Base
Les qualités intrinsèques de la faille : d'où elle peut être attaquée, ce que l'attaquant doit franchir, les privilèges et l'interaction utilisateur nécessaires, et les dégâts sur le système vulnérable comme sur les systèmes en aval.
Outils de sécurité
Outils gratuits pour les équipes de sécurité. Sans compte, sans email, sans clé API.
Ce que le calculateur évalue
CVSS v4.0 découpe une vulnérabilité en quatre groupes de métriques. Le calculateur les expose tous et recalcule le score à chaque changement de valeur.
Menace
Le degré de réalité de l'exploit aujourd'hui : non prouvé, preuve de concept, ou activement exploité. La même faille monte en score dès que quelqu'un l'exploite, et c'est ce groupe qui le traduit.
Environnemental
Ce que la faille signifie dans votre déploiement : métriques de base modifiées, exigences de sécurité, et position du composant vulnérable dans le chemin critique de votre produit.
Supplémentaire
Du contexte qui ne bouge pas le score : impact de sûreté, automatisation, récupération, densité de valeur, effort de réponse et urgence du fournisseur. Utile pour ordonner deux constats qui tombent sur le même chiffre.
Gardez la chaîne de vecteur
Un vecteur CVSS v4.0 consigne chaque choix derrière le score, en une ligne, par exemple CVSS:4.0/AV:N/AC:L/... Collez-le dans un ticket, un avis ou un rapport client : n'importe qui peut rejouer l'évaluation dans un autre calculateur. Deux analystes en désaccord sur le chiffre peuvent comparer les vecteurs au lieu de discuter de la sévérité.
Ce que le score ne dit pas
CVSS mesure la sévérité, pas le risque. Il ne dit rien de l'accessibilité de la faille depuis votre code, de l'importance des données derrière, ni de l'existence d'un exploit pour la version que vous exécutez. Un 9.8 sur un endpoint que personne ne peut atteindre est du bruit ; un 6.5 sur votre page de connexion n'en est pas. Traitez le score comme une entrée parmi d'autres, à côté de l'accessibilité et du contexte métier.
La remédiation proposée est déduite des métriques que vous sélectionnez, pas générée depuis votre code. Pour des correctifs adaptés à votre stack, il faut encore une évaluation.
Intégrez-le
Le calculateur s'intègre gratuitement dans vos docs ou votre site, sans clé API. L'attribution est la seule condition.