Provetry ou Dependency-Track : lequel pour le CRA ?

OWASP Dependency-Track est la plateforme open source de référence pour gérer des SBOM : vous lui fournissez des SBOM, il tient l’inventaire de chaque composant de votre portefeuille et les confronte en continu aux données de vulnérabilités. Provetry couvre une partie du même terrain, mais il est construit autour d’un seul règlement, le Cyber Resilience Act, et des obligations qui l’accompagnent. Provetry ouvre en novembre 2026 ; Dependency-Track est disponible aujourd’hui. Cette page dit ce que fait chacun, en novembre 2026, pour que vous choisissiez le bon, ou les deux.

En une phrase

Dependency-Track est une plateforme gratuite, à héberger vous-même, pour suivre composants et vulnérabilités à grande échelle. Provetry est un service hébergé qui mène un produit de ses fichiers de verrouillage à ses obligations au titre du CRA : SBOM, veille des vulnérabilités exploitées, délais de signalement de l’article 14, politique de divulgation et documentation technique.

Côte à côte

Pour Provetry, l’offre qui comprend chaque fonction est indiquée entre parenthèses. Prix hors TVA.

	Dependency-Track	Provetry
Disponibilité	Disponible	Ouverture en novembre 2026
Modèle	Open source (Apache 2.0, OWASP), à héberger soi-même	Service hébergé
Prix	Gratuit ; vous payez les serveurs et le temps pour les faire tourner	Gratuit pour un produit, puis 49 €, 149 € ou 399 € par mois
SBOM en entrée	SBOM CycloneDX produits par votre build ou vos fournisseurs	Fichiers de verrouillage de 8 écosystèmes, ou SBOM CycloneDX et SPDX en JSON ; depuis la CI avec les offres payantes
SBOM en sortie	CycloneDX, jusqu’à la 1.7	CycloneDX 1.6 (toutes les offres ; 3 versions au plus avec l’offre gratuite) ; SPDX 2.3 et 3.0.1 (offres payantes)
Vulnérabilités exploitées	CISA KEV et liste européenne de l’ENISA, depuis la version 5.1 (août 2026) ; liste de VulnCheck en option	CISA KEV et liste européenne de l’ENISA (EUVD)
EPSS	Oui	Oui
VEX	Importe et exporte du VEX CycloneDX	Enregistre vos évaluations et exporte en OpenVEX (toutes les offres) ; flux VEX public (offres payantes)
Atteignabilité	Non	Suggestions depuis votre CI, avec preuve (offres payantes) : niveau fonction pour Go, niveau paquet ailleurs ; niveau fonction pour npm, PyPI et Java pour les avis déjà cartographiés (Pro et Consultant)
Politiques et licences	Moteur de règles, conformité des licences	Pas de conformité des licences
Signalements à l’ENISA (article 14)	Non	Dossier de signalement ouvert à partir du moment où vous en avez eu connaissance, délais décomptés, brouillons qui suivent les champs de la plateforme de l’ENISA (offres payantes)
Politique de divulgation, adresse de contact, avis CSAF	Non	Oui, avec une page publique de sécurité par produit (offres payantes)
Documentation technique du CRA	Non	Dossier guidé et projet de déclaration UE de conformité (Pro et Consultant)
Échelle	Conçu pour de grands portefeuilles, haute disponibilité depuis la 5.0	Petits et moyens fabricants, jusqu’à 50 produits

Quand Dependency-Track est le meilleur choix

Vous voulez tout héberger vous-même, pour des raisons de politique interne ou de souveraineté, et quelqu’un peut s’en occuper. La version 5.0 (juin 2026) demande PostgreSQL et deux conteneurs ; elle monte en charge horizontalement et ne coûte aucune licence.
Vous gérez un grand portefeuille d’applications, avec des règles communes à plusieurs équipes, des politiques de licences et des intégrations avec Jira, DefectDojo, Slack ou Teams.
Vos SBOM existent déjà en CycloneDX, produits par votre build ou reçus de vos fournisseurs, et il vous faut surtout un endroit pour les garder et les surveiller.

Quand Provetry est le meilleur choix

Le CRA est votre raison d’agir. Dependency-Track vous dit qu’un composant a une vulnérabilité exploitée. Provetry vous fait aussi ouvrir un dossier de signalement à partir du moment où vous en avez eu connaissance, décompte les délais de l’article 14, prépare l’alerte précoce, la notification et le rapport final sous la forme que demande la plateforme de l’ENISA, et garde la trace de qui a décidé quoi, et quand.
Vous n’avez pas encore de chaîne de production de SBOM. Provetry établit le SBOM à partir des fichiers de verrouillage que vous avez déjà, à chaque version, et garde celui de chaque version à part.
Il vous faut les documents qui entourent le SBOM. La politique de divulgation et l’adresse de contact pour les signalements qu’attend le CRA (par exemple dans security.txt), les avis de sécurité CSAF, un flux VEX public, la documentation technique de l’annexe VII et un projet de déclaration UE de conformité.
Vous ne voulez pas faire tourner de serveur. Pas de base de données à sauvegarder, pas de fenêtre de mise à jour.

Les deux ensemble

Ils ne s’excluent pas. Une équipe peut garder Dependency-Track comme inventaire interne et utiliser Provetry pour les produits mis sur le marché européen et leur dossier CRA. Les deux lisent le CycloneDX standard en JSON : le même SBOM peut aller à l’un et à l’autre.

Ce qu’il faut vérifier avant de choisir

Qui va l’exploiter ? Une plateforme auto-hébergée n’est gratuite que si quelqu’un a le temps d’appliquer ses correctifs, de la sauvegarder et de la mettre à jour. Le passage de la version 4 à la 5 a demandé une migration ponctuelle et une fenêtre de maintenance.
Qui va rédiger les signalements à l’ENISA ? Selon l’article 14, une alerte précoce est due dans les 24 heures suivant le moment où vous apprenez qu’une vulnérabilité activement exploitée se trouve dans votre produit. Décidez dès maintenant quel outil, et quelle personne, la produira.
Votre produit est-il seulement concerné ? Beaucoup de produits SaaS ne le sont pas. Le test gratuit vous le dit en quelques minutes.

Dependency-Track est un projet de l’OWASP. Provetry n’est lié ni à l’OWASP ni au projet Dependency-Track. Les faits ci-dessus ont été vérifiés en novembre 2026 à partir des sources ci-dessous ; si quelque chose a changé, écrivez-nous à hello@provetry.com et nous corrigerons.