Exporter un rapport

Depuis chaque page d'analyse, vous pouvez télécharger un rapport que vous transmettez tel quel à un RSSI, à un comité ou à un auditeur : pas de capture d'écran, pas de copier-coller.

Le bouton ↓ Exporter se trouve en haut à droite de la page. Il propose trois formats :

Format	Pour quoi faire
Rapport PDF	Un document lisible par un non-technicien : une page de synthèse pour la direction (note A à E, phrase, graphiques, trois priorités), puis l'annexe technique, les risques acceptés et la méthode.
Constats (Excel)	Un classeur avec tous les constats, une ligne par constat, pour le suivi et les tableaux croisés. Une seconde feuille, « Paramètres », garde la date, l'auteur, les filtres et le périmètre.
Constats (CSV)	Le même contenu en texte (UTF-8, ouvrable par Excel avec les accents).

Pages concernées

Analyses AWS, Analyses Azure, Entra ID, Risk Intel (et l'inspecteur CVE), Fin de support (EOLRIVER), GPO, Posture, SUSE Manager, Conformité SCAP, Analyses AD. Toute nouvelle page d'analyse reprend le même menu.

Ce que contient le rapport

Le rapport reflète exactement ce que vous voyez : mêmes filtres, même périmètre de droits. Le menu rappelle « N constats, filtres appliqués » ; le lien Exporter sans filtre retire les filtres le temps de l'export.

Page 1 : la synthèse pour la direction (une seule page, toujours) :

• Score sur 100 et note de A à E, avec l'échelle.
  • Le score (100 = rien à corriger) se calcule sur les constats ouverts : risques acceptés exclus, filtres et périmètre appliqués.
  • Chaque règle déclenchée retire un pourcentage du score qui reste, selon sa gravité : critique 20 %, élevée 10 %, moyenne 4 %, faible 1 %. Ce pourcentage est multiplié par 1 + log10 du nombre d'objets concernés, sans dépasser 2 : dix objets pèsent le double d'un seul, pas dix fois plus, donc une règle très répandue ne masque pas les autres.
  • Le score ne tombe à 0 que si tout est atteint, et corriger un constat le fait toujours remonter.
  • Le score est ensuite plafonné : 39 au plus avec un constat critique à la fois exposé à Internet et activement exploité ou au moins 5 constats critiques ; 59 au plus avec un constat critique ; 74 au plus avec au moins 4 constats élevés ; 89 au plus avec un constat élevé.
  • La note est la tranche du score : A de 90 à 100, B de 75 à 89, C de 60 à 74, D de 40 à 59, E en dessous de 40. Elle n'est donc jamais meilleure qu'avec l'ancienne règle des plafonds, et peut être plus basse quand beaucoup de constats moyens ou plusieurs constats élevés s'accumulent.
  • Pour les pages qui ont un référentiel (Analyses AD : points de contrôle de l'ANSSI ; Microsoft 365 : contrôles), la couverture est écrite à côté (« 72/100 — couverture 25 % ») : les points non évalués ne changent pas le score, qui peut donc baisser quand de nouveaux points sont évalués.
  • Quand rien n'a été analysé (source jamais synchronisée), la page affiche « Pas encore de données » au lieu d'un faux « A ».
  • La page « Méthode » donne le calcul de ce rapport : plafond appliqué (seulement s'il limite vraiment le score) et trois plus grosses pénalités. Sur la page Analyses AD, la carte du score nomme aussi ce qui coûte le plus.
• Une phrase de synthèse, écrite en mots simples : le point le plus grave, le nombre de risques importants, et le reste qui relève de l'hygiène courante.
• Trois graphiques : la répartition par gravité (anneau, avec le total au centre), les domaines où se trouvent les risques (barres, avec la valeur écrite au bout : le rapport reste lisible imprimé en noir et blanc), et l'évolution du nombre de points.
• Les trois priorités, regroupées par règle (« 4 éléments concernés » plutôt que 4 lignes identiques), avec pour chacune l'impact, l'effort, le délai conseillé et l'équipe concernée.
• Ce que nous attendons de la direction : une à trois décisions déduites des priorités (valider une intervention, accepter une fenêtre de maintenance, arbitrer un surcoût, accepter un risque par écrit), puis le commentaire facultatif de l'auteur.

Pages suivantes :

• Annexe technique : les constats groupés par gravité puis par catégorie. Chacun commence par une ligne « En clair » (ce qui se passe et ce que cela change pour l'entreprise), puis le détail technique, pourquoi c'est un risque, la recommandation, et une ligne « Effort · Délai conseillé · Responsable · Détecté le ». Au-delà de 3 ressources pour une même règle, un seul bloc liste les ressources concernées.
• Risques acceptés, dans une section à part (qui, quand, justification, échéance), jamais mélangés aux constats ouverts.
• Méthode : règle de la note, sources lues et date de dernière synchronisation, angles morts de l'analyse, définition des gravités.

Pour les Analyses AD, chaque constat porte aussi la ligne MITRE ATT&CK (techniques de la matrice publique de MITRE), reprise dans la colonne Techniques ATT&CK des exports Excel et CSV.

Au-delà de 10 000 constats, l'annexe ne présente que les 500 plus graves et le dit ; l'export Excel reste complet.

Commentaire pour la direction

Dans le menu ↓ Exporter, le champ Commentaire pour la direction (400 caractères au plus) est repris en bas de la page 1 du PDF. Il n'apparaît ni dans le fichier Excel ni dans le CSV. Le texte est affiché tel quel : aucune mise en forme n'est interprétée.

L'évolution

La courbe montre les six derniers points comparables : même page, même périmètre, mêmes filtres.

Pour un export global et sans filtre d'une page d'analyse, ces points sont les instantanés des tableaux de bord (Tableaux de bord : réglables, pris chaque jour par défaut). Un point où la source de la page était en panne est écarté : une panne n'est donc jamais lue comme une baisse.

Les exports filtrés ou à périmètre restreint gardent leurs propres points : InfraRiver ne conserve alors que des compteurs (par gravité), jamais le contenu des constats, à chaque export PDF.

Sans aucun point précédent, il n'y a pas de courbe (« La courbe d'évolution apparaîtra au prochain rapport »).

Les textes « en clair »

Les phrases de la page 1 et les lignes « En clair » viennent d'un dictionnaire de vulgarisation livré avec InfraRiver : chaque règle d'analyse de chaque page y a son titre en mots simples, son impact, son effort, son délai et son équipe par défaut. La page Référentiels de durcissement (SCAP) n'a pas de note : elle ne mesure aucun écart de conformité, seulement des exceptions documentées.

Droits et limites

• Il faut le droit Rapports — Exporter les analyses (accordé par défaut aux rôles Administrateur, Auditeur et Opérateur), en plus du droit de lire la page. Sans lui, le bouton n'apparaît pas.
• Un rôle à périmètre restreint n'exporte que les constats de son périmètre ; les identifiants de compte, de tenant ou de clé sont masqués comme à l'écran pour qui ne gère pas les connecteurs. Aucun secret ne figure jamais dans un export.
• 20 exports par heure et par utilisateur (réglable dans Administration → Système) ; au-delà, un message l'indique.
• Chaque export est inscrit au journal d'audit (utilisateur, page, format, filtres, nombre de constats).
• Dans les fichiers Excel et CSV, un texte qui commencerait par =, +, - ou @ est précédé d'une apostrophe : il ne peut pas être interprété comme une formule.

Régler le nom de l'organisation et l'adresse des liens

Administration → Système → Organisation et adresse d'InfraRiver : le nom de l'organisation apparaît sur la page de garde ; l'adresse d'InfraRiver est celle que reprend la colonne « Lien » des exports, les liens des alertes et du résumé DashRiver par e-mail, et les adresses de retour des connexions SSO (OIDC) et de Gmail (sans elle, l'adresse utilisée par la personne qui se connecte : renseignez-la, c'est elle qui fait foi).