Outil gratuit
Générateur de SBOM
Choisissez le dossier de votre projet ou ses fichiers de verrouillage : obtenez une nomenclature logicielle en CycloneDX 1.6 ou SPDX, prête pour le Cyber Resilience Act, avec les dépendances directes signalées.
Tout tourne dans votre navigateur : rien de ce que vous saisissez ou ouvrez ne nous est envoyé ni n’est enregistré.
Votre SBOM
- Composants
- Dépendances directes
- Fichiers lus
| Composant | Version | Package URL | Directe |
|---|
Ce que couvre ce SBOM, et ce qu’il ne couvre pas
Le SBOM liste ce que fixent vos fichiers de verrouillage : chaque paquet avec sa version exacte et sa package URL (purl), les dépendances directes signalées quand un manifeste dit lesquelles, et les dépendances de développement marquées comme non livrées. Il est produit par le même moteur open source que Provetry, provetry-core, ici dans votre navigateur.
Un fichier de verrouillage ne voit pas tout ce que vous livrez : les bibliothèques C embarquées dans les wheels Python ou les crates Rust -sys, les paquets d’une image de conteneur, un runtime que vous incluez. Un pom.xml seul ne donne que les dépendances directes ; pour l’arbre Java complet, utilisez le plugin CycloneDX de Maven ou de Gradle. Les guides par écosystème disent quoi ajouter dans chaque cas.
À partir du 11 décembre 2027, l’annexe I, partie II du Cyber Resilience Act demande un SBOM dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de niveau supérieur. CycloneDX et SPDX conviennent tous les deux ; il fait partie de la documentation technique et n’a pas à être publié.
provetry-core est un logiciel libre sous licence AGPL-3.0 : son code source.
Un SBOM est une photo
Le CRA l’attend à jour à chaque version, et les vulnérabilités qu’il contient surveillées chaque jour. Provetry l’établit depuis votre CI à chaque tag de version, garde la copie de chaque version et vous prévient quand une vulnérabilité exploitée touche l’un de ses composants. Comment fonctionne Provetry →
Les autres outils gratuits
- Générateur et vérificateur de security.txt
Rédigez le fichier RFC 9116 qui dit aux chercheurs où signaler une vulnérabilité, ou vérifiez celui que vous avez.
- Calculateur CVSS 3.1
Notez une vulnérabilité à partir de ses huit métriques de base, ou collez un vecteur pour le lire.
- Calculateur CVSS 4.0
La version la plus récente du CVSS, notée avec le calcul de référence de FIRST : métriques de base, ou tout vecteur collé.
- Score EPSS d’une faille
La probabilité qu’une vulnérabilité soit exploitée dans les 30 jours : le score du jour de FIRST, pour 30 CVE à la fois.
- Générateur de politique de divulgation
Une politique de divulgation coordonnée des vulnérabilités pour vos produits, prête à publier, en français, en anglais ou en allemand.
- Visionneuse et vérificateur de SBOM
Ouvrez un fichier CycloneDX ou SPDX : ses composants, et ce qu’attend le CRA qui manque.