p PatchFirst

La sécurité commence par les priorités

Sachez quoi
corriger en premier.

PatchFirst compare les logiciels de votre serveur aux CVE mondiales et aux indices d’exploitation. La vérification gratuite attribue une note et met en évidence votre pile logicielle sans détailler les constats. Les vulnérabilités précises et les correctifs prioritaires font partie de la surveillance payante.

Vérifier gratuitement un serveur →Comment ça marche ↓

Une vérification ponctuelle gratuite de votre propre serveur. La surveillance est payante. La facturation annuelle permet d’économiser 20% : un serveur coûte 28,80 $ par an au lieu de 36,00 $. 5 premiers serveurs : 3,00 $ chacun par mois; à partir du serveur 6 : 2,00 $; à partir du serveur 26 : 1,50 $.

Un serveur envoie des informations sur ses composants à un cadran d’évaluation placé à côté d’une liste de tâches ordonnée.

Ce que nous vérifions

Actuellement : les paquets système, les versions exactes des dépendances et les produits reconnus. La couverture dépend des autorisations de l’agent et des données disponibles.

Disponible dès maintenant

  • Paquets système : Debian, Ubuntu, Alpine, la famille RHEL (Rocky Linux, AlmaLinux), openSUSE et SLES.
  • PHP : composer.lock.
  • Node.js : npm (package-lock.json), Yarn v1 et Berry (yarn.lock), pnpm (pnpm-lock.yaml).
  • Python : poetry.lock, Pipfile.lock, uv.lock, requirements*.txt avec versions figées par == ; paquets installés dans les venv/site-packages découverts.
  • Versions des environnements d’exécution et des services reconnus dans le catalogue de produits.
  • Images de conteneurs identifiées par leur nom et leur étiquette ; leur contenu n’est pas inspecté et reste un angle mort. Les images inconnues et les étiquettes flottantes nécessitent une vérification manuelle.

Les dépendances directes et transitives sont incluses ; celles de développement sont signalées. La découverte est limitée par les autorisations, le temps et le nombre de fichiers et de paquets. Les versions imprécises et les limites atteintes apparaissent comme des angles morts.

À venir

  • Ruby : Gemfile.lock.
  • Go : go.sum et informations de compilation des binaires.
  • Rust : Cargo.lock.
  • Java : fichiers de verrouillage Maven/Gradle et manifestes jar.

Ces écosystèmes ne sont pas encore vérifiés.

À qui s’adresse PatchFirst ?

Une vérification. Des questions différentes.

Partez de votre rôle, des détails techniques à la discussion avec votre prestataire.

De l’inventaire
aux prochaines étapes.

L’agent collecte des données sur votre serveur. PatchFirst voit les logiciels et versions que vous utilisez, pas les données de votre application.

01 / VOTRE SERVEUR

Collecter et anonymiser

L’agent tient dans un fichier et fonctionne sans root. Python est facultatif. Il collecte les versions logicielles et les indices d’exposition des services. Avant l’envoi, il remplace les noms par des UUID et des étiquettes HMAC, et les IP par un indicateur d’adresse publique. Si le chiffrement des noms est activé, le dictionnaire des noms est chiffré séparément.

02 / SERVICE PatchFirst

Comparer aux menaces

CVE.org et OSV aident à identifier les vulnérabilités connues. CISA KEV, EPSS et les informations d’exploitation apportent du contexte : preuves d’exploitation et probabilité estimée d’une attaque.

03 / VOTRE RAPPORT

Choisir la prochaine action

Le risque combine la gravité, l’exploitabilité et l’exposition du composant. La vérification gratuite fournit une note de 0 à 100, une pile logicielle mise en évidence et les angles morts généraux. La surveillance payante ajoute le détail des constats et les priorités P0–P3 pour planifier les mises à jour.

Vos noms
restent les vôtres.

L’anonymisation masque les noms et les adresses, mais une liste de versions logicielles reste sensible. Voici les limites de cette protection.

Ce que voit le service

Les versions du système et des paquets, les images publiques reconnues, les informations sur les composants en cours d’exécution, les types de services et leur exposition estimée. Les hôtes apparaissent sous forme d’UUID et les valeurs masquées sous forme d’étiquettes.

Cela suffit pour rapprocher les logiciels des CVE. Le service conserve les inventaires anonymisés et les rapports dans PostgreSQL sous forme lisible afin d’y effectuer des recherches et de recalculer les constats lorsque les informations de vulnérabilité changent.

Ce que l’agent garde privé

Les adresses IP directes, noms d’hôtes d’origine, chemins, numéros de port et noms privés couverts par l’anonymisation. Sans chiffrement des noms, l’agent n’envoie aucun dictionnaire. Si le chiffrement est activé, un dictionnaire chiffré distinct associe les étiquettes aux noms ; sa clé de lecture n’est jamais transmise au service.

Le chiffrement des noms est facultatif. Son mot de passe est distinct du mot de passe de connexion. Les noms sont déchiffrés dans le navigateur du propriétaire. L’IP de connexion est utilisée uniquement en mémoire pour la protection contre la force brute et n’est pas conservée.

Une copie de la base de données expose la pile technique anonymisée. Le service la lit pour la recherche et le recalcul, et un navigateur ou un serveur du propriétaire compromis peut exposer les noms et les clés. Comprendre les données et les limites →

Vous pouvez laisser les noms vides : le tableau de bord affichera « Serveur 01 ». Vous pouvez aussi choisir un alias tel que web-1 : il est enregistré en clair. N’indiquez ni domaine, ni adresse IP, ni nom d’entreprise ou de client. Pour les protéger, activez le chiffrement des noms dans Compte : votre navigateur transférera les noms existants dans un dictionnaire chiffré et le service supprimera les copies en clair.

La note vous guide.
Vous décidez.

PatchFirst aide à suivre les problèmes connus. Il ne remplace pas un audit, un test d’intrusion ou un examen de la configuration et de la logique applicative.

Le contexte change la priorité

Une vulnérabilité sur un service accessible depuis l’extérieur est généralement plus importante que le même problème sur un composant local. L’exposition est déduite des indicateurs collectés et peut différer de l’accessibilité réelle.

Une version n’est qu’une partie de la réponse

Les paquets des distributions sont vérifiés via OSV, y compris les correctifs rétroportés. Des erreurs de correspondance et des retards dans les sources restent possibles. Vérifiez les constats avant toute modification.

Les angles morts méritent votre attention

Une image inconnue ou une étiquette flottante ne fournit pas de version fiable. Ces composants nécessitent une vérification manuelle. Une note élevée ne permet pas d’exclure les vulnérabilités inconnues ou les composants manqués.

Un serveur ou tout votre parc.

Commencez par un instantané ponctuel. Connectez un agent pour envoyer régulièrement l’inventaire et suivre les changements dans le temps.

Vérification ponctuelle

Un serveur

Gratuit

Exécutez une commande ou collez un JSON anonymisé. Le résultat gratuit contient une note, les piles concernées, le nombre de constats et les indices de risque, ainsi que les angles morts généraux. Les noms des composants, les versions et les CVE restent masqués.

Vérifier votre serveur →

Le lien fonctionne pendant 7 jours. Le serveur conserve le rapport chiffré sans garder la clé : celle-ci se trouve uniquement dans votre lien.

Surveillance continue

Payez par serveur

La facturation annuelle permet d’économiser 20% : un serveur coûte 28,80 $ par an au lieu de 36,00 $.

Un mois de facturation dure 30 jours
Rang des serveursPar serveur et par mois
1–5$3,00
6–25$2,00
26+$1,50

Chaque tarif s’applique uniquement aux serveurs de sa tranche et les montants s’additionnent. Par exemple, 10 serveurs coûtent 5 × $3,00 + 5 × $2,00 = $25,00 par mois.

Le premier paiement d’un compte invité rapporte au parrain +1 serveur-mois. Les bonus expirent après 12 mois ; consultez les conditions.

L’agent envoie un inventaire toutes les 6 heures et les flux de vulnérabilités s’actualisent toutes les quelques heures. Les constats détaillés et les correctifs prioritaires sont dans votre tableau de bord ; la surveillance payante prend en charge les webhooks configurés dans Notifications.

Activer la surveillance →

La facturation annuelle permet d’économiser 20% : un serveur coûte 28,80 $ par an au lieu de 36,00 $. 5 premiers serveurs : 3,00 $ chacun par mois; à partir du serveur 6 : 2,00 $; à partir du serveur 26 : 1,50 $. Payez depuis le tableau de bord avec les plateformes disponibles Paddle, YooKassa et CoinsSend. CoinsSend propose USDT, BTC, ETH, TON, USDC et d’autres cryptomonnaies ; choisissez la monnaie et le réseau sur sa page et réglez les frais de réseau. Il n’y a aucun prélèvement automatique.

Télécharger un exemple de rapport (PDF)

Avant votre première vérification

Questions pratiques.

PatchFirst vérifie-t-il npm, pip et poetry ?

Oui : les paquets PHP de composer.lock, les dépendances Node.js de npm, Yarn et pnpm, et les paquets Python de pip et poetry lorsque les versions exactes sont disponibles. Les vérifications incluent les dépendances directes et transitives ; celles de développement restent dans le rapport avec une étiquette. Ruby, Go, Rust et Java ne sont pas encore pris en charge.

Pour Node.js, l’agent lit package-lock.json, yarn.lock et pnpm-lock.yaml ; pour Python, poetry.lock, Pipfile.lock, uv.lock, requirements*.txt avec les entrées utilisant ==, ainsi que les métadonnées des paquets installés dans les venv/site-packages découverts. Les versions absentes ou flottantes ne peuvent pas être vérifiées. La collecte est limitée par les autorisations, le temps et le nombre de fichiers et de paquets ; les limites atteintes apparaissent comme des angles morts.

PatchFirst scanne-t-il les serveurs d’autrui ?

Non. PatchFirst n’effectue jamais de scan externe : l’agent lit uniquement les paquets et les services en écoute sur le serveur où il s’exécute. Installez-le uniquement sur les serveurs qui vous appartiennent ou que vous êtes autorisé à évaluer.

Comment la note est-elle calculée ?

Chaque constat reçoit un niveau de risque fondé sur la gravité, les indices d’exploitation et l’exposition. Ces éléments déterminent les priorités P0–P3 et les déductions à partir d’un score initial de 100. Un constat P0 plafonne le score à 49. C’est un modèle de priorisation, pas une probabilité de compromission.

Que signifie « anonymisé » ?

Les noms et les adresses sont remplacés avant l’envoi. Les versions logicielles et les indicateurs techniques sont conservés car ils sont nécessaires à la recherche de vulnérabilités. Leur combinaison peut être reconnaissable ; l’anonymisation ne promet donc pas un anonymat complet.

Puis-je examiner ce que l’agent envoie ?

Oui. Le mode dry-run permet d’examiner les données avant l’envoi. Pour une vérification ponctuelle, l’option JSON permet d’inspecter d’abord l’inventaire anonymisé puis de le coller dans la page de vérification.

Un compte nécessite-t-il des données personnelles ?

Non. Connectez-vous avec un identifiant inventé et un mot de passe, sans nom, adresse e-mail ni numéro de téléphone. Conservez le code de récupération : c’est le seul moyen de réinitialiser un mot de passe de connexion oublié. Perdre à la fois le mot de passe et le code signifie perdre l’accès.

Les prestataires de paiement reçoivent un numéro de commande et un montant sans identifiant ni coordonnées du payeur. CoinsSend est un service de conservation de cryptomonnaies qui effectue ses propres contrôles de lutte contre le blanchiment. Contacter l’exploitant révèle votre adresse e-mail d’expéditeur. Les informations sur les prestataires et les délais de suppression des correspondances sont décrits dans la politique de confidentialité.

Et si j’oublie le mot de passe des noms ?

Si vous avez activé le chiffrement des noms, le service ne connaît pas ce mot de passe et ne peut pas récupérer les noms. Vous devrez réinitialiser les dictionnaires de noms et reconfigurer les agents. Le mot de passe de connexion et celui des noms ont des fonctions distinctes.

Un rapport sans constat signifie-t-il que mon serveur est sûr ?

Non. Les sources peuvent être en retard, certains logiciels ne sont pas reconnus et l’analyse des versions ne couvre pas les défauts de configuration ou d’application. PatchFirst ne garantit ni l’exhaustivité ni l’exactitude ; le propriétaire reste responsable des mises à jour. Conditions du service.