Workflow n8n de veille SOC : collecte, tri et brouillons WordPress

Version

1.0

Date d’édition

05/10/2026

Exploitation du workflow n8n qui prépare chaque lundi les fiches de veille SOC en brouillon dans WordPress, avec vérification humaine avant toute publication.

1. Objet

Le workflow Veille SOC — collecte hebdomadaire collecte des sources primaires, écarte les doublons et ce qui sort du périmètre, puis crée des fiches en brouillon dans le type de contenu Veille SOC du portfolio. La méthode est expliquée sur la page Méthode de veille ; cette procédure décrit sa mise en place et son exploitation.

2. Périmètre et prérequis

Périmètre

Couvert : planification, sources, paramètres, identifiants WordPress, tests et exploitation hebdomadaire. Non couvert : installation de n8n et règles de pare-feu qui lui donnent accès aux sources.

Prérequis

• Une instance n8n récente, joignable depuis le poste d’administration.
• Un accès sortant HTTPS vers les sources listées en section 4.
• Un compte WordPress autorisé à créer des fiches de veille, idéalement un compte Éditeur dédié plutôt que l’administrateur.

3. Rôles et responsabilités

4. Procédure

1. Planification

Le nœud de déclenchement s’exécute le lundi à 9 h. Le fuseau Europe/Paris est réglé dans les paramètres du workflow : le processus n8n tourne en UTC, mais c’est le réglage du workflow qui s’applique.

2. Sources

Une requête part toutes les 3,5 secondes, avec une nouvelle tentative en cas d’échec, pour respecter les API publiques.

3. Traitement

1. Normalisation

   Chaque élément est ramené au même format : produit, type, dates, résumé, liens.

2. Dédoublonnage

   Clé : l’identifiant CVE quand il est unique, sinon l’adresse canonique de la source.

3. Mémoire

   Le workflow conserve la date de la dernière collecte réussie de chaque source (avec deux jours de recouvrement, dans la limite de 30 jours), les clés déjà publiées et les fiches en attente.

4. Pertinence et quotas

   Un score met en avant les produits surveillés, l’exploitation active et les technologies du homelab ; quatre fiches au plus par source, quinze par semaine.

5. Vérification

   Faits et analyse séparés ; source primaire, liens HTTPS et date contrôlés. L’analyse par IA est désactivée par défaut et rejetée si elle cite un identifiant absent des sources.

6. Journal des erreurs

   Chaque source en échec est consignée : date, adresse, code HTTP, message.

4. Identifiants WordPress

1. Mot de passe d’application

   Dans WordPress, Comptes → Profil → Mots de passe d’application : créer un mot de passe nommé n8n-veille et le copier. Il n’est affiché qu’une fois.

2. Credential n8n

   Dans le nœud « Créer le brouillon WordPress », champ du credential WordPress API : créer un credential avec l’identifiant du compte, le mot de passe d’application et l’adresse du site, puis l’enregistrer. n8n doit afficher « Connection tested successfully ».

3. Enregistrer le workflow

   Le triangle rouge du nœud disparaît ; enregistrer avec Ctrl+S.

5. Mode simulation et publication

Le nœud « Paramètres » porte l’interrupteur PUBLIER. À false, le workflow calcule tout sans rien écrire ; à true, il crée les brouillons. Le point d’entrée de test reste toujours en simulation, pour qu’un essai n’écrive jamais sur le site.

6. Exploitation du lundi

1. Relire

   Veille SOC → Brouillons : vérifier chaque affirmation dans la source d’origine.

2. Fusionner

   Regrouper dans une seule fiche les brouillons qui traitent du même sujet.

3. Compléter

   Thème, criticité, mots-clés parmi les termes existants.

4. Publier ou supprimer

   Un faux positif est supprimé ; sa clé reste en mémoire et il ne sera pas reproposé.

5. Intégration réseau

• Flux sortants HTTPS de n8n vers les sources et vers le site WordPress.
• L’accès d’administration à n8n passe par le proxy inverse du laboratoire, en HTTPS.
• Depuis la zone lab, seul l’agent Hermes joint l’API de n8n, en HTTPS vers le proxy inverse, par la politique hermes-n8n (voir « Ouverture d’un flux entre deux zones du pare-feu SRX300 »).

6. Durcissement et sécurité

• Identifiants uniquement dans les Credentials n8n.
• Compte WordPress Éditeur dédié, révocable par son mot de passe d’application.
• Aucune publication automatique : tout passe par un brouillon relu.

Limites connues

• Certains flux ne remontent que leurs derniers éléments (avis CERT-FR sur une douzaine de jours, avis GitHub limités à 30 par appel) : une exécution manquée peut faire perdre des avis.
• Une CVE qui mentionne seulement un produit surveillé peut être un faux positif.
• Des annonces arrivent sans résumé dans leur flux.

7. Vérifications finales

Résultats des tests du 5 octobre 2026

• Simulation : 18 sources sur 18, 2 039 éléments lus, 15 retenus, aucune erreur, en 63 secondes.
• Test sur dix semaines : 2 103 éléments lus, 279 dans la période, 215 pertinents, 106 brouillons possibles avec les quotas.
• Premier passage réel : 15 brouillons, 7 fiches publiées, 5 fusionnées, 3 écartées.

8. Références et historique des révisions

• Page Méthode de veille.
• Documentation n8n : nœuds Schedule Trigger, HTTP Request, Code et WordPress.