Critique, élevé, moyen, faible

Chaque problème porte une gravité. Elle dit ce qu’un inconnu peut faire avec, pas la difficulté de la correction.

Les cinq niveaux

• Critique. Quelqu’un peut déjà prendre la main ou vider tes données : un .env en ligne avec des secrets dedans, une table Supabase lisible par tous qui contient des mots de passe ou des jetons, une clé secrète de paiement dans ton JavaScript. À corriger aujourd’hui.
• Élevé. Une fuite réelle, plus limitée : une table lisible par tous avec des données personnelles, une faille connue dans une version que tu utilises.
• Moyen. Une faiblesse qu’un attaquant peut exploiter avec un peu d’effort, ou des données sensibles lisibles sans donnée personnelle dedans.
• Faible. Une protection manque, comme un en-tête de sécurité, sans risque direct.
• Info. Ce qu’on a remarqué en passant, comme le projet Supabase que ton site utilise. Ça ne retire aucun point.

Qui décide de la gravité

Chaque vérification a une gravité par défaut, écrite et relue par l’équipe. Elle monte d’un cran dans des cas précis :

• le problème expose des données personnelles ;
• la faille est sur la liste des failles exploitées en ce moment (le catalogue KEV de la CISA) : elle passe en critique ;
• la faille a de fortes chances d’être exploitée bientôt (score EPSS) ;
• la clé trouvée est une clé de production, pas une clé de test.

Une IA ne décide jamais de la gravité d’un problème.

Ce qu’on corrige d’abord

Commence par les critiques et les élevés : sur un site que tu n’as pas encore prouvé, ce sont eux que Rustine compte dans « à corriger tout de suite ». Les moyens et les faibles vont dans « à corriger quand tu peux ».

Un problème critique confirmé bloque aussi ta note à D, quel que soit le reste du score.