01Réanalyse quotidienne
CodeBox conserve le dernier inventaire de chaque actif et le réanalyse chaque nuit. Une faille publiée après votre dernier scan déclenche donc une alerte, sans relancer le CLI. Une faille qui disparaît de l'inventaire est marquée corrigée automatiquement.
02Canaux
- Email : l'adresse doit être confirmée par un lien.
- Discord : URL d'un webhook que vous créez vous-même, aucune configuration de notre côté.
- Webhook : URL en HTTPS, chaque envoi est signé.
Sans canal configuré, les alertes partent vers l'email de votre compte. Ajoutez-en jusqu'à 10 depuis Paramètres, onglet Alertes.
03Configurer Discord
- 1Dans Discord, ouvrez les paramètres du serveur (ou du canal) qui doit recevoir les alertes.
- 2Allez dans Intégrations, puis Webhooks, puis Nouveau webhook.
- 3Donnez-lui un nom, par exemple « CodeBox », et choisissez le canal de destination.
- 4Copiez l'URL du webhook (elle commence par https://discord.com/api/webhooks/).
- 5Dans Paramètres, onglet Alertes, ajoutez un canal de type Discord et collez l'URL.
Le canal est actif immédiatement, sans étape de confirmation : l'URL du webhook est elle-même la preuve que vous contrôlez ce canal Discord.
04Vérifier un webhook
Chaque requête contient les en-têtes X-CodeBox-Timestamp et X-CodeBox-Signature. La signature est un HMAC SHA-256 de la chaîne "timestamp.corps" avec le secret du canal.
const expected = "sha256=" + crypto
.createHmac("sha256", process.env.CODEBOX_WEBHOOK_SECRET)
.update(`${req.headers["x-codebox-timestamp"]}.${rawBody}`)
.digest("hex");
const valid = crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(req.headers["x-codebox-signature"]));