Funcionalidad · SBOM

Un SBOM CycloneDX o SPDX, sin añadir nada a tu CI.

LibWatch ya conoce cada dependencia de tus proyectos. Con ellas genera una lista de materiales de software legible por máquina, validada contra los esquemas oficiales, que descargas con un clic.

Generar un SBOM
Leer con una IA Versión .md
api-commandes-cyclonedx-sbom.json 
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "symfony/http-kernel",
      "version": "6.4.1",
      "purl": "pkg:composer/symfony/http-kernel@6.4.1"
    }
  ]
}

Dos formatos

CycloneDX para la seguridad, SPDX para las licencias

JSON

CycloneDX 1.5

— El formato más solicitado por las herramientas de seguridad.

— Se puede importar en OWASP Dependency-Track.

— Nombre, versión, registro e identificador purl de cada componente.

JSON

SPDX 2.3

— El estándar de la Linux Foundation, orientado a licencias.

— Útil para el cumplimiento del código abierto.

— Los mismos componentes, en otra estructura.

En la práctica

Del análisis al archivo

El SBOM siempre sigue el último análisis del proyecto.

Abre el proyecto

El SBOM toma su último análisis terminado, o uno concreto.

Elige el formato

CycloneDX o SPDX, en JSON.

Descárgalo o consúltalo por MCP

El resumen del SBOM también está disponible para tus asistentes de IA.

Otras exportaciones

Para tus clientes y tus auditorías

PDF

Informe imprimible

Una página por proyecto, para guardar en PDF como informe.

CSV y JSON

Datos en bruto

Para tus hojas de cálculo y tus scripts.

Enlace

Compartir públicamente

La puntuación del proyecto y su tendencia, sin cuenta.

Preguntas frecuentes

Sobre los SBOM

¿Cubre el SBOM las dependencias transitivas?
Recoge todo lo que describe el lockfile. Con un lockfile, las dependencias transitivas están incluidas.
¿Basta el SBOM para el CRA?
No, no por sí solo. El CRA pide un SBOM legible por máquina, como lo son CycloneDX y SPDX, pero también la gestión de vulnerabilidades y una documentación técnica de la que el SBOM es solo una pieza. Consulta lo que exigen el CRA y NIS2.
¿Puedo importarlo en Dependency-Track?
Sí. El archivo CycloneDX 1.5 en JSON se importa en OWASP Dependency-Track como cualquier SBOM CycloneDX.

Tu SBOM te espera después del primer análisis.

Probar 14 días