# Un SBOM CycloneDX o SPDX, sin añadir nada a tu CI.

Fuente: https://libwatch.com/es/funcionalidades/exportacion-sbom

Funcionalidad · SBOM

LibWatch ya conoce cada dependencia de tus proyectos. Con ellas genera una lista de materiales de software legible por máquina, validada contra los esquemas oficiales, que descargas con un clic.

[Generar un SBOM](https://app.libwatch.com/users/sign_up?locale=es)

api-commandes-cyclonedx-sbom.json

```
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "symfony/http-kernel",
      "version": "6.4.1",
      "purl": "pkg:composer/symfony/http-kernel@6.4.1"
    }
  ]
}
```

Dos formatos

## CycloneDX para la seguridad, SPDX para las licencias

JSON
### CycloneDX 1.5

— El formato más solicitado por las herramientas de seguridad.

— Se puede importar en OWASP Dependency-Track.

— Nombre, versión, registro e identificador purl de cada componente.

JSON
### SPDX 2.3

— El estándar de la Linux Foundation, orientado a licencias.

— Útil para el cumplimiento del código abierto.

— Los mismos componentes, en otra estructura.

En la práctica

## Del análisis al archivo

El SBOM siempre sigue el último análisis del proyecto.

### Abre el proyecto

El SBOM toma su último análisis terminado, o uno concreto.

### Elige el formato

CycloneDX o SPDX, en JSON.

### Descárgalo o consúltalo por MCP

El resumen del SBOM también está disponible para tus asistentes de IA.

Otras exportaciones

## Para tus clientes y tus auditorías

PDF

### Informe imprimible

Una página por proyecto, para guardar en PDF como informe.

CSV y JSON

### Datos en bruto

Para tus hojas de cálculo y tus scripts.

Enlace

### Compartir públicamente

La puntuación del proyecto y su tendencia, sin cuenta.

Preguntas frecuentes

## Sobre los SBOM

### ¿Cubre el SBOM las dependencias transitivas?

 Recoge todo lo que describe el lockfile. Con un lockfile, las dependencias transitivas están incluidas.

### ¿Basta el SBOM para el CRA?

 No, no por sí solo. El CRA pide un SBOM legible por máquina, como lo son CycloneDX y SPDX, pero también la gestión de vulnerabilidades y una documentación técnica de la que el SBOM es solo una pieza. Consulta [lo que exigen el CRA y NIS2](/es/funcionalidades/conformidad-cra-nis2).

### ¿Puedo importarlo en Dependency-Track?

 Sí. El archivo CycloneDX 1.5 en JSON se importa en OWASP Dependency-Track como cualquier SBOM CycloneDX.

## Tu SBOM te espera después del primer análisis.

[Probar 14 días](https://app.libwatch.com/users/sign_up?locale=es)