Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

Kostenloses Werkzeug

SBOM-Generator

Wählen Sie Ihren Projektordner oder seine Lock-Dateien: Sie erhalten eine Software-Stückliste in CycloneDX 1.6 oder SPDX, bereit für die Cyberresilienz-Verordnung, mit gekennzeichneten direkten Abhängigkeiten.

Läuft vollständig in Ihrem Browser: Nichts, was Sie eingeben oder öffnen, wird an uns gesendet oder gespeichert.

Nur Lock-Dateien und Manifeste werden gelesen; node_modules, Build-Ausgaben und alles andere werden übersprungen.
package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, uv.lock, go.mod, Cargo.lock, composer.lock, Gemfile.lock, packages.lock.json, gradle.lockfile, pom.xml. Fügen Sie package.json, pyproject.toml, Cargo.toml oder composer.json hinzu, um die direkten Abhängigkeiten zu kennzeichnen. Bei mehreren Projekten in einem Repository wählen Sie den Ordner.
Format

Was diese SBOM abdeckt, und was nicht

Die SBOM führt auf, was Ihre Lock-Dateien festlegen: jedes Paket mit seiner genauen Version und Package URL (purl), die direkten Abhängigkeiten gekennzeichnet, wenn ein Manifest sie nennt, und die Entwicklungsabhängigkeiten als nicht ausgeliefert gekennzeichnet. Sie wird von derselben Open-Source-Engine wie Provetry erzeugt, provetry-core, hier in Ihrem Browser.

Eine Lock-Datei sieht nicht alles, was Sie ausliefern: C-Bibliotheken in Python-Wheels oder Rust-sys-Crates, die Pakete eines Container-Images, eine mitgelieferte Laufzeitumgebung. Eine pom.xml allein liefert nur die direkten Abhängigkeiten; für den vollständigen Java-Baum nutzen Sie das CycloneDX-Plugin für Maven oder Gradle. Die Leitfäden zu den Ökosystemen sagen, was jeweils hinzukommt.

Ab dem 11. Dezember 2027 verlangt Anhang I Teil II der Cyberresilienz-Verordnung eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene erfasst. CycloneDX und SPDX eignen sich beide; sie gehört zur technischen Dokumentation und muss nicht veröffentlicht werden.

provetry-core ist freie Software unter der Lizenz AGPL-3.0: sein Quellcode.

Eine SBOM ist eine Momentaufnahme

Der CRA erwartet sie bei jeder Version aktuell und die enthaltenen Schwachstellen täglich überwacht. Provetry erzeugt sie bei jedem Release-Tag aus Ihrer CI, bewahrt die Kopie jeder Version auf und meldet sich, wenn eine ausgenutzte Schwachstelle eine ihrer Komponenten betrifft. So funktioniert Provetry →

Weitere kostenlose Werkzeuge

  • security.txt-Generator und -Prüfer

    Erstellen Sie die RFC-9116-Datei, die Forschenden sagt, wo sie eine Schwachstelle melden können, oder prüfen Sie Ihre vorhandene.

  • CVSS-3.1-Rechner

    Bewerten Sie eine Schwachstelle anhand ihrer acht Basismetriken, oder fügen Sie einen Vektor ein, um ihn zu lesen.

  • CVSS-4.0-Rechner

    Die neuere CVSS-Version, berechnet mit dem Referenzverfahren von FIRST: Basismetriken oder ein beliebiger eingefügter Vektor.

  • EPSS-Score abfragen

    Wie wahrscheinlich eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird: der aktuelle Score von FIRST, für bis zu 30 CVEs auf einmal.

  • Generator für eine Offenlegungsstrategie

    Eine Strategie für die koordinierte Offenlegung von Schwachstellen in Ihren Produkten, bereit zur Veröffentlichung, auf Deutsch, Englisch oder Französisch.

  • SBOM-Viewer und -Prüfer

    Öffnen Sie eine CycloneDX- oder SPDX-Datei: ihre Komponenten und was der CRA erwartet, das noch fehlt.