CYInstitutions
Cybermalveillance.gouv.fr
Assistance et sensibilisation pour les publics français.
LE PORTAIL CYBER INTERNATIONAL / DIRECTORY
Tout un monde d’expertises.
Recherchez une autorité cyber, un CERT ou CSIRT, un organisme de recherche ou un référentiel technique. Les filtres croisent pays, type d’organisme et sujet pour orienter votre recherche. Consultez ensuite le site officiel afin de vérifier sa mission, son périmètre géographique et ses conditions d’intervention.
Répartition des profils FIRST · 883
Profils dans l’instantané : 883 ·
- Government, Private and Public sectors
252 / 883 252 - Other commercial
207 / 883 207 - Industrial sector
95 / 883 95 - Financial sector
94 / 883 94 - ICT vendor customer base
57 / 883 57 - Secteur non renseigné
50 / 883 50 - Government & military
46 / 883 46 - Research & education
45 / 883 45 - ISP customer base
37 / 883 37
Le pays d’un profil et son secteur ne suffisent pas à établir son périmètre d’intervention. Confirmez les conditions sur la fiche officielle. FIRST ↗
INRecherche & formation
Inria
Recherche en sciences et technologies du numérique.
NCInstitutions
NCSC · United Kingdom
Guides techniques, alertes et ressources de protection.
INInstitutions
INCIBE
Ressources de cybersécurité pour entreprises et citoyens.
CEInstitutions
CERT.br
Réponse aux incidents et sensibilisation au Brésil.
IPInstitutions
IPA · Japan
Sécurité de l’information, logiciels et compétences numériques.
NADéfense
NATO CCDCOE
Recherche, formation et exercices de cyberdéfense.
ITInstitutions
ITU · Cybersecurity
Coopération internationale et développement des capacités numériques.
OWCommunautés & standards
OWASP Foundation
Projets ouverts pour la sécurité des applications et de l’IA.
ARRecherche & formation
arXiv
Prépublications scientifiques ; évaluation par les pairs non garantie.
HUActeurs privés
Hugging Face
Modèles, jeux de données et outils ouverts d’IA.
POActeurs privés
PortSwigger Web Security Academy
Apprentissage de la sécurité web dans des laboratoires autorisés.
BECommunautés & standards
Bellingcat
Méthodes et ressources de vérification en sources ouvertes.
FICommunautés & standards
FIRST · CVSS
Spécification et calculateurs de gravité des vulnérabilités. Le score ne décrit pas à lui seul le risque propre à une organisation.
Informations documentaires
- Donnée ou repère vérifié
- CVSS 4.0 produit des scores de 0,0 à 10,0. Les groupes Base, Threat, Environmental et Supplemental n’ont pas tous la même fonction.
- Comment l’utiliser
- Conservez la version, le vecteur et la date du score. Rapprochez le résultat de la version installée, des chemins d’accès et des conséquences métier avant d’ordonner les correctifs.
- Limite à conserver
- Un score élevé n’est pas une preuve d’exploitation ; un score faible ne signifie pas que le service ne présente aucun risque.
Documentation consultée le
CVSS, EPSS, KEV et VEX
Quelle est la gravité technique selon les métriques retenues ?
Le score ne prouve pas une exploitation et ne remplace pas l’analyse des conséquences pour votre service.
Consulter la lecture CVSS, EPSS, KEV et VEX →
Sources primaires et périmètre
- FIRST · CVSS 4.0 Specification · CVSS 4.0 · document 1.2 · reviewed 2026-10-22
Overview · Assessment · Nomenclature · Supplemental Metrics
Sources vérifiées le
CVCommunautés & standards
CVE Program
Identifiants et fiches publiques de vulnérabilités. Vérifiez le produit, les versions affectées et les liens vers les avis d’origine.
Informations documentaires
- Donnée ou repère vérifié
- Le format des enregistrements CVE est défini par un schéma JSON. Un identifiant et le contenu publié de son enregistrement sont deux éléments distincts.
- Comment l’utiliser
- Ouvrez l’enregistrement et ses références ; vérifiez son état, les versions affectées décrites et les informations du fournisseur. Gardez l’identifiant dans le suivi des actions.
- Limite à conserver
- Un identifiant CVE n’est ni un score de gravité, ni une preuve que votre installation est affectée.
Documentation consultée le
NIInstitutions
NIST · National Vulnerability Database
Base de données de vulnérabilités et enrichissements techniques. La fiche doit être recoupée avec l’avis de l’éditeur et votre configuration.
NIInstitutions
NIST · AI Risk Management Framework
Cadre volontaire et ressources pour documenter les risques de l’IA. Vérifiez la version et le statut des documents consultés.
Informations documentaires
- Donnée ou repère vérifié
- Le cœur de l’AI RMF s’articule autour de Govern, Map, Measure et Manage. Il s’agit d’un cadre volontaire de gestion du risque.
- Comment l’utiliser
- Définissez usage, personnes concernées et conséquences d’erreur. Rapprochez chaque risque d’une évaluation, d’un responsable et d’un moyen d’arrêt ou de reprise.
- Limite à conserver
- Le cadre ne certifie ni un modèle ni une application. Son utilisation ne dispense pas d’examiner les obligations applicables.
Documentation consultée le
OWCommunautés & standards
OWASP · GenAI Security Project
Référentiel ouvert des risques des applications LLM et IA générative : injection de prompt, divulgation et permissions excessives notamment.
Informations documentaires
- Donnée ou repère vérifié
- L’édition 2025 inclut notamment Prompt Injection, Sensitive Information Disclosure et Excessive Agency.
- Comment l’utiliser
- Traduisez un risque en scénario observable : document hostile, donnée réservée ou outil hors périmètre. Notez le comportement attendu et la preuve du refus.
- Limite à conserver
- Une liste de risques n’est pas une évaluation complète. Le filtrage des entrées ne démontre pas à lui seul l’autorisation de chaque action.
Documentation consultée le
RAG : droits, citations et caches
Une réponse correcte peut divulguer un document interdit. La pertinence de recherche, la validité d’une citation et l’autorisation d’accès sont trois contrôles distincts. Le service qui fournit les passages doit appliquer les droits de l’identité courante avant leur exposition au modèle.
- OWASP · LLM08:2025 Vector and Embedding Weaknesses · 2025
- OWASP · LLM01:2025 Prompt Injection · 2025
- OWASP · LLM06:2025 Excessive Agency · 2025
- OWASP · LLM05:2025 Improper Output Handling · 2025
- OWASP · LLM07:2025 System Prompt Leakage · 2025
- OWASP · LLM10:2025 Unbounded Consumption · 2025
- OWASP · API1:2023 Broken Object Level Authorization · 2023
Explorer la matrice de droits RAG et ses cas de test →
Références consultées le
W3Communautés & standards
W3C · Web Accessibility Initiative
Standards, méthodes d’évaluation et ressources pour l’accessibilité web. Utile pour tester un parcours complet, au-delà d’un contrôle automatique.
GOActeurs privés
Google · Search Central
Documentation officielle sur l’exploration, l’indexation et les fonctionnalités IA de Google Search. Aucune garantie de classement ou de citation.
IACommunautés & standards
IANA · Protocol Registries
Registres des paramètres de protocoles Internet et références associées. Pour vérifier le sens d’un code ou numéro dans son contexte normalisé.
MIRecherche & formation
MITRE · Common Weakness Enumeration
Nommer des classes de faiblesses logicielles et matérielles.
Informations documentaires
- Donnée ou repère vérifié
- Une CWE décrit une faiblesse pouvant contribuer à l’introduction de vulnérabilités. Elle ne représente pas un incident particulier.
- Comment l’utiliser
- Reliez la faiblesse au mécanisme observé : entrée, traitement et contrôle manquant. Utilisez cette description pour corriger la cause et préparer des tests de régression.
- Limite à conserver
- La présence d’un mot-clé dans un rapport ne suffit pas à établir la bonne classification CWE.
Documentation consultée le
W3Communautés & standards
W3C · WCAG 2.2
Évaluer des critères d’accessibilité du contenu web.
Informations documentaires
- Donnée ou repère vérifié
- WCAG 2.2 est une recommandation W3C. Les critères de réussite sont classés en niveaux A, AA et AAA.
- Comment l’utiliser
- Définissez tâches, pages et états à vérifier, puis combinez inspection, clavier, zoom et technologies d’assistance pertinentes. Conservez les étapes de reproduction des barrières.
- Limite à conserver
- Un scanner automatique ne démontre pas la conformité d’un parcours complet. L’évaluation doit couvrir les états interactifs et les contenus réellement utilisés.
Documentation consultée le
GOActeurs privés
Google · Core Web Vitals
Distinguer vitesse d’affichage, réactivité et stabilité visuelle.
Informations documentaires
- Donnée ou repère vérifié
- Les repères « bon » sont LCP ≤ 2,5 s, INP ≤ 200 ms et CLS ≤ 0,1, au 75e percentile, avec segmentation mobile et ordinateur.
- Comment l’utiliser
- Séparez mesures de terrain et tests de laboratoire. Relevez période, URL, appareil, population et taille d’échantillon avant de comparer une évolution.
- Limite à conserver
- Ces seuils ne sont pas des résultats mesurés de ce site. Un bon score de laboratoire ne prouve pas à lui seul l’expérience des visiteurs.
Documentation consultée le