Provetry ou sbomify : lequel pour le CRA ?
Sur cette page
sbomify est une plateforme de gestion des SBOM, open source, disponible en service hébergé ou sur vos propres serveurs. Elle range vos SBOM par produit, y recherche les vulnérabilités et les publie, avec des déclarations VEX et des avis de sécurité, dans un trust center que vos clients peuvent consulter. Provetry couvre une partie du même terrain, mais il part de vos fichiers de verrouillage et il est construit autour des obligations du Cyber Resilience Act, en particulier les délais de signalement de l’article 14. Cette page dit ce que propose chacun, en novembre 2026, d’après les pages publiques de sbomify et les nôtres.
En une phrase
sbomify est un endroit où garder, partager et publier SBOM, VEX et avis de sécurité, avec un assistant de conformité CRA dans son offre Business. Provetry mène un produit de ses fichiers de verrouillage à ses obligations au titre du CRA : SBOM à chaque version, veille des vulnérabilités exploitées, délais de signalement de l’article 14 avec brouillons pour la plateforme de l’ENISA, politique de divulgation et documentation technique.
Côte à côte
Pour chaque service, l’offre qui comprend une fonction est indiquée entre parenthèses. Prix hors TVA. sbomify affiche ses prix en dollars. « Non indiqué » signifie que nous ne l’avons pas trouvé sur les pages publiques de sbomify en novembre 2026 ; la fonction peut exister malgré tout.
| sbomify | Provetry | |
|---|---|---|
| Modèle | Open source ; hébergé, ou à héberger soi-même (Enterprise propose une instance dédiée ou auto-hébergée) | Hébergé, dans l’UE |
| Prix | Community gratuit ; Business 159 $ par mois facturé à l’année, ou 199 $ au mois ; Enterprise sur devis | Gratuit pour un produit, puis 49 €, 149 € ou 399 € par mois ; 20 % de remise à l’année |
| Essai | 14 jours de Business | Une offre gratuite pour un produit |
| Limites des offres | 1 produit et 5 composants (Community) ; 5 et 200 (Business) ; illimités (Enterprise) | 1 produit (Free) ; 3, 10 ou 50 produits |
| SBOM en entrée | SBOM que vous fournissez, CycloneDX et SPDX, y compris SPDX 3.0 | Fichiers de verrouillage de 8 écosystèmes, ou SBOM CycloneDX et SPDX en JSON ; depuis la CI avec les offres payantes |
| Recherche de vulnérabilités | OSV chaque semaine (Community) ; OSV et Dependency-Track chaque jour (Business) | Récapitulatif hebdomadaire (Free) ; alertes en temps réel (Starter) |
| Vulnérabilités exploitées, EPSS | Non indiqué | Veille de CISA KEV et de l’EUVD (Starter) ; EPSS (toutes les offres) |
| VEX | CycloneDX, OpenVEX et CSAF | Enregistre vos évaluations et exporte en OpenVEX (toutes les offres) ; flux VEX public (offres payantes) |
| Avis de sécurité et security.txt | Flux CSAF 2.0, security.txt | Avis CSAF, politique de divulgation et security.txt (offres payantes) |
| Partage avec les clients | Trust center : public (Community), privé ou sur votre propre domaine (Business) | Un dossier sécurité par produit avec SBOM et VEX, public ou par lien (offres payantes) |
| Signalements de l’article 14 | Non indiqué | Dossier de signalement ouvert à partir du moment où vous en avez eu connaissance, délais décomptés, brouillons qui suivent les champs de la plateforme de l’ENISA (Starter) |
| Rapports et documentation CRA | Assistant de conformité CRA : profil du produit, conformité du SBOM, sécurité et vulnérabilités, information des utilisateurs, revue et export d’un dossier (Business) | Dossier guidé, projet de déclaration UE de conformité, rapport de conformité en PDF (Pro et Consultant) |
| Atteignabilité | Non indiqué | Suggestions depuis votre CI, avec preuve (offres payantes) |
| Autres | Inventaire cryptographique (CBOM), API Transparency Exchange (Business) | Questionnaires de sécurité répondus d’après vos données, délais de correction mesurés face à vos cibles (offres payantes) |
Quand sbomify peut mieux vous convenir
- Vous voulez l’héberger vous-même, ou lire le code. sbomify est open source et peut s’installer sur vos serveurs.
- Vos SBOM existent déjà, produits par votre build ou reçus de vos fournisseurs, et il vous faut un endroit unique pour les garder et les publier.
- Vos clients demandent un trust center public, avec SBOM, VEX et certificats comme SOC 2 ou ISO 27001 dans un même portail, éventuellement sur votre propre domaine.
- Il vous faut un inventaire cryptographique ou l’API Transparency Exchange.
Quand Provetry peut mieux vous convenir
- Vous n’avez pas encore de chaîne de production de SBOM. Provetry établit le SBOM à partir des fichiers de verrouillage que vous avez déjà, à chaque version.
- Vous voulez la veille des vulnérabilités exploitées et les délais de signalement dans le même outil. Provetry surveille CISA KEV et la liste européenne de l’ENISA, vous fait ouvrir un dossier de signalement à partir du moment où vous en avez eu connaissance, décompte les délais de 24 heures, de 72 heures et du rapport final, et prépare chaque rapport sous la forme que demande la plateforme de l’ENISA. Nous ne l’avons pas trouvé sur les pages publiques de sbomify.
- Votre équipe travaille en français ou en allemand. L’application et l’aide de Provetry existent en anglais, en français et en allemand, tout comme la politique de divulgation qu’il rédige.
Utiliser les deux
Ils lisent les mêmes formats. Une équipe peut garder sbomify comme dépôt de SBOM et trust center, et utiliser Provetry pour les délais de signalement et le dossier CRA des produits mis sur le marché de l’UE, en envoyant le même SBOM CycloneDX ou SPDX à chacun.
À vérifier avant de choisir
- Vérifiez comment chacun compte ce que vous avez. Les offres de sbomify comptent produits et composants, celles de Provetry comptent les produits ; demandez comment votre propre portefeuille serait compté.
- Qui rédigera les signalements à l’ENISA ? Au titre de l’article 14, une alerte précoce est due dans les 24 heures après avoir eu connaissance d’une vulnérabilité activement exploitée dans votre produit. Décidez dès maintenant quel outil, et quelle personne, la produira.
- Votre produit est-il seulement concerné ? Beaucoup de produits SaaS ne le sont pas. Le test gratuit vous le dit en quelques minutes.
Provetry n’a aucun lien avec sbomify. Les faits ci-dessus ont été vérifiés le 13 novembre 2026 sur les pages des tarifs et des fonctions de sbomify et sur son dépôt GitHub ; si quelque chose a changé ou manque, écrivez-nous à hello@provetry.com et nous corrigerons.