Un avis est une décision, pas un résultat de scan
Informez vos clients qu'un produit qu'ils détiennent est concerné et ce qu'il faut faire. Les avis se situent en aval du triage, limités aux versions réellement impliquées, et constituent une obligation distincte de la notification aux autorités.
Deux chemins de notification, deux obligations distinctes
C'est la distinction que la plupart des messages sur le CRA manquent. Septembre 2026, c'est une notification au CSIRT et à l'ENISA. Informer vos clients est un chemin séparé, avec un déclencheur et un calendrier différents.
Notifier
Autorités
- Déclencheur
- Un constat est activement exploité dans une version que vous avez déjà mise sur le marché.
- Délai
- Le délai de l'article 14 : 24 heures, 72 heures, puis 14 jours, à partir du 11 septembre 2026.
- Destinataire
- ENISA SRP ou votre CSIRT national. Vous déposez le dossier ; alloy-it prépare le paquet et ne soumet pas.
Notifier
Clients
- Déclencheur
- Le triage confirme que le produit est exploitable et qu'il existe un correctif, une mitigation, ou une raison documentée d'informer sans l'un ni l'autre.
- Délai
- Votre calendrier. Cela relève du traitement des vulnérabilités et de la divulgation coordonnée, vers l'application complète en décembre 2027.
- Destinataire
- Avis limités aux produits et versions concernés, envoyés par e-mail et éventuellement publiés sur un portail public.
Vous ne pouvez pas envoyer un avis sur un constat non trié
Un résultat de scanner n'est pas une raison d'écrire à vos clients. L'envoi d'un avis est refusé tant qu'un constat lié n'a pas été trié comme exploitable, et tant que vous n'avez pas défini une version recommandée ou consigné explicitement que vous informez sans correctif.
Ainsi, un avis porte toujours une décision. C'est ce qui en fait une notification contrôlée plutôt qu'un flux de CVE, et ce qui rend la décision défendable plus tard.
Comment le triage produit cette décision →Un document structuré, pas un bloc de texte
Le préremplissage alimente le brouillon avec ce qu'alloy-it connaît déjà : la version, ses constats, les composants et versions concernés, et les versions corrigées le cas échéant. Chaque section correspond à la forme attendue par un consommateur CSAF.
Résumé
Ce qui s'est passé, en deux phrases.
Produits concernés
Quels produits et versions sont concernés.
Produits vulnérables
Le sous-ensemble réellement vulnérable.
Non vulnérables
Explicitement hors champ, aussi utile pour un client que la liste des concernés.
Détails
La description technique.
Contournements
Que faire avant l'arrivée du correctif.
Logiciel corrigé
Où se trouve la version corrigée.
Exploitation
État d'exploitation connu.
Source
Crédits et références.
En parallèle, un tableau CVE porte des lignes par CVE avec score, sévérité, composant et version concernés, et version corrigée. Version recommandée, date d'application et consignes restent hors du document, car ce sont des champs opérationnels plutôt que du texte publié.
Un portail public, désactivé par défaut
Les avis publiés peuvent être lus sans connexion à l'URL de votre organisation, avec votre logo. Il reste désactivé jusqu'à ce que vous l'activiez ; tant qu'il l'est, chaque route publique renvoie un 404 simple plutôt qu'une erreur qui confirmerait l'existence de l'organisation.
Publication et envoi sont indépendants. Un avis peut être publié sans jamais être envoyé par e-mail, ou envoyé sans être publié.
Export CSAF et PDF
Chaque avis publié est disponible en CSAF JSON et en PDF rendu. La forme lisible par machine compte double : les consommateurs en aval peuvent l'ingérer automatiquement, et l'annexe I partie II du CRA attend des informations de vulnérabilité lisibles par machine plutôt qu'un PDF à lire à la main.
Les changements substantiels incrémentent la version du document et sont conservés dans un historique de révisions sur la page publique.
Où cela s'inscrit dans la boucle
La surveillance trouve le composant. Le triage décide si le produit est réellement concerné. S'il est activement exploité dans quelque chose que vous avez mis sur le marché, le chemin autorités s'ouvre sur le délai de l'article 14. L'avis client vient ensuite, une fois qu'il y a quelque chose d'utile à leur dire.
Gérez la divulgation sans approximer le champ
Commencez par un inventaire produit pour qu'un avis nomme les versions réellement concernées, et celles qui ne le sont pas.