# Workflow n8n de veille SOC : collecte, tri et brouillons WordPress

- Link: https://dpioch.aristeecampus.org/procedure/workflow-n8n-veille-soc/
- Published: 2026-10-05T15:15:57+02:00
- Author: Admin

Version 1.0

 Date d’édition 05/10/2026

_Exploitation du workflow n8n qui prépare chaque lundi les fiches de veille SOC 
en brouillon dans WordPress, avec vérification humaine avant toute publication._

## 1. Objet

Le workflow `Veille SOC — collecte hebdomadaire` collecte des sources primaires,
écarte les doublons et ce qui sort du périmètre, puis crée des fiches en brouillon
dans le type de contenu Veille SOC du portfolio. La méthode est expliquée sur la
page [Méthode de veille](https://dpioch.aristeecampus.org/methode-de-veille/) ; 
cette procédure décrit sa mise en place et son exploitation.

## 2. Périmètre et prérequis

### Périmètre

Couvert : planification, sources, paramètres, identifiants WordPress, tests et exploitation
hebdomadaire. Non couvert : installation de n8n et règles de pare-feu qui lui donnent
accès aux sources.

### Prérequis

 * Une instance n8n récente, joignable depuis le poste d’administration.
 * Un accès sortant HTTPS vers les sources listées en section 4.
 * Un compte WordPress autorisé à créer des fiches de veille, idéalement un compte
   Éditeur dédié plutôt que l’administrateur.

## 3. Rôles et responsabilités

  |  Rôle |  Responsabilité |  
   |  **Administrateur n8n** |  Maintient le workflow, ses paramètres et ses identifiants. |  
 |  **Analyste** |  Relit chaque lundi les brouillons, vérifie les sources, publie, fusionne ou supprime. |

## 4. Procédure

### 1. Planification

Le nœud de déclenchement s’exécute le lundi à 9 h. Le fuseau `Europe/Paris` est 
réglé dans les paramètres du workflow : le processus n8n tourne en UTC, mais c’est
le réglage du workflow qui s’applique.

Note

Le fuseau a été vérifié par une vraie exécution planifiée : un déclenchement prévu
à une heure de Paris est parti à l’heure UTC correspondante, puis l’exécution du
lundi 5 octobre 2026 a démarré à 9 h.

### 2. Sources

  |  Famille |  Sources |  Requêtes |  
   |  **Autorités** |  CERT-FR (alertes et avis), catalogue KEV de la CISA |  3 |  
 |  **Base de vulnérabilités** |  NVD, une requête par produit : Wazuh, Suricata, CrowdSec, CrowdStrike, Darktrace |  5 |  
 |  **Avis des éditeurs** |  Avis de sécurité GitHub de Wazuh, Suricata et CrowdSec |  3 |  
 |  **Notes de version** |  Wazuh, Suricata, CrowdSec |  3 |  
 |  **Annonces** |  Suricata, CrowdSec, CrowdStrike, Darktrace |  4 |

Une requête part toutes les 3,5 secondes, avec une nouvelle tentative en cas d’échec,
pour respecter les API publiques.

### 3. Traitement

 1.  **Normalisation**
 2.  Chaque élément est ramené au même format : produit, type, dates, résumé, liens.
 3.  **Dédoublonnage**
 4.  Clé : l’identifiant CVE quand il est unique, sinon l’adresse canonique de la source.
 5.  **Mémoire**
 6.  Le workflow conserve la date de la dernière collecte réussie de chaque source (
     avec deux jours de recouvrement, dans la limite de 30 jours), les clés déjà publiées
     et les fiches en attente.
 7.  **Pertinence et quotas**
 8.  Un score met en avant les produits surveillés, l’exploitation active et les technologies
     du homelab ; quatre fiches au plus par source, quinze par semaine.
 9.  **Vérification**
 10. Faits et analyse séparés ; source primaire, liens HTTPS et date contrôlés. L’analyse
     par IA est désactivée par défaut et rejetée si elle cite un identifiant absent
     des sources.
 11. **Journal des erreurs**
 12. Chaque source en échec est consignée : date, adresse, code HTTP, message.

### 4. Identifiants WordPress

 1. **Mot de passe d’application**
 2. Dans WordPress, Comptes → Profil → Mots de passe d’application : créer un mot de
    passe nommé `n8n-veille` et le copier. Il n’est affiché qu’une fois.
 3. **Credential n8n**
 4. Dans le nœud « Créer le brouillon WordPress », champ du credential WordPress API:
    créer un credential avec l’identifiant du compte, le mot de passe d’application
    et l’adresse du site, puis l’enregistrer. n8n doit afficher « Connection tested
    successfully ».
 5. **Enregistrer le workflow**
 6. Le triangle rouge du nœud disparaît ; enregistrer avec Ctrl+S.

Attention

Le mot de passe d’application ne vit que dans les Credentials de n8n : jamais dans
un nœud, un script, un journal ou un échange.

### 5. Mode simulation et publication

Le nœud « Paramètres » porte l’interrupteur `PUBLIER`. À `false`, le workflow calcule
tout sans rien écrire ; à `true`, il crée les brouillons. Le point d’entrée de test
reste toujours en simulation, pour qu’un essai n’écrive jamais sur le site.

### 6. Exploitation du lundi

 1. **Relire**
 2. Veille SOC → Brouillons : vérifier chaque affirmation dans la source d’origine.
 3. **Fusionner**
 4. Regrouper dans une seule fiche les brouillons qui traitent du même sujet.
 5. **Compléter**
 6. Thème, criticité, mots-clés parmi les termes existants.
 7. **Publier ou supprimer**
 8. Un faux positif est supprimé ; sa clé reste en mémoire et il ne sera pas reproposé.

## 5. Intégration réseau

 * Flux sortants HTTPS de n8n vers les sources et vers le site WordPress.
 * L’accès d’administration à n8n passe par le proxy inverse du laboratoire, en 
   HTTPS.
 * Depuis la zone `lab`, seul l’agent Hermes joint l’API de n8n, en HTTPS vers le
   proxy inverse, par la politique `hermes-n8n` (voir « Ouverture d’un flux entre
   deux zones du pare-feu SRX300 »).

## 6. Durcissement et sécurité

 * Identifiants uniquement dans les Credentials n8n.
 * Compte WordPress Éditeur dédié, révocable par son mot de passe d’application.
 * Aucune publication automatique : tout passe par un brouillon relu.

### Limites connues

 * Certains flux ne remontent que leurs derniers éléments (avis CERT-FR sur une 
   douzaine de jours, avis GitHub limités à 30 par appel) : une exécution manquée
   peut faire perdre des avis.
 * Une CVE qui mentionne seulement un produit surveillé peut être un faux positif.
 * Des annonces arrivent sans résumé dans leur flux.

## 7. Vérifications finales

  |  Contrôle |  Critère d’acceptation |  Statut |  
   |  **Simulation** |  Une exécution manuelle se termine sans erreur et toutes les sources répondent |  ☐ |  
 |  **Credential** |  Le test de connexion WordPress réussit |  ☐ |  
 |  **Brouillon de test** |  Une fiche créée est en brouillon, invisible du public, avec ses sections Faits, Analyse, Sources et Niveau de confiance |  ☐ |  
 |  **Planification** |  L’exécution du lundi démarre à 9 h, heure de Paris |  ☐ |

### Résultats des tests du 5 octobre 2026

 * Simulation : 18 sources sur 18, 2 039 éléments lus, 15 retenus, aucune erreur,
   en 63 secondes.
 * Test sur dix semaines : 2 103 éléments lus, 279 dans la période, 215 pertinents,
   106 brouillons possibles avec les quotas.
 * Premier passage réel : 15 brouillons, 7 fiches publiées, 5 fusionnées, 3 écartées.

## 8. Références et historique des révisions

 * Page [Méthode de veille](https://dpioch.aristeecampus.org/methode-de-veille/).
 * Documentation n8n : nœuds Schedule Trigger, HTTP Request, Code et WordPress.

  |  Version |  Date |  Modifications |  
   |  1.0 |  05/10/2026 |  Création du document à partir de la mise en place réelle du workflow. |