Provetry ou Dependabot : GitHub suffit-il pour le CRA ?
Sur cette page
Si votre code est sur GitHub, vous avez sans doute déjà Dependabot : il lit vos manifestes et vos fichiers de verrouillage, vous prévient quand une dépendance a une vulnérabilité connue, et peut ouvrir la pull request qui la met à jour. Il ne coûte rien. Un fabricant a-t-il donc besoin d’autre chose pour le Cyber Resilience Act ? Cette page dit ce que couvrent Dependabot et GitHub, ce qu’ils vous laissent, et où se place Provetry, en novembre 2026. Provetry ouvre en novembre 2026 ; Dependabot est disponible aujourd’hui.
En une phrase
Dependabot tient à jour les dépendances de chaque dépôt et vous prévient de leurs vulnérabilités connues. Provetry suit les produits que vous vendez, version par version, et les obligations que le CRA y attache : un SBOM par version, une veille des vulnérabilités exploitées, les signalements de l’article 14 à l’ENISA, la politique de divulgation et la documentation technique.
Côte à côte
Pour Provetry, l’offre qui comprend chaque fonction est indiquée entre parenthèses. Prix hors TVA.
| GitHub (Dependabot et graphe des dépendances) | Provetry | |
|---|---|---|
| Disponibilité | Disponible | Ouverture en novembre 2026 |
| Prix | Compris dans GitHub | Gratuit pour un produit, puis 49 €, 149 € ou 399 € par mois |
| Unité de travail | Un dépôt et sa branche par défaut | Un produit et chacune de ses versions, éventuellement construit à partir de plusieurs dépôts |
| Alertes | Sur les avis vérifiés de la GitHub Advisory Database | Sur OSV.dev (qui reprend les avis de GitHub), vulnérabilités exploitées en tête ; chaque jour avec les offres payantes, chaque semaine avec l’offre gratuite |
| Mises à jour | Pull requests de mise à jour de sécurité et de version | Pas de pull request automatique ; tickets dans GitHub, Jira ou Linear (Pro et Consultant) |
| SBOM | Export du graphe des dépendances en SPDX, pour l’état actuel du dépôt | CycloneDX 1.6 (toutes les offres ; 3 versions au plus avec l’offre gratuite) ; SPDX 2.3 et 3.0.1 (offres payantes) ; un SBOM gardé par version |
| Versions encore chez les clients | Les alertes suivent la branche par défaut | Chaque version que vous déclarez maintenue est vérifiée |
| Vulnérabilités exploitées | Score EPSS sur les alertes | CISA KEV et liste européenne de l’ENISA (EUVD), puis EPSS |
| Évaluations | Clôture d’une alerte avec un motif | Évaluations VEX reportées sur les versions suivantes et exportées en OpenVEX (toutes les offres) ; flux VEX public (offres payantes) |
| Signalements à l’ENISA (article 14) | Non | Dossier de signalement ouvert à partir du moment où vous en avez eu connaissance, délais décomptés, brouillons qui suivent les champs de la plateforme de l’ENISA (offres payantes) |
| Divulgation | Politique de sécurité SECURITY.md ; signalement privé des vulnérabilités et avis de dépôt pour les dépôts publics ; pas de CSAF |
Politique de divulgation, adresse de contact pour les signalements (par exemple security.txt), avis CSAF et page publique de sécurité par produit (offres payantes) |
| Documentation technique du CRA | Non | Dossier guidé et projet de déclaration UE de conformité (Pro et Consultant) |
Quand Dependabot couvre le besoin
- Votre produit tient dans un seul dépôt, vous livrez depuis la branche par défaut, et seule la dernière version est en service. Dependabot couvre alors le suivi des dépendances vulnérables ; si vous êtes fabricant au sens du CRA, les obligations de signalement et de documentation restent, quel que soit l’outil.
- Vous n’êtes pas fabricant au sens du CRA, par exemple parce que votre produit est un SaaS pur. Tenir ses dépendances à jour reste alors une bonne hygiène, et Dependabot le fait bien.
- Vous maintenez un projet open source en dehors de toute activité commerciale. Le CRA ne vous traite en général pas comme un fabricant, et la politique de sécurité, le signalement privé des vulnérabilités et les avis de GitHub vous donnent un canal de divulgation propre. Voir Le CRA et l’open source.
Ce que Provetry ajoute
- Plusieurs versions sont en service. Le CRA vous demande de traiter les vulnérabilités pendant toute la période d’assistance annoncée. Les clients en version 2.1 ne sont pas protégés par un correctif fusionné dans la branche principale de la version 3. Provetry garde le SBOM de chaque version et vérifie chaque version maintenue, chaque jour avec les offres payantes.
- Il faut savoir ce qui est exploité, et agir en 24 heures. Une alerte dit qu’une dépendance est vulnérable. L’article 14 fixe des délais à partir du moment où vous apprenez qu’une vulnérabilité de votre produit est activement exploitée. Provetry met en tête les listes de la CISA et de l’ENISA, vous fait ouvrir un dossier de signalement à partir de ce moment, décompte les délais et prépare l’alerte précoce, la notification et le rapport final.
- Un produit, c’est plus qu’un dépôt : un micrologiciel, une application mobile et un backend, ou une image de conteneur décrite par un SBOM d’un outil comme Syft. Provetry décrit le produit, pas le dépôt.
- Il vous faut les documents qu’une autorité demandera : la documentation technique de l’annexe VII, un journal de preuves de vos décisions, un projet de déclaration UE de conformité.
Les deux ensemble
C’est le cas le plus courant. Gardez Dependabot pour ce qu’il fait le mieux, mettre à jour les dépendances du code que vous écrivez. Utilisez Provetry pour tenir le dossier CRA de chaque produit et de chaque version que vous mettez sur le marché. L’export SPDX de GitHub peut être envoyé à Provetry à la place des fichiers de verrouillage ; il donne le meilleur résultat pour un dépôt qui a des fichiers de verrouillage, car les dépendances sans version exacte sont laissées de côté.
Ce qu’il faut vérifier avant de choisir
- Votre produit est-il concerné ? Le test gratuit vous le dit en quelques minutes.
- Combien de versions maintenez-vous en même temps ? S’il y en a plus d’une, un outil qui ne surveille que la branche par défaut laisse des trous.
- Qui va rédiger les signalements à l’ENISA ? Cette obligation s’applique depuis le 11 septembre 2026, quel que soit l’outil.
GitHub et Dependabot sont des marques de GitHub, Inc. Provetry n’est pas lié à GitHub. Les faits ci-dessus ont été vérifiés en novembre 2026 à partir des sources ci-dessous ; si quelque chose a changé, écrivez-nous à hello@provetry.com et nous corrigerons.