Recherchez une autorité cyber, un CERT ou CSIRT, un organisme de recherche ou un référentiel technique. Les filtres croisent pays, type d’organisme et sujet pour orienter votre recherche. Consultez ensuite le site officiel afin de vérifier sa mission, son périmètre géographique et ses conditions d’intervention.
Nommer des classes de faiblesses logicielles et matérielles.
Informations documentaires
Donnée ou repère vérifié
Une CWE décrit une faiblesse pouvant contribuer à l’introduction de vulnérabilités. Elle ne représente pas un incident particulier.
Comment l’utiliser
Reliez la faiblesse au mécanisme observé : entrée, traitement et contrôle manquant. Utilisez cette description pour corriger la cause et préparer des tests de régression.
Limite à conserver
La présence d’un mot-clé dans un rapport ne suffit pas à établir la bonne classification CWE.
Préparer la réponse à incident dans la gestion du risque cyber.
Informations documentaires
Donnée ou repère vérifié
La révision 3 a été publiée en avril 2025 et remplace la révision 2. Elle se présente comme un profil communautaire du CSF 2.0.
Comment l’utiliser
Exercez décision de confinement, conservation des traces, communication et reprise. Comparez ce qui était prévu aux preuves produites pendant l’exercice.
Limite à conserver
Lire le guide ne valide pas un plan local. Les contacts, accès de secours et dépendances doivent être testés dans votre environnement.
Qualifier un signal, protéger les éléments d’enquête et restaurer un service ne répondent pas à la même question. Le CSF 2.0 distingue notamment la décision de démarrer la reprise, l’intégrité des moyens de restauration, la validation des actifs restaurés et la fin de la reprise. Ce sont des résultats à documenter, pas une certification ni une procédure unique.
Les douze repères ci-dessous sont une sélection du CSF 2.0, reformulée pour la lecture. Les colonnes de preuves, la chronologie et les injects sont des propositions pédagogiques originales. Ils ne remplacent pas le plan local ; aucun délai, niveau de gravité ou autorisation universels n’en sont déduits. La référence SP 800-61 Rev. 3 est finale depuis avril 2025 et remplace la Rev. 2.
Les identifiants et le sens des résultats proviennent du CSF 2.0 ; les recommandations de réponse et de reprise sont précisées dans SP 800-61r3. Les tableaux de preuves, horaires et scénarios sont pédagogiques, sans résultat client, certification ou notification réelle.
NIST · SP 800-61 Rev. 3 · Final · 2025-04-03 Community Profile CSF 2.0 ; remplace / supersedes Rev. 2
Un renseignement structuré conserve une provenance et une histoire de versions. Pour une note OSINT exploitable, séparer les faits collectés, l’assertion du producteur et la conclusion locale ; expliciter ensuite ce qui reste à confirmer.
Repère de version : l’URL OASIS « latest stage » renvoie, lors de cette vérification, à un document du 2 avril 2025 intitulé STIX 2.1 Errata 01, qui incorpore Draft 01. Son statut de projet d’errata est conservé dans la citation ; il n’est pas présenté comme une nouvelle version finale approuvée. L’encodage d’un marquage doit être convenu avec le destinataire et vérifié dans l’édition effectivement utilisée.
Décrire les composants et informations d’une nomenclature logicielle.
Informations documentaires
Donnée ou repère vérifié
La page officielle distingue SPDX 3.0 de versions antérieures comme 2.3. La version du document conditionne le schéma et les outils compatibles.
Comment l’utiliser
Demandez le format, la version, le périmètre de construction et les identifiants des composants. Comparez la nomenclature à l’artefact effectivement livré.
Limite à conserver
Une nomenclature ne démontre pas à elle seule l’absence de vulnérabilité, la complétude des dépendances ou la conformité de toutes les licences.
Échanger des nomenclatures et informations de chaîne d’approvisionnement.
Informations documentaires
Donnée ou repère vérifié
La spécification 1.7 est datée du 21 octobre 2025 sur la page officielle, qui documente JSON, XML et Protobuf.
Comment l’utiliser
Vérifiez la version, les références de composants et les liens de dépendance. Conservez la relation entre la nomenclature, la construction et le produit déployé.
Limite à conserver
Un changement de format ne corrige pas des composants manquants. Une nomenclature descriptive et une analyse d’impact de vulnérabilité répondent à des questions différentes.
Évaluer des critères d’accessibilité du contenu web.
Informations documentaires
Donnée ou repère vérifié
WCAG 2.2 est une recommandation W3C. Les critères de réussite sont classés en niveaux A, AA et AAA.
Comment l’utiliser
Définissez tâches, pages et états à vérifier, puis combinez inspection, clavier, zoom et technologies d’assistance pertinentes. Conservez les étapes de reproduction des barrières.
Limite à conserver
Un scanner automatique ne démontre pas la conformité d’un parcours complet. L’évaluation doit couvrir les états interactifs et les contenus réellement utilisés.
WCAG 2.2 est ici reliée à une sélection de 17 critères pour les formulaires : libellés, erreurs, clavier, focus, messages d’état et authentification. Les documents Understanding et les tutoriels WAI sont informatifs. Le calculateur compare une paire sRGB opaque à des seuils de contraste ; il ne réalise pas un audit de parcours ni une évaluation complète des exceptions.
Distinguer vitesse d’affichage, réactivité et stabilité visuelle.
Informations documentaires
Donnée ou repère vérifié
Les repères « bon » sont LCP ≤ 2,5 s, INP ≤ 200 ms et CLS ≤ 0,1, au 75e percentile, avec segmentation mobile et ordinateur.
Comment l’utiliser
Séparez mesures de terrain et tests de laboratoire. Relevez période, URL, appareil, population et taille d’échantillon avant de comparer une évolution.
Limite à conserver
Ces seuils ne sont pas des résultats mesurés de ce site. Un bon score de laboratoire ne prouve pas à lui seul l’expérience des visiteurs.
Google annonce le déploiement mondial du contrôle Search generative AI au 31 août 2026. La valeur effective peut être héritée d’une propriété parente. Une recette doit relever la propriété exacte, le réglage propre ou hérité et la date d’observation, sans déduire la valeur de la seule présence d’un robots.txt.
Le contrôle Search generative AI ne porte pas sur l’entraînement des modèles. Google renvoie à Google-Extended pour cet autre usage ; une exclusion IA Search ne signifie pas une désindexation générale. Cette distinction est celle du service Google documenté, à vérifier à nouveau lors d’un changement de politique.
Les règles REP proviennent de la RFC 9309 ; les détails Google sont attribués à ses documents propres. Les exemples et le schéma sont pédagogiques. Le filtre n’effectue aucune exploration et les tableaux ne présentent aucun résultat client.
Décrire le contenu d’une page avec un balisage interprétable.
Informations documentaires
Donnée ou repère vérifié
Les données structurées aident les moteurs à comprendre le contenu. Les propriétés balisées doivent correspondre à des informations réellement présentes sur la page.
Comment l’utiliser
Choisissez le type correspondant à la page et vérifiez noms, dates, relations et sources. Contrôlez le rendu final, pas seulement le gabarit.
Limite à conserver
Un balisage valide ne suffit pas à garantir un résultat enrichi. Il ne remplace pas le contenu ni les conditions d’éligibilité propres à une fonctionnalité.
Décrire et vérifier certaines informations de provenance d’un contenu.
Informations documentaires
Donnée ou repère vérifié
La spécification C2PA 2.4 décrit des manifestes, assertions et mécanismes de liaison cryptographique associés aux médias.
Comment l’utiliser
Examinez ce que le manifeste affirme, qui l’a signé et si la validation aboutit. Testez la conservation de ces informations après transformation et diffusion.
Limite à conserver
Une provenance validée ne prouve pas la vérité de la scène. L’absence de manifeste ne démontre pas qu’un média est faux.
Un rapport de provenance rassemble des constats de portée différente. La signature, la confiance dans le certificat, la liaison au contenu et le contexte de la scène ne sont pas une seule garantie. Conservez le fichier précis et le rapport complet avant de résumer un résultat.
Cette représentation JSON-LD est une vue dérivée des données C2PA, utile aux rapports et à l’interopérabilité. Elle n’est pas vérifiable indépendamment et n’est pas un format d’entrée de validation.
Identifier les standards utiles à une transition cryptographique.
Informations documentaires
Donnée ou repère vérifié
Le NIST distingue FIPS 203 pour ML-KEM, FIPS 204 pour ML-DSA et FIPS 205 pour SLH-DSA. Encapsulation de clé et signature sont des fonctions différentes.
Comment l’utiliser
Inventoriez protocoles, bibliothèques, clés et dépendances. Demandez les versions réellement implémentées et testez interopérabilité, performance et retour arrière.
Limite à conserver
La présence d’un algorithme standardisé ne démontre pas la sécurité de son intégration complète ni une échéance universelle de migration.
Examiner les risques pour les personnes liés au traitement de données.
Informations documentaires
Donnée ou repère vérifié
Le Privacy Framework est un outil volontaire de gestion des risques pour la vie privée. Il se distingue d’une liste unique d’obligations juridiques.
Comment l’utiliser
Décrivez le traitement réel : données, finalités, destinataires, accès et durées. Comparez documents, configurations et tests de suppression ou de récupération.
Limite à conserver
L’utilisation du cadre ne détermine pas à elle seule la conformité au droit applicable. Le contexte du traitement et la juridiction restent à examiner.
Référence officielle des permissions Chrome : API, déclarations et conditions d’accès aux sites.
Extensions : permissions et accès
Documentation Google Chrome · permissions d’extensions
Référence du fournisseur pour les noms de permissions, déclarations, accès temporaires et exigences propres aux API. Le guide CIE relie une sélection de 20 noms à des questions de revue. Les réglages accordés, stratégies et comportements ne sont pas lisibles dans le seul manifeste. La lecture aborde notamment activeTab, cookies, identity et nativeMessaging.
Documentation des stratégies Edge pour encadrer permissions, accès aux sites et installation d’extensions.
Extensions : permissions et accès
Microsoft Learn · stratégies d’extensions Edge
Documentation d’administration distinguant blocage de permissions, restriction d’hôtes à l’exécution et règles d’installation. Une permission bloquée peut désactiver une extension sans la désinstaller. Les motifs de stratégie ne doivent pas être confondus avec les match patterns d’un manifeste Chrome.
SP 800-88 révision 2 : méthodes Clear, Purge et Destroy, programme d’assainissement et preuves.
Supports : assainissement et preuves
NIST · assainissement des supports
La révision 2 finale du 26 septembre 2025 remplace la révision 1 retirée. Elle distingue vérification technique et validation du résultat, traite de l’effacement cryptographique et du stockage logique. La FAQ du 16 juillet 2026 complète la lecture. Les 20 repères CIE-SAN sont une sélection éditoriale reliée aux sections ; ils ne forment pas une certification NIST.
Le registre syslog Parameters publie les codes facilities et severities ainsi que les identifiants de données structurées. La sélection présentée couvre uniquement les 24 facilities et 8 severities.
Codes syslog et preuves de collecte
IANA : identifier un code syslog avant de l’interpréter
IANA tient le registre des valeurs ; RFC 5424 décrit le format. Les notes sur les codes proches et les familles locales empêchent d’attribuer une signification produit ou une priorité d’incident à un simple nombre. Le calculateur pédagogique utilise une copie datée, sans consulter de journaux réels.
Le registre HTTP Problem Types associe URI, titre, statut HTTP recommandé et référence. Cette copie datée contient six entrées, dont about:blank et trois entrées digest avec leur référence de type draft conservée.
Erreurs API : types, statuts et preuves
IANA : types de problèmes HTTP et références
Le registre permet de vérifier une identité de problème commun. Il ne recense pas tous les types applicatifs, ne certifie pas un serveur et ne remplace pas la distinction entre statut HTTP reçu et status consultatif du corps. L’atelier du guide présente huit réponses fictives pour tester cette lecture.
Le registre IANA CSP présente seize noms dans cette copie, avec des références CSP2. Le guide distingue ce registre des chaînes de repli publiées dans le Working Draft CSP3 daté du 16 septembre 2026.
CSP : directives, replis et parcours
IANA et W3C : deux rôles distincts pour relire CSP
Un enregistrement IANA ne démontre pas l’application d’une politique par un navigateur. Les douze chaînes de fetch, les trois contrôles indépendants et les huit scénarios permettent de distinguer nom, repli, mode et livraison, sans tester de site externe.
Spécification du langage GraphQL, de son système de types et des résultats d’exécution.
GraphQL : erreurs, listes et données partielles
GraphQL : édition publiée et protocole HTTP
L’édition September 2025 définit les erreurs de requête, les résultats d’exécution, les chemins de réponse et la propagation Non-Null. Le dossier CIE présente huit scénarios fictifs et un modèle limité de liste. Le protocole GraphQL over HTTP est cité séparément comme brouillon de travail ; aucun statut HTTP n’est déduit du seul champ errors.
Documentation Google sur les données agrégées d’expérience Chrome, à l’échelle de la page ou de l’origine.
Core Web Vitals : seuils et données terrain
Google CrUX : données terrain et périmètres
CrUX décrit une population éligible et des métriques agrégées. Le dossier CIE rapproche les seuils PSI, la portée URL/origine, la fenêtre de 28 jours et les limites de comparaison. Le lecteur p75 utilise des valeurs saisies ; il ne récupère aucune donnée CrUX et ne mesure aucun site.
Références GS1 sur la composition des identifiants commerciaux et les représentations numériques des GTIN.
Identité produit : GTIN et variantes
GS1 : identifiants, représentations et clé de contrôle
Le guide CIE sépare cohérence arithmétique, attribution d’un identifiant et concordance d’une variante. Le calcul modulo 10 est détaillé à partir du guide GS1 NZ ; les exemples à 8, 12, 13 et 14 positions sont sourcés dans le guide GS1 Retail 1.1.0. Le lecteur n’interroge aucun registre.
Cadre de Government Communications pour organiser la veille, préparer une analyse et suivre les effets des réponses.
Chaînes de reprises et veille sociale
RESIST 3 · Veille et communication
Publié le 29 octobre 2025, RESIST 3 comporte six étapes. La fiche pratique présente ABCDE pour structurer une synthèse. Ce cadre de communication ne constitue pas une certification de source ni une méthode automatique d’attribution.
Ressource de l’équipe Experimentation Platform sur les déséquilibres d’effectifs en tests A/B.
Répartition A/B : données et SRM
Microsoft Research · Diagnostic SRM
L’article de 2020 distingue affectation, exécution, traitement des journaux et analyse. Son repère p < 0,0005 concerne la pratique ExP décrite à cette date ; il ne valide pas seul une expérience ni un résultat de conversion.
