Provetry ou Verimu : lequel pour le CRA ?
Sur cette page
Verimu et Provetry sont deux services construits pour le Cyber Resilience Act, tous deux exploités depuis l’UE, et leurs offres payantes commencent même aux mêmes prix. Ils ne mettent pourtant pas les mêmes choses dans chaque offre, et ne couvrent pas les mêmes documents. Cette page dit ce que propose chacun, en novembre 2026, d’après les pages publiques de Verimu et les nôtres, pour que vous les compariez sur ce qui compte pour vous.
En une phrase
Verimu analyse vos dépôts dans la CI, produit un SBOM par commit et vous alerte des nouvelles vulnérabilités, avec un circuit de notification CRA et des rapports PDF dans son offre Professional. Provetry mène un produit de ses fichiers de verrouillage à ses obligations au titre du CRA : SBOM à chaque version, veille des vulnérabilités exploitées, délais de signalement de l’article 14 avec brouillons pour la plateforme de l’ENISA, VEX, politique de divulgation, avis CSAF et documentation technique.
Côte à côte
Pour chaque service, l’offre qui comprend une fonction est indiquée entre parenthèses. Prix hors TVA. « Non indiqué » signifie que nous ne l’avons pas trouvé sur les pages publiques de Verimu en novembre 2026 ; la fonction peut exister malgré tout.
| Verimu | Provetry | |
|---|---|---|
| Modèle | Hébergé, infrastructure dans l’UE | Hébergé, dans l’UE |
| Prix | Gratuit, puis 49 € (Starter) ou 149 € (Professional) par mois ; Enterprise sur devis ; 20 % de remise à l’année | Gratuit pour un produit, puis 49 €, 149 € ou 399 € par mois ; 20 % de remise à l’année |
| SBOM en entrée | Analyse dans la CI (GitHub, GitLab, Bitbucket), outil en ligne de commande ; npm, pip, Maven, NuGet, Cargo, Go, Composer, Bundler | Fichiers de verrouillage de 8 écosystèmes, ou SBOM CycloneDX et SPDX en JSON ; depuis la CI avec les offres payantes |
| SBOM en sortie | CycloneDX (Free) ; CycloneDX et SPDX par commit (Starter) ; tous formats (Professional) | CycloneDX 1.6 (toutes les offres) ; SPDX 2.3 et 3.0.1 (offres payantes) ; un SBOM conservé par version (3 versions au plus avec l’offre gratuite) |
| Alertes sur les nouvelles vulnérabilités | Récapitulatif hebdomadaire (Free) ; en temps réel (Starter) | Récapitulatif hebdomadaire (Free) ; en temps réel (Starter) |
| Vulnérabilités exploitées | CISA KEV et liste européenne de l’ENISA, EUVD (Professional) | CISA KEV et EUVD (Starter) |
| EPSS | Non indiqué | Oui (toutes les offres) |
| VEX | Non indiqué | Enregistre vos évaluations et exporte en OpenVEX (toutes les offres) ; flux VEX public (offres payantes) |
| Atteignabilité | Non indiqué | Suggestions depuis votre CI, avec preuve (offres payantes) ; niveau fonction pour npm, PyPI et Java (Pro et Consultant) |
| Signalements de l’article 14 | Circuit de notification 24 h, 72 h, 14 jours (Professional) | Dossier de signalement ouvert à partir du moment où vous en avez eu connaissance, délais décomptés, brouillons qui suivent les champs de la plateforme de l’ENISA (Starter) |
| Politique de divulgation, security.txt, avis CSAF | Non indiqué | Oui, avec une page publique de sécurité par produit (offres payantes) |
| Rapports et documentation CRA | Rapports de conformité CRA en PDF, score de conformité par projet (Professional) | Dossier guidé, projet de déclaration UE de conformité, rapport de conformité en PDF (Pro et Consultant) |
| Slack et Teams | Oui (Starter) | Oui (Starter) |
| Journal d’audit | Oui (Professional) | Oui (Pro et Consultant) |
| Langues de l’interface | Anglais (la seule que nous ayons trouvée) | Anglais, français, allemand |
Quand Verimu peut mieux vous convenir
- Vous voulez que l’analyse tourne dans votre chaîne et bloque le build. L’outil en ligne de commande de Verimu s’exécute comme une étape de CI avec un seuil de gravité, sur GitHub, GitLab ou Bitbucket.
- Vous faites des commits fréquents et voulez un SBOM par commit, plutôt que par version.
Quand Provetry peut mieux vous convenir
- Vous voulez la veille des vulnérabilités exploitées et les délais de signalement dès la première offre payante. Chez Verimu, CISA KEV, l’EUVD et le circuit de notification viennent avec Professional ; chez Provetry, avec Starter.
- Il vous faut les documents autour du SBOM. Déclarations VEX, politique de divulgation et adresse de contact qu’attend le CRA (par exemple dans
security.txt), avis CSAF, dossier sécurité à partager avec les acheteurs, documentation technique guidée selon l’annexe VII et projet de déclaration UE de conformité. Les pages publiques de Verimu citent des rapports de conformité CRA en PDF, mais nous n’y avons pas trouvé le reste. - Vous voulez savoir si une vulnérabilité atteint vraiment votre code, avec des suggestions d’atteignabilité depuis votre CI.
- Votre équipe travaille en français ou en allemand. L’application et l’aide de Provetry existent en anglais, en français et en allemand, tout comme la politique de divulgation qu’il rédige.
À vérifier avant de choisir
- Demandez à chaque éditeur une démonstration sur l’un de vos produits et regardez ce que vous remettriez à une autorité de surveillance du marché : le SBOM, les décisions VEX, les brouillons de signalement, le dossier technique.
- Qui rédigera les signalements à l’ENISA ? Au titre de l’article 14, une alerte précoce est due dans les 24 heures après avoir eu connaissance d’une vulnérabilité activement exploitée dans votre produit. Vérifiez quelle offre, dans chaque outil, vous donne ce qu’il vous faut ce jour-là.
- Votre produit est-il seulement concerné ? Beaucoup de produits SaaS ne le sont pas. Le test gratuit vous le dit en quelques minutes.
Provetry n’a aucun lien avec Verimu. Les faits ci-dessus ont été vérifiés le 13 novembre 2026 sur la page d’accueil et la page des tarifs de Verimu ; si quelque chose a changé ou manque, écrivez-nous à hello@provetry.com et nous corrigerons.
Sources
- Verimu
- Tarifs de Verimu
- Tarifs de Provetry
- Règlement (UE) 2024/2847, le Cyber Resilience Act, article 14 et annexe VII