Cyber Resilience Act européen · règlement 2024/2847
Quand l’horloge démarre, vous êtes prêts.
Provetry établit la nomenclature logicielle de vos produits, surveille chaque composant face aux vulnérabilités exploitées, et rédige les signalements que vous devez à l’ENISA.
Test gratuit, sans compte. Offres à partir de 0 €.
- Art. 14(2)(b)Notificationreste 2 j 18 h
- Art. 14(2)(c)Rapport finalDémarre à la sortie du correctif
Brouillon · alerte précoce
# Early warning: actively exploited vulnerability
Regulation (EU) 2024/2847, Article 14(2)(a)
Product: Gateway firmware 4.2 (connected device)
Affected component: libwebp 1.3.1 (fixed in 1.3.2)
Member States where the product is available: FR, IEDates clés
- 11 sept. 2026En vigueurLe signalement à l’ENISA des vulnérabilités activement exploitées et des incidents graves est devenu obligatoire, y compris pour les produits déjà sur le marché.
- 11 déc. 2027La plupart des autres obligations s’appliquent : exigences de sécurité, SBOM, documentation technique, marquage CE. Les produits déjà sur le marché ne doivent s’y conformer que s’ils sont substantiellement modifiés après cette date.
- 15 M€ ou 2,5 %L’amende la plus élevée pour les exigences essentielles et les obligations de signalement, le montant le plus haut étant retenu.
De « sommes-nous concernés ? » à un signalement envoyé à temps
Conçu pour les petits éditeurs de logiciels et fabricants d’appareils qui n’ont pas d’équipe de sécurité produit.
Savoir où vous en êtes
Un court questionnaire vous dit si le Cyber Resilience Act s’applique à chaque produit, dans quelle classe, et quelles obligations en découlent.
Micrologiciel Gateway
ConcernéProduit important, classe I
Les routeurs et modems destinés à la connexion à Internet figurent à l’annexe III, classe I.
Ce qui en découle
- Signaler les vulnérabilités exploitées à l’ENISADepuis le 11 sept. 2026
- Nomenclature logicielle (SBOM)À partir du 11 déc. 2027
- Traitement des vulnérabilités et politique de divulgationÀ partir du 11 déc. 2027
- Documentation technique et marquage CEÀ partir du 11 déc. 2027
Savoir ce que vous livrez
Reliez un dépôt ou envoyez un fichier : Provetry établit la nomenclature logicielle (SBOM) de chaque version, en CycloneDX, et en SPDX avec les offres payantes.
Composants214 composants · 31 directs
| Composant | Version | Licence | direct |
|---|---|---|---|
| libwebp | 1.3.1 | BSD-3-Clause | direct |
| openssl | 3.0.13 | Apache-2.0 | direct |
| express | 4.19.2 | MIT | direct |
| debug | 2.6.8 | MIT | direct |
| busybox | 1.36.1 | GPL-2.0-only | direct |
| ms | 2.0.0 | MIT | via debug |
208 autres composants
Apprendre l’exploitation le premier
Chaque composant est vérifié face aux nouvelles vulnérabilités et, avec les offres payantes, chaque jour face aux catalogues de vulnérabilités exploitées (CISA KEV, EUVD).
- Élevée 8,8ExploitéeCVE-2023-4863libwebp@1.3.1 · Dépassement de tampon dans WebP · corrigée dans la 1.3.2
- Moyenne 5,0CVE-2024-43796express@4.19.2 · Script intersite dans une redirection · corrigée dans la 4.20.0
- Faible 3,7CVE-2017-16137debug@2.6.8 · Expression régulière lente · corrigée dans la 2.6.9
Exploitée en ce moment : au catalogue CISA KEV depuis le 13 sept. 2023. Si votre produit l’atteint, l’article 14 demande une alerte précoce sous 24 heures. Ouvrir un signalement
Signaler à temps
Quand un composant est exploité, l’horloge de signalement démarre et votre alerte précoce, votre notification et votre rapport final sont rédigés pour vous.
Champs de la plateforme unique de signalement
Alerte précoce (24 heures)2 points restent à compléter
- 1Notification typeVulnerability
- 2TitleCVE-2023-4863 exploited
- 5Member States where product availableFrance, Ireland
- 6Product nameGateway firmware
- 12Component namelibwebp 1.3.1
Beaucoup d’alertes concernent du code que vous n’exécutez jamais
Provetry distingue les vulnérabilités que votre produit atteint de celles qu’il ne charge ou n’appelle jamais, avec le fichier, la ligne ou la chaîne en preuve, et en fait des évaluations que vous acceptez en un clic. Go, Rust, JavaScript, Python et Java au niveau des fonctions.
AppeléeCVE-2024-43796 · express@4.19.2
src/routes/login.js:41res.redirect(next)
Remonte dans la liste. Votre pipeline peut échouer dessus.
Chargée, jamais appeléeCVE-2020-36632 · flat@5.0.0
web/src/config.js:2import { flatten } from "flat"
unflatten, la fonction qui mène au code corrigé, n’est nommée nulle part. Suggestion : non concerné.
Jamais chargéeCVE-2021-44906 · minimist@1.2.5
package-lock.jsonmkdirp › minimist
Aucun chemin n’y mène depuis votre code. Suggestion : non concerné.
Automatisé quand c’est possible. Relu quand c’est important.
Envoyé tout de suite
SBOM, correspondances de vulnérabilités et alertes. Un délai de 24 heures n’attend jamais la relecture de personne.
Relu avant de vous parvenir
Rapports d’audit, documentation technique, votre politique de divulgation et, avec l’option « Signalements relus », chaque brouillon de signalement à l’ENISA : lus et corrigés par un expert en sécurité certifié.
Décidé par vous
Si une vulnérabilité est activement exploitée, et ce que vous transmettez aux autorités. La loi le confie au fabricant, et nous aussi.
Ce que vous pouvez vérifier avant de nous faire confiance
- Hébergé dans l’Union européenne
- Vos données sont stockées et traitées dans l’UE, avec des sauvegardes quotidiennes chiffrées gardées dans l’UE.
- Un cœur en code ouvert
- L’outil qui établit votre SBOM est public : lisez-le, lancez-le vous-même, ou utilisez-le sans nous. provetry-core sur GitHub
- Des formats standards, en entrée et en sortie
- CycloneDX et SPDX. Ce que vous confiez repart tel quel, quand vous voulez.
- Relu par un expert certifié
- Les rapports d’audit sont relus par un professionnel de la sécurité certifié (CISSP, OSCP, CEH) avant de vous parvenir.
- Aucun traceur
- Aucun cookie publicitaire ou de suivi, ni sur ce site ni dans l’application.
Commencez gratuitement, payez quand vous avez plus à couvrir
Comparer les offres, l’audit de conformité CRA et l’option « Signalements relus »
| Offre | Couvre | Prix |
|---|---|---|
| Free | 1 produit | 0 € pour toujours |
| Starter | 3 produits | 49 € / mois |
| ProRecommandée | 10 produits | 149 € / mois |
| Consultant | 50 produits, clients en nombre illimité | 399 € / mois |
Utiles dès aujourd’hui, sans compte
Générateur de SBOM
Transformez vos fichiers de verrouillage en SBOM CycloneDX ou SPDX : npm, pnpm, Yarn, Python, Go, Rust, Java, .NET, PHP et Ruby.Visionneuse et vérificateur de SBOM
Ouvrez un fichier CycloneDX ou SPDX : ses composants, et ce qu’attend le CRA qui manque.Générateur et vérificateur de security.txt
Rédigez le fichier RFC 9116 qui dit aux chercheurs où signaler une vulnérabilité, ou vérifiez celui que vous avez.Calculateur CVSS 3.1
Notez une vulnérabilité à partir de ses huit métriques de base, ou collez un vecteur pour le lire.Générateur de politique de divulgation
Une politique de divulgation coordonnée des vulnérabilités pour vos produits, prête à publier, en français, en anglais ou en allemand.Score EPSS d’une faille
La probabilité qu’une vulnérabilité soit exploitée dans les 30 jours : le score du jour de FIRST, pour 30 CVE à la fois.
Comprendre le CRA en termes simples
Bases · 8 min
Qu’est-ce que le Cyber Resilience Act ? Le résumé en clair
Le Cyber Resilience Act européen en une lecture : ce qu’il couvre, qui doit faire quoi, les exigences essentielles, le signalement à l’ENISA, les dates et les amendes.
Champ · 8 min
Le Cyber Resilience Act s’applique-t-il à votre produit ?
Champ, exclusions et classes de produits du Cyber Resilience Act européen, expliqués aux petits éditeurs et fabricants, avec les dates qui comptent.
Signalement · 9 min
Signalements CRA : l’horloge de 24 h, 72 h et 14 jours expliquée
Ce qui déclenche l’horloge de l’article 14 du Cyber Resilience Act, ce que doit contenir chaque signalement à l’ENISA, et comment être prêt avant.