Tableaux de bord

Les tableaux de bord réunissent, sur une seule page, des briques : chacune répond à une question (« Qui peut tout faire ? », « Quelles GPO ont changé ? »…) à partir de ce que lisent vos connecteurs.

Pages : Analyse → Tableaux de bord, vue Sécurité (/tableaux-de-bord/securite) et vue Direction (/tableaux-de-bord/direction).

Il faut le droit Tableaux de bord — Ouvrir les tableaux de bord, accordé par défaut à tous les rôles intégrés sauf « Sans permission ».

Deux choses différentes

Cette page est celle d'InfraRiver. Pour brancher votre propre Grafana sur les indicateurs, voir Tableaux de bord Grafana — DashRiver.

La mise en page

Les trois vues (Exploitation, Sécurité, Direction) ont la même mise en page :

Une rangée de chiffres clés en tête (4 à 6 vignettes de même taille) : la question en court, le grand chiffre, l'évolution écrite (« +1 en 10 heures ») et une petite courbe des instantanés. Une vignette ouvre la page filtrée quand votre rôle y a accès.
Des sections titrées (par exemple « Identités et droits », « Exposition et failles », « Conformité » pour la Sécurité ; « Ce qu'il faut décider », « Notes par domaine », « À venir et engagé » pour la Direction). Une section sans brique n'est pas affichée.
Une grille de 12 colonnes, avec trois largeurs seulement (un tiers, la moitié, toute la largeur) : toutes les briques d'une même rangée ont la même hauteur, aucune n'a de barre de défilement. Une liste affiche au plus 5 lignes (3 avec un grand chiffre), puis « et N autres » ou « Voir les N », qui ouvre la page filtrée.
Un pied de brique d'une seule ligne : à gauche les sources et la date des données, à droite l'évolution (survolez-la pour voir la courbe) ou le lien « Voir les N ».
Un bandeau « Que ne voit-on pas ? » en bas de page, sur une ligne ; « Voir le détail » l'ouvre.
En-tête : « Données du … » (date du dernier instantané), Droits DashRiver, Rapport PDF et Personnaliser.

La vue Exploitation regroupe les valeurs équivalentes d'environnement : prod, Prod et Production forment « Production ». Elle écrit à part « N serveurs sans environnement renseigné — Les classer ».

La table de correspondance se règle sur la page Droits DashRiver, carte « Regroupement des environnements » : une ligne par groupe, par exemple Production = prod, production, prd.

Son tableau « Quels serveurs demandent une intervention ? » est trié par nombre de CVE. Sur téléphone, les briques s'empilent sur une colonne.

Filtrer par équipe, responsable, application ou environnement

Sous le titre de chaque vue, la barre de filtres Équipe · Responsable · Application · Environnement · Criticité (criticité métier du serveur) restreint les chiffres aux serveurs concernés.

Les filtres actifs sont écrits sous la barre (« Filtre actif : environnement : Production ») ; Effacer les retire. Le filtre est dans l'adresse de la page : copiez-la pour le partager.
Le filtre s'ajoute à vos droits, il ne les élargit jamais : un rôle limité à ses serveurs reste limité.
Le lien d'une brique ouvre la liste de serveurs avec le même filtre : le nombre affiché est celui de la liste.
Une brique dont la source n'a pas de lien avec un serveur (Entra ID, Microsoft 365, comptes cloud, pages d'analyse) ne peut pas appliquer le filtre : elle reste affichée avec la mention « non filtrée par … », jamais un chiffre qui semble filtré sans l'être. Les vues Exploitation et les briques « Des failles exploitées touchent-elles nos serveurs ? » et « Qu'est-ce qui est exposé à Internet ? » (part serveurs) sont filtrées.
L'historique (courbes, tendances) ne garde que la vue sans filtre : la brique écrit « historique disponible sans filtre seulement ». Le rapport PDF porte toujours sur tout le parc ; le bouton l'indique tant qu'un filtre est actif.
Enregistrer ce filtre (nom) le garde pour vous et pour cette vue ; la liste « Mes filtres » le retrouve en un clic. Un administrateur de DashRiver peut enregistrer, avec la vue par défaut d'un rôle, un filtre que les personnes de ce rôle voient par défaut (« Effacer » le retire pour la visite).

Qu'est-ce qui a changé ?

Le menu Changements depuis de la barre de filtres (hier, lundi, ma dernière visite, ou une date) fait écrire à chaque brique et à chaque vignette ce qui a bougé :

« +2 nouveaux · −1 résolu depuis hier » quand la source fournit des clés stables des éléments comptés (comptes, GPO, serveurs exposés…) : InfraRiver compare ce que contenait l'instantané de référence et ce qui est compté maintenant. Les instantanés ne gardent que des empreintes de ces clés, jamais un nom.
« +2 depuis hier » quand la source n'en fournit pas, ou que l'instantané de référence a été pris avant que les clés soient gardées : seul l'écart du total est écrit, jamais un « nouveau » inventé.
« Écart non comparable » quand les sources qui répondent ne sont plus les mêmes qu'au moment de référence : brancher ou perdre une source n'est pas un changement du chiffre.
« Pas d'instantané avant hier » quand aucun instantané n'est assez ancien. Pour la note de la vue Direction : ↑ / ↓, l'écart en points et le changement de lettre.

Ma dernière visite est la date de votre ouverture précédente de cette vue (recharger la page dans la demi-heure n'est pas une nouvelle visite) ; à la première visite, la barre l'écrit. L'historique reste celui de la vue sans filtre de périmètre.

Notes sur les courbes

Une personne qui a le droit « Droits DashRiver » ajoute, sous la vue, une note datée (« migration AD le 12/10 ») : elle apparaît sur les courbes de la vue et dans le rapport PDF de la Direction, pour qu'une variation ne soit pas lue sans son explication. Chaque ajout et chaque suppression est inscrit au journal d'audit.

Suivre les corrections par équipe

Un chiffre ne corrige rien : Créer une action confie la correction à une équipe ou à une personne, avec une échéance.

Le lien Créer une action figure sur chaque ligne d'une brique de liste (au niveau « Détails ») et sur chacune des trois priorités de la vue Direction. Le formulaire propose l'équipe et le responsable du serveur concerné quand l'élément en est un (pour une priorité : l'équipe qu'elle désigne), et une échéance selon la gravité (par défaut : critique 7 jours, élevée 30, moyenne 90, faible 180 ; réglable sur la page « Droits DashRiver », carte « Échéance proposée pour une action de correction »). Il faut une équipe ou un responsable : une action sans personne n'est pas suivie.
Un élément qui a déjà une action ouverte l'indique (« action en cours · échéance le … ») au lieu d'en proposer une deuxième.
L'onglet Actions liste les actions (ouvertes, résolues par la correction, closes à la main ; filtre « en retard seulement »). Le droit « Tableaux de bord — Créer, suivre et clore des actions de correction » (administrateur et opérateur par défaut) permet de les créer et de les clore.
Clôture : une action se ferme toute seule (« résolue par la correction ») quand le suivi a vu l'élément compté puis l'a vu disparaître à l'instantané suivant ; une action dont l'élément n'a jamais été observé par le suivi reste ouverte jusqu'à ce que quelqu'un la clôture avec un motif obligatoire. Chaque création et chaque clôture est inscrite au journal d'audit.
Brique Quelles corrections sont en retard ? (vues Sécurité et Exploitation) : le nombre d'actions dont l'échéance est passée, par équipe, avec le plus ancien retard ; « Voir les N » ouvre la liste.
Brique Les équipes corrigent-elles dans les délais ? (vue Direction, pleine largeur) : par équipe, les constats ouverts, les actions ouvertes et en retard, le délai moyen de correction (de la première détection à la disparition, sur 90 jours) et la part des actions corrigées dans le délai. La mesure démarre au premier instantané suivant la livraison : la brique écrit « Mesuré depuis le … » et ne prétend rien sur le passé.

Ce n'est pas un ticket GLPI ou ServiceNow : ces connecteurs ne font que lire. Les actions sont propres aux tableaux de bord.

Alertes, résumé hebdomadaire et seuils de couleur

« Prévenez-moi si… » — l'icône cloche d'une brique crée une règle qui est vôtre. Quatre conditions sont possibles :

le total dépasse ou passe sous un nombre ;
un nouvel élément apparaît (seulement quand la source donne des clés stables) ;
la note passe sous une lettre (« sous C » veut dire D ou E) ;
une échéance est à moins de N jours.

La règle garde le filtre de périmètre actif au moment de sa création.

Les règles sont évaluées après chaque instantané, avec vos droits : aucune synchronisation de plus. Une règle dont la réponse est inconnue à ce moment (source en panne, source masquée depuis) n'envoie rien.
Une alerte part une seule fois par changement : quand la condition devient vraie, pas à chaque instantané ; une règle réactivée repart de ce qu'elle voit et n'alerte pas sur ce qui existe déjà.
Elle arrive dans la messagerie InfraRiver et, si vous le choisissez et que le service d'e-mail est configuré, par e-mail avec un lien vers la vue (avec son filtre).
L'onglet Alertes liste vos règles (activer, désactiver, supprimer), les dernières alertes parties et votre résumé. Création, activation et suppression sont inscrites au journal d'audit. Cinquante règles au plus par personne.

Résumé hebdomadaire — sur l'onglet Alertes, vous le demandez (désactivé par défaut), puis choisissez le jour et l'heure. C'est un e-mail court, dix lignes au plus avec un lien par ligne :

la note et son évolution sur 7 jours ;
ce qui a bougé ;
les alertes parties dans la semaine ;
les échéances à moins de 90 jours ;
les actions en retard.

Il est calculé avec vos droits : une ligne que vous ne pouvez pas voir n'y est pas. Il est distinct du rapport PDF d'une vue, qui reste le document de la direction. « Envoyer maintenant » l'envoie tout de suite.

Seuils de couleur — une brique à chiffre affiche son statut écrit (« Sous les seuils », « À surveiller », « Seuil critique dépassé ») avec un point de couleur : la couleur ne porte jamais le sens seule. Un chiffre plus élevé est plus grave.

Les valeurs par défaut viennent du catalogue. Un administrateur de DashRiver les règle par brique et par rôle sur la page « Droits DashRiver », carte « Seuils de couleur des briques » (deux cases vides = retour au défaut). Chaque changement est inscrit au journal d'audit.

Exceptions : toujours une date de fin

Exclure un objet des chiffres, c'est accepter le risque sur la page d'analyse concernée (Active Directory, Entra ID, Microsoft 365, AWS, Azure). Pour que cette exception ne devienne jamais un oubli :

la date de fin est obligatoire : 30 jours, 90 jours, 6 mois ou 1 an au plus (l'ancienne durée « sans limite » n'est plus offerte) ; une justification de 5 caractères au moins est toujours demandée ;
le formulaire demande un motif : « Risque accepté » ou « Objet de test » (une ressource de démonstration). Les tableaux de bord les comptent à part : la brique « Quels risques avons-nous acceptés ? » écrit « Par motif : N risques acceptés · M objets de test » ;
la brique Quelles exceptions expirent ce mois-ci ? (vues Sécurité et Direction) liste, par page, les exceptions qui se terminent dans les 30 jours ; au niveau « Détails », les prochaines avec leur objet et la personne qui les a acceptées ;
14 jours avant la fin, la personne qui a accepté le risque reçoit un message (messagerie InfraRiver, et e-mail si le service est configuré), une seule fois par échéance ;
à la date de fin, l'objet revient dans les chiffres et l'exception est terminée ; elle n'est jamais prolongée automatiquement : la renouveler, c'est l'accepter de nouveau avec une nouvelle justification.

Les exceptions acceptées avant cette règle sans date de fin restent affichées « sans limite » ; la brique « Quels risques avons-nous acceptés ? » les signale comme jamais revues.

Dossier d'audit

Sur les pages de conformité qui ont un référentiel — Analyses Active Directory (les points de contrôle de l'ANSSI) et Conformité Microsoft 365 — le bouton Dossier d'audit télécharge une archive ZIP à remettre à un auditeur :

Fichier	Contenu
`01-etat-….pdf`	Le rapport de la page, tel qu'exporté.
`02-constats.csv`	Chaque constat, avec ses dates de première détection et de dernière vue.
`03-exceptions.csv`	Les risques acceptés : qui, quand, pourquoi, motif, jusqu'à quand (ou « sans date de fin » pour une ancienne exception jamais revue).
`04-historique-note.csv`	Le score de la page à chaque instantané.
`00-lisez-moi.txt`	Qui l'a généré, quand, pour quel périmètre, avec quelle version.
`MANIFEST.sha256`	L'empreinte SHA-256 de chaque fichier : `sha256sum -c MANIFEST.sha256` vérifie qu'aucun n'a été modifié après coup.

Il est produit avec vos droits et votre périmètre (jamais plus riche que la page) : il faut le droit d'ouvrir les tableaux de bord et celui d'ouvrir la page. Chaque téléchargement est inscrit au journal d'audit (qui, quand, quel référentiel). NIS2 et ISO 27001 n'ont pas de correspondance dans InfraRiver : ils ne sont pas proposés.

Ce que montre une brique

La question, avec une info-bulle qui dit ce qui est compté et ce qui ne l'est pas.
La réponse : un nombre, une répartition (barres, chaque valeur écrite) ou une courte liste.
Les sources qui ont répondu, avec la date des données.
Un clic ouvre la page d'inventaire ou d'analyse déjà filtrée : le nombre affiché est celui de la page ouverte.

Chaque brique se charge seule : une brique lente n'empêche pas les autres de s'afficher. Au-delà de deux secondes, elle écrit « en cours » et se complète d'elle-même ; le bouton ↻ la recalcule tout de suite.

Une question à laquelle aucune source ne répond n'affiche jamais 0 : elle n'a pas de brique et apparaît dans « Angles morts ».

La vue Direction

Pour un dirigeant : une note, ce qui la fait, ce qui est attendu de lui. Elle reprend exactement les calculs du rapport PDF pour une direction (Exporter un rapport) : aucune nouvelle règle de notation, aucun texte nouveau. Elle ne répète pas la vue Sécurité : elle répond à des questions que celle-ci ne pose pas.

Brique	Ce qu'elle dit
Quelle est notre note de sécurité ?	Le plus bas score (sur 100) parmi les pages d'analyse notées, sa lettre A à E (tranche du score : règle du score), avec la ou les pages qui le portent (« D — à cause de : Active Directory, Entra ID »), une phrase de synthèse, et le score de chaque page avec sa couverture quand elle existe. Les risques acceptés ne comptent pas.
Atteindrons-nous notre objectif ?	Le score global actuel, l'objectif fixé par la direction (avec une date si elle en a une), le rythme mesuré (« +3 par mois ») et la projection : « au rythme actuel, objectif atteint vers mars 2027, après l'échéance ». C'est une droite tirée entre deux points, pas une prévision.
Quelles sont les trois priorités ?	Les trois règles les plus graves, toutes pages confondues, rangées comme dans le rapport (gravité, puis nombre d'éléments) : impact, effort, délai conseillé et équipe. Un lien ouvre la page d'analyse filtrée sur la règle quand la page sait filtrer ainsi, sinon la page elle-même.
Qu'attend-on de la direction ?	Une à trois décisions déduites de ces priorités (valider une intervention, accepter une fenêtre de maintenance, arbitrer un surcoût, accepter un risque par écrit).
Quels risques avons-nous acceptés ?	Par page d'analyse : combien de risques ont été acceptés, combien n'ont aucune échéance (une acceptation sans fin n'est jamais revue), combien expirent sous 30 jours, combien ont expiré depuis moins de 30 jours. Au niveau « Détails » : les cinq plus anciens sans échéance et les cinq prochains à expirer (qui, quand, justification tronquée à 120 caractères). Un clic ouvre la page filtrée sur ses constats acceptés.
Qu'est-ce qui arrive à échéance ?	Les dates des 12 prochains mois qui demandent une décision, la plus proche d'abord : fin de support d'un produit (EOLRIVER) ou d'un service géré AWS et Azure, fin d'une extension de support déclarée, certificats qui expirent (une ligne par mois). Les 90 prochains jours portent la pastille « dans moins de 90 jours ». Dix lignes au plus, puis « et N autres ». Aucun montant : InfraRiver ne connaît pas les coûts.
Que ne voit-on pas ?	Une ligne par page d'analyse, avec le nombre de limites de lecture à connaître et le lien vers la page qui les détaille ; puis la fraîcheur des sources : « Toutes les sources sont à jour », ou « 9 sources sur 11 à jour » avec les sources en retard (données du …, jamais synchronisée, erreur de calcul) et le lien vers la page de leur connecteur.

Dans la vue Direction, « Où en est-on ? » prend la forme de vignettes par page d'analyse (lettre et score, cliquables), sous le titre « Notes par domaine ». La vue Sécurité garde la liste complète (critiques, élevés).

La brique Qu'est-ce qui fait la note ? donne le nombre de constats par urgence :

critiques : immédiat ;
élevés : ce mois-ci ;
moyens et faibles : hygiène.

Une vue que vous aviez déjà enregistrée garde ses briques : les nouvelles sont annoncées par la pastille « N nouveaux indicateurs ».

Fixer un objectif

Sous la brique « Atteindrons-nous notre objectif ? », le bouton Régler l'objectif (droit « Tableaux de bord — Droits DashRiver ») demande un score visé (1 à 100) et une date facultative. Un seul objectif pour toute l'installation, calculé sur l'ensemble du parc ; le laisser vide le supprime. Chaque modification est inscrite au journal d'audit.

Le rythme et la projection suivent une règle de prudence : ils ne s'affichent qu'avec au moins 4 mesures comparables sur au moins 28 jours. Deux mesures sont comparables quand le même ensemble de pages était noté et que toutes leurs sources répondaient.

Quand une page est ajoutée ou retirée, la courbe porte une marque (« nouvelle page notée : Entra ID ») et le rythme repart de là : brancher un connecteur ne ressemble jamais à une régression.

Situation	Ce que la brique écrit
Pas encore 4 mesures comparables sur 28 jours	« Rythme pas encore mesurable », avec la date au plus tôt
Rythme nul, négatif ou trop lent pour tenir deux fois le délai restant	« au rythme actuel, l'objectif ne sera pas atteint », sans date

Exporter un rapport et le recevoir par e-mail

Chacune des trois vues (Exploitation, Sécurité, Direction) porte, en haut de page, la carte Rapport de la vue … — export et envoi par e-mail (droit « Tableaux de bord — Droits DashRiver »). Elle fait deux choses :

Exporter le rapport (PDF) télécharge tout de suite un PDF de quelques pages avec les chiffres de la vue : pour la Direction, la note, la courbe sur 12 mois, l'objectif, les priorités, les risques acceptés, les échéances et la fraîcheur des sources ; pour la Sécurité, la réponse de chaque brique ; pour l'Exploitation, les chiffres de l'infrastructure et les serveurs par environnement.
Envoi automatique envoie ce même PDF par e-mail à la périodicité de votre choix : tous les jours, toutes les semaines (jour au choix), tous les mois ou tous les trimestres (jour du mois au choix, au premier mois de chaque trimestre), à l'heure indiquée (heure du serveur).

Le PDF est toujours au niveau Chiffres, pour l'ensemble du parc, quel que soit le destinataire : aucun nom d'objet, de compte, de serveur ou de personne, aucune justification. Un PDF envoyé par e-mail sort du produit, il ne doit rien contenir qu'on regretterait de voir transféré. Il porte « Diffusion restreinte » et la date de calcul.

Qui peut les régler. Le rapport est calculé pour l'ensemble du parc : la carte, les réglages, l'envoi et le téléchargement sont donc réservés aux personnes qui ont le droit « Droits DashRiver » et voient tous les serveurs (droit de lecture globale des serveurs). Une personne limitée à quelques serveurs ne voit pas la carte.
Réglages par vue : l'interrupteur « Envoi automatique » (désactivé à l'installation), les destinataires (dix adresses au plus), la périodicité, le jour et l'heure. Chaque vue a ses propres réglages.
Il faut que le service d'e-mail soit configuré (Administration → SMTP) ; sinon la carte le dit et rien n'est envoyé.
En cas d'échec : une nouvelle tentative une heure plus tard, puis l'erreur est affichée sur la carte et dans « Angles morts » de la vue.
Envoyer maintenant envoie le rapport aux destinataires tout de suite (une fois par heure au plus et par vue).
Les douze derniers rapports envoyés de chaque vue sont conservés et téléchargeables depuis la carte. Chaque réglage, chaque envoi et chaque téléchargement est inscrit au journal d'audit, avec les adresses des destinataires.

Ce que la note ne mélange pas :

une page sans donnée (source jamais synchronisée) ou non notée (la page des référentiels de durcissement recense des exceptions documentées, pas un niveau de risque) n'entre pas dans le calcul ; elle est écrite comme telle ;
sans aucune page notée, la brique écrit « Pas encore de note : aucune page d'analyse n'a de données » au lieu d'un faux « A » ;
une page dont la source vous est masquée par les droits DashRiver n'entre pas non plus dans la note, qui est suivie de « N page(s) masquée(s) (droits) » ;
votre note est calculée sur votre périmètre : un rôle restreint à ses serveurs voit la note de ses serveurs.

La courbe d'évolution arrive avec les instantanés : la brique écrit « Évolution disponible à partir du deuxième instantané ». Elle porte aussi la ligne de l'objectif.

Un rôle au niveau Chiffres voit les notes, les nombres et les priorités en langage clair, sans aucun nom d'objet ; le lien vers une page n'est actif que s'il a le droit de l'ouvrir, sinon il est grisé (« détail réservé »).

La page d'accueil

Trois vues, que des onglets relient en haut de chaque page : Exploitation (/tableaux-de-bord/exploitation), Sécurité et Direction.

Exploitation est la page d'accueil qu'InfraRiver a toujours ouverte (taille du parc, alertes, patchs, conformité de patching) : rien n'en est retiré, elle a seulement une adresse propre.
/ (le lien « Dashboard ») affiche la vue d'accueil du rôle de la personne connectée. Par défaut : Sécurité pour le rôle Auditeur, Exploitation pour tous les autres rôles (Administrateur et Super Admin compris, intégrés ou personnalisés) : une mise à jour ne change donc la page de départ de personne, sauf celle des auditeurs.
Un compte qui n'a aucune permission de tableau de bord (ni « Tableaux de bord — Voir le dashboard », ni « Ouvrir les tableaux de bord », comme le rôle « Sans permission ») ne voit ni vue ni menu : / affiche seulement « Aucun tableau de bord ». Un rôle qui a l'ancien droit « Voir le dashboard » mais pas celui d'ouvrir les tableaux de bord ouvre la vue Exploitation, sans onglets.
L'administrateur règle l'accueil de chaque rôle dans Droits DashRiver, carte « Page d'accueil de chaque rôle » (droit « Tableaux de bord — Droits DashRiver »). Le changement est inscrit au journal d'audit et vaut à la prochaine ouverture de /. Un client orienté sécurité bascule le rôle de son choix en un clic, y compris vers Direction.

La vue Sécurité

Chaque brique répond à une question à partir des connecteurs installés (16 questions). Une question sans source n'a pas de brique : elle est écrite dans « Angles morts ».

Brique	Ce qu'elle compte	Un clic ouvre
Où en est-on ?	Pour chaque page d'analyse : la note de A à E, les constats critiques et élevés, les risques acceptés	la page d'analyse
Qui peut tout faire ?	Les comptes privilégiés actifs (un compte désactivé n'est pas compté), source par source — Active Directory, Entra ID, Linux — avec les comptes humains et les applications séparés. Un compte AD et le compte Entra ID synchronisé depuis lui sont une seule personne : « 12 comptes (dont 2 comptés par deux sources) »	la liste des comptes filtrée (« Comptes actifs seulement »)
Quelles GPO ont changé ?	Les changements de version de stratégies de groupe détectés dans les 7 derniers jours	l'historique des versions, filtré
Les GPO ouvrent-elles un chemin d'attaque ?	Constats de droits d'édition, de propriétaire inattendu, de mot de passe récupérable (cpassword) et de SID orphelin ; le total compte chaque GPO une fois	les constats filtrés sur ces règles (GpoRiver ou Analyses AD)
Kerberos est-il fragile ?	Mot de passe `krbtgt` ancien, délégations dangereuses, comptes exposés à l'AS-REP, SPN sur compte privilégié, chiffrement DES seul	Analyses AD filtrées sur ces règles
Des failles exploitées touchent-elles nos serveurs ?	Les serveurs de votre périmètre qui ont une CVE ouverte listée comme activement exploitée (KEV)	la liste des serveurs filtrée (critère « CVE ouverte exploitée »)
Où en est-on face à l'ANSSI ?	Les 76 points de contrôle par statut (satisfaits, partiels, non satisfaits, non évalués) et le niveau indicatif ; un point non évalué n'est jamais un succès	le tableau des points, déjà filtré sur le statut
Microsoft 365 est-il bien configuré ?	Les contrôles par statut et le Secure Score	la page Conformité Microsoft 365, filtrée sur le statut

| Qui a obtenu des droits d'administration récemment ? | Les chemins d'administration apparus ces 7 derniers jours (Entra ID, droits d'édition de GPO). La toute première synchronisation d'une source n'est pas comptée : tout y paraîtrait nouveau. Les autres sources (vCenter, Linux, Active Directory) n'ont pas de page qui liste leurs chemins : elles ne sont pas comptées, et c'est écrit dans « Angles morts » | la liste filtrée « vus pour la première fois depuis le … » | | Qu'est-ce qui est exposé à Internet ? | Les constats d'exposition d'Azure et d'AWS, et les serveurs dont la zone d'exposition est « internet » (« 2 serveurs exposés à Internet, sur 5 dont la zone d'exposition est renseignée »). Les serveurs sans zone renseignée ne sont pas comptés : « Angles morts » en donne le nombre, avec un lien qui ouvre exactement ces serveurs | les constats d'exposition ; la liste des serveurs filtrée sur la zone | | L'AD peut-il compromettre le cloud ? | Serveurs et comptes de synchronisation AD → Entra, domaines fédérés, comptes synchronisés porteurs d'un rôle sensible | l'onglet des chemins d'Entra ID (« Pivot AD → Entra », « Domaine fédéré ») ou l'onglet Analyses | | Les comptes privilégiés sont-ils sains ? | Active Directory : mot de passe sans expiration, compte inactif, mot de passe jamais changé (pour les comptes privilégiés seulement), SPN, adminCount périmé, désactivé mais encore membre d'un groupe privilégié ; Entra ID : sans MFA, MFA faible, exclu d'une politique MFA, dormant, invité, désactivé, secret de service principal expiré ou ancien | Analyses AD ou Analyses Entra ID, filtrées | | Quelles applications ont trop de droits ? | Les permissions Graph dangereuses détenues par des applications (une application peut en avoir plusieurs) ; la liste montre celles qui en ont le plus | l'onglet des chemins d'Entra ID, « Permission Graph dangereuse » | | Des systèmes ne sont-ils plus maintenus ? | Systèmes d'exploitation : fin de support, support étendu payant et maintenance (EOLRIVER), versions de services Azure en fin de support, ordinateurs AD en fin de support. Un serveur vu par plusieurs sources n'est compté qu'une fois | EOLRIVER filtré sur le statut, Analyses Azure ou Analyses AD | | Des bases de données, runtimes ou middlewares ne sont-ils plus maintenus ? | Logiciels installés dont l'éditeur ne publie plus de correctifs (PostgreSQL, Java, nginx, Tomcat…), en support étendu payant ou en maintenance : une ligne par logiciel et par serveur, comptée en logiciels (un serveur peut en porter plusieurs) | EOLRIVER filtré sur les logiciels et sur le statut |

Le nombre affiché est celui de la page

Chaque nombre est celui des lignes de la page qu'ouvre le clic, avec les mêmes filtres et le même périmètre « mes serveurs ». Si un rôle n'a pas le droit d'ouvrir la page, le lien est grisé mais le nombre reste visible quand la matrice le permet.

Rapidité

Les briques d'un rôle qui voit tout le parc sont calculées une fois pour tout le rôle et gardées cinq minutes. Une tâche prépare les vues de chaque rôle qui s'est connecté dans les dernières 24 heures, pour que la première personne du matin les trouve prêtes.

Un rôle limité à ses serveurs a ses propres calculs (une minute), jamais partagés. Le bouton ↻ d'une brique la recalcule tout de suite.

Sur un parc de 5 000 serveurs, la page s'affiche en moins d'une seconde et chaque brique se complète en quelques secondes au plus.

Évolution et instantanés

Les courbes viennent des instantanés : à chaque instantané, InfraRiver note la valeur de chaque indicateur sur tout le parc (jamais sous le compte d'une personne) et l'état de chaque source. Ils se règlent sur la page DashRiver (/dashriver/, carte « Instantanés », droit « Tableaux de bord — Droits DashRiver »).

Réglage	Par défaut	Rôle
Fréquence	quotidienne	quotidienne, ou hebdomadaire (le lundi)
Heure	6 h (heure du serveur)	heure à partir de laquelle l'instantané planifié est pris
Conservation détaillée	90 jours	chaque instantané est gardé pendant cette durée
Conservation réduite	730 jours	au-delà, un seul point par semaine est gardé (le dernier planifié de la semaine, sinon le dernier manuel), puis plus rien

Un instantané planifié refait dans la même période (même jour, ou même semaine) remplace le précédent ; il n'en reste donc qu'un par période.
Le bouton Prendre un instantané maintenant ajoute un point « manuel » (avant et après une correction, ou pour une réunion). Il ne remplace jamais un instantané planifié ; il est limité à un toutes les 10 minutes (le bouton se grise et indique l'heure du prochain), et il est inscrit au journal d'audit.
Un premier instantané est pris au premier démarrage après l'installation ou la mise à jour : la courbe commence tout de suite.
Une question sans aucune source n'a pas de point : jamais de zéro inventé.

Sur chaque brique à chiffre, une ligne donne la tendance (« +3 en 7 jours », « inchangé depuis 4 semaines » : la durée est celle qui sépare réellement les deux points) et une courbe s'ouvre au clic.

Sur le score global de la vue Direction, la courbe suit le plus bas score de chaque instantané ; elle commence au premier instantané qui porte un score (les plus anciens ne sont ni tracés ni convertis). Tant qu'il n'y a qu'un point, la brique écrit « Évolution disponible à partir du deuxième instantané (prévu le …) ».

Les mêmes instantanés sont lisibles par votre propre Grafana, dans la vue vw_dash_indicators : voir Tableaux de bord Grafana.

Une panne n'est jamais une amélioration

Si un connecteur ne répondait pas le jour d'un instantané, le point est dessiné creux, avec l'explication « indisponible ce jour-là », et il n'entre pas dans la tendance : une baisse due à une panne n'est jamais présentée comme une baisse des constats.

Une source qui n'apparaît plus dans aucun instantané depuis plus de 7 jours (connecteur désinstallé, données purgées) est considérée comme retirée, pas en panne. Les points suivants ne sont plus creux et la courbe porte la marque « source retirée : … ».

La tendance ne compare jamais des mesures d'avant et d'après son départ : le chiffre baisse parce que la source est partie, pas parce que la situation s'améliore. Quand la tendance affichée n'est pas celle des dernières mesures, elle porte la date de la dernière mesure complète.

Une source qui répond encore, même en erreur, n'est jamais retirée.

Deux limites : la courbe n'est montrée qu'aux utilisateurs qui voient tout le parc (« Évolution disponible au périmètre global seulement » pour un rôle restreint à ses serveurs), et elle est masquée quand l'une des sources de la question vous est masquée par les droits DashRiver.

L'évolution d'un rapport PDF global et sans filtre est lue dans ces mêmes instantanés (Exporter un rapport).

Personnaliser une vue

Chaque personne arrange ses vues (Sécurité, Direction) : masquer, déplacer, ajouter, rétablir. On ne redimensionne pas (la taille est fixée par l'indicateur) et on ne compose pas librement : ce sont les indicateurs du catalogue.

Personnaliser (en haut à droite) passe la page en mode édition : chaque brique porte une poignée (glisser pour la déplacer dans sa section) et une croix (la masquer). Un indicateur ajouté se place dans sa section.
+ Ajouter un indicateur ouvre le catalogue de la vue : la question, ce qu'elle compte et les sources qui y répondent. Seuls figurent les indicateurs qui ont au moins un connecteur installé dont la source n'est pas au niveau « Aucun » pour votre rôle (Droits DashRiver), et qui ne sont pas déjà sur la page.
Enregistrer garde votre vue ; Annuler abandonne les changements ; Rétablir la vue par défaut supprime votre arrangement.

Quelle vue s'affiche : la vôtre si vous en avez enregistré une, sinon la vue par défaut de votre rôle, sinon l'ordre du catalogue.

Quand un connecteur est ajouté :

sans vue personnelle, vous voyez tout de suite les nouveaux indicateurs (vue du rôle ou du catalogue, à la fin) ;
avec une vue personnelle, votre arrangement n'est pas touché : une pastille « N nouveaux indicateurs disponibles » ouvre le catalogue. Un indicateur que vous avez masqué volontairement ne revient jamais tout seul ; enregistrer la vue vaut « vu ».

Quand un connecteur est désinstallé, sa brique reste dans votre vue, vide (« Plus aucune source ne répond à cette question »), et la question est écrite dans « Angles morts ».

Vue par défaut d'un rôle : avec le droit « Droits DashRiver », le sélecteur Vue par défaut du rôle ouvre le même mode édition sur la vue de ce rôle (bandeau « Vue par défaut du rôle … »). Elle s'applique aux personnes de ce rôle qui n'ont pas arrangé la leur ; chaque enregistrement ou rétablissement est inscrit au journal d'audit.

La page d'accueil de chaque rôle se règle au même endroit que les droits. Il n'y a pas de partage de vue entre personnes : la vue du rôle en tient lieu. Une vue personnelle est supprimée avec le compte.

Angles morts

La brique Que ne voit-on pas ? ne montre aucun chiffre. Elle liste :

les questions de la vue sans source installée ou active, avec les connecteurs qui pourraient y répondre (un lien ouvre la page du connecteur s'il est installé, sinon la liste des connecteurs) ;
ce que chaque source dit ne pas savoir lire (par exemple « droits Azure non lus », « MFA inconnue : licence Entra ID P1/P2 absente »).

Quand plusieurs sources comptent la même chose

InfraRiver n'additionne jamais à l'aveugle. Si la brique sait identifier les objets (le même compte vu dans l'AD et dans Entra ID), elle affiche le total sans doublon et l'écrit : « 12 comptes (AD 8, Entra 6, dont 2 comptés par deux sources) ». Sinon, elle montre seulement le détail par source.

Droits DashRiver : qui voit quoi

Analyse → Tableaux de bord → Droits DashRiver (/tableaux-de-bord/droits, droit Tableaux de bord — Droits DashRiver par rôle et par source, accordé à l'Administrateur). Une ligne par source, une colonne par rôle, trois niveaux :

Niveau	Ce que le rôle voit dans les briques de cette source
Aucun	Rien : la source n'est pas calculée, la brique écrit « 1 source masquée (droits) » sans la nommer
Chiffres	Nombres, notes, répartitions, sans aucun nom d'objet ; une liste affiche « détail réservé »
Détails	En plus, les listes nommées (comptes, GPO, serveurs, applications)

Ces droits ne valent que dans les tableaux de bord :

ils n'ouvrent aucune page : le clic sur une brique n'est actif que si le rôle a le droit d'ouvrir la page cible, sinon le lien est grisé (« détail réservé ») ;
ils ne lèvent pas le périmètre « mes serveurs » : un rôle restreint ne voit que ses serveurs.

À l'installation, chaque case reprend ce que le rôle voit déjà : « Détails » s'il ouvre les pages de la source, « Aucun » sinon, jamais « Chiffres ». Une mise à jour ne change donc rien pour personne. Une nouvelle source (nouveau connecteur) ou un nouveau rôle reçoit ses cases de la même façon. La colonne Super Admin est fixée à « Détails ».

Une case dont le niveau dépasse ce que donnent les droits de page porte la marque « contourne les droits de page ». Donner « Détails » sur une source de comptes ou de chemins d'administration affiche un avertissement : ce niveau contourne aussi le masquage des noms de comptes.

Chaque changement de case est inscrit au journal d'audit (rôle, source, ancien et nouveau niveau).