Cybersécurité

Vérificateur de SBOM Scanner de vulnérabilités des dépendances

Envoyez un fichier de verrouillage ou une liste de paquets : jusqu’à 500 paquets par requête, comparés à OSV.

Vérifier mes dépendances Documentation API

Aucune carte bancaire requise · Clé API gratuite

Formats de fichiers de verrouillage: 4
Paquets par requête: 500
Écosystèmes de paquets acceptés: 14

Fonctionnalités

L’essentiel en un coup d’œil.

Fichiers de verrouillage

Lecture de package-lock.json, requirements.txt, Gemfile.lock et Cargo.lock.

Listes de paquets

Ou envoyez nom, version et écosystème pour npm, PyPI, Go, Maven, NuGet et d’autres.

Dépendances imbriquées

Les fichiers de verrouillage figent aussi les dépendances imbriquées : elles sont vérifiées avec le reste.

Rapprochement OSV

Chaque version de paquet est comparée aux avis d’OSV.dev.

Contrôle des builds

Les résultats sont comptés par gravité, prêts à faire échouer un build CI.

Applications

Cas d’usage à évaluer en premier.

Équipes de développement
Vérifiez vos dépendances avant de déployer en production.
Équipes de sécurité
Auditez les composants tiers de vos applications.
DevSecOps
Intégrez les contrôles de sécurité à vos pipelines CI/CD.

En détail

À savoir avant de commencer.

Ce qu’est un SBOM

Une nomenclature logicielle (SBOM) liste chaque composant et chaque dépendance d’une application. Log4j (CVE-2021-44228) a montré qu’une seule bibliothèque imbriquée peut exposer des milliers de produits.

FAQ

Questions fréquentes.

Quels fichiers puis-je envoyer ?

package-lock.json, requirements.txt, Gemfile.lock et Cargo.lock, ou une liste de paquets avec nom, version et écosystème. Les fichiers SPDX et CycloneDX ne sont pas encore lus.

Comment identifiez-vous les vulnérabilités ?

Chaque version de paquet est comparée à OSV.dev, qui agrège les avis des écosystèmes, comme les GitHub Security Advisories et RustSec.

Puis-je l’utiliser dans mon pipeline CI/CD ?

Oui. Envoyez le fichier de verrouillage en POST sur /sbom avec votre clé API, et faites échouer le build selon les comptes par gravité de la réponse.

Vérifiez-vous les dépendances transitives ?

Quand le fichier les liste. package-lock.json, Cargo.lock et Gemfile.lock figent les dépendances imbriquées ; un requirements.txt ne couvre que ce qu’il nomme.

Explorer

Outils associés et pages utiles.

Recherche

Articles associés issus du blog de recherche.

Article de blog

SBOM et sécurité de la chaîne d'approvisionnement : ce dont les équipes sécurité ont réellement besoin

Les nomenclatures logicielles ne sont pas de la paperasse réservée à la conformité. Découvrez comment les SBOM réduisent le risque tiers et accélèrent la réponse quand une dépendance explose.

Article de blog

Réponse aux CVE de la chaîne d'approvisionnement : SBOM, risque lié aux dépendances et divulgation coordonnée

Bâtir un programme moderne de sécurité de la chaîne d'approvisionnement : générer des SBOM, relier les CVE aux composants, intégrer EPSS et KEV, et coordonner les correctifs entre éditeurs et mainteneurs open source.