Décisions

Chaque décision est courte : ce qu’on a choisi, pourquoi, et ce que ça coûte. « Pas faite » signifie que le code ne la suit pas encore aujourd’hui.

Scanners et pipelines

2026-05-21

Contexte. Le code de scan mélangeait des tâches synchrones par actif et des flux asynchrones (flux externes, fuites de données, certificats).

Décision. Tous les scanners d’actifs suivent la même règle : une étape d’analyse, une étape d’enregistrement, une politique d’erreur et une façon de se mettre en file ; le moteur réserve et termine la tâche de scan. Les flux asynchrones (flux externes, fuites de données, vulnérabilités, flash scan) forment des chaînes de traitement à part. Le code est rangé en trois blocs : réception des appels (HTTP, tâches planifiées, files), socle commun (base de données, coffre de clés, alertes, constats) et chaînes de traitement.

Conséquences

Un scanner s’ajoute à la liste des scanners sans toucher à la réception des appels.
Deux modes d’exécution à connaître : la tâche récupérée à la demande et la chaîne de traitement pilotée par une file.
L’ancienne organisation a disparu : le code a été redistribué dans ces trois blocs.

Code. monitoring/src/pipelines/asset-scanners/registry.ts

Pas de sondage de chemins sensibles

2026-07-22 (acceptée, pas faite)

Contexte. Le scanner de pages sensibles est le seul qui demande des pages cachées d’un site (fichier de configuration, dépôt de code, pages d’administration et de connexion). Le lancer sur un prospect qui n’a rien consenti expose Inqase juridiquement.

Décision. Il ne tourne que pour les clients en suivi continu avec une politique active, jamais pour les scans de prospects.

Conséquences

Le consentement légal reste contraignant, mais le code sonde encore les prospects.
Le retirer des scans de prospects affaiblit les preuves du rapport commercial.
Le balayage de fraîcheur filtre déjà sur le suivi continu.
Le flash scan le lance aussi.

Code. monitoring/src/platform/db/snapshots.ts (liste des scans de prospects)

Rapprochement CPE strict

2026-10-21

Contexte. Rattacher une faille publiée (CVE) à une technologie par nom approximatif donne des faux positifs que le client voit.

Décision. Un logiciel est identifié par son identifiant standard de produit (CPE, fabricant et produit), sans correspondance approximative. Les identifiants de réseaux de diffusion et de cloud sont refusés. Ce traitement est isolé dans son propre bloc.

Conséquences

Moins de faux positifs, au prix de failles non rattachées.
Les produits inconnus attendent une revue humaine et ne sont jamais envoyés à un client.
Seules sont montrées les failles de la liste KEV (déjà exploitées) ou de gravité 9 et plus avec attaque possible par le réseau : les failles plus faibles ne le sont pas.

Code. monitoring/src/pipelines/vulns/identity.ts et monitoring/src/pipelines/vulns/record.ts