 2

1. Elle ouvre l'article de blog et cherche le lien vers l'annonce. S'il n'y en a pas, elle cherche l'annonce sur le blog officiel ou dans les notes de version de l'éditeur. Elle lit ce que dit réellement l'annonce (souvent : de nouvelles options pour les clés d'accès, pas une suppression des mots de passe), puis elle vérifie la date. Sa note cite l'annonce de l'éditeur comme source et résume ce qu'elle dit vraiment.
2. Le ton (« Énorme »), une affirmation absolue (« supprimer les mots de passe ») et l'absence de lien direct vers la source primaire : trois signaux classiques d'une information déformée.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Ta liste de sources Réussi À revoir

Pour le sujet « La sécurité des dépendances dans les projets JavaScript » (option SLAM), propose une liste de six sources couvrant au moins quatre familles, avec pour chacune sa famille, primaire ou secondaire, et une raison.

Voir la réponseMasquer la réponse de l'exercice 3

Une liste possible.

Source	Famille	Type	Pourquoi
Base des avis de sécurité de GitHub (GitHub Advisory Database) et alertes de dépendances du dépôt	Éditeur et plateforme	Primaire	Les failles des paquets utilisés, signalées sur ton propre projet
Blog et notes de version de npm et de Node.js	Éditeur	Primaire	Les changements de l'outil et les mesures de sécurité de l'écosystème
OWASP (Top 10, risque sur la chaîne d'approvisionnement)	Organisme de référence	Primaire	Le cadre reconnu et les contre-mesures
Avis du CERT-FR	Officielle	Primaire	Les failles majeures relayées en français
BleepingComputer	Presse spécialisée	Secondaire	Les attaques sur les dépôts de paquets, en anglais, très vite
JavaScript Weekly	Newsletter	Secondaire	Les nouveautés de l'écosystème, chaque semaine

D'autres choix sont justes s'ils couvrent plusieurs familles, comprennent au moins une source primaire et une source officielle, et sont justifiés.

Tu avais trouvé ?

Oui, j'avais bonPas encore