Fonctionnalité · SBOM

Un SBOM CycloneDX ou SPDX, sans rien ajouter à votre CI.

LibWatch connaît déjà chaque dépendance de vos projets. Il en tire une nomenclature logicielle lisible par machine, validée contre les schémas officiels, à télécharger en un clic.

Générer un SBOM
Lire avec une IA Version .md
api-commandes-cyclonedx-sbom.json 
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "symfony/http-kernel",
      "version": "6.4.1",
      "purl": "pkg:composer/symfony/http-kernel@6.4.1"
    }
  ]
}

Deux formats

CycloneDX pour la sécurité, SPDX pour les licences

JSON

CycloneDX 1.5

— Le format le plus demandé par les outils de sécurité.

— Importable dans OWASP Dependency-Track.

— Nom, version, registre et identifiant purl de chaque composant.

JSON

SPDX 2.3

— Le standard de la Linux Foundation, orienté licences.

— Utile pour la conformité open source.

— Les mêmes composants, dans une autre structure.

En pratique

De l'analyse au fichier

Le SBOM suit toujours la dernière analyse du projet.

Ouvrez le projet

Le SBOM reprend sa dernière analyse terminée, ou une analyse précise.

Choisissez le format

CycloneDX ou SPDX, en JSON.

Téléchargez, ou interrogez-le par MCP

Le résumé du SBOM est aussi disponible pour vos assistants IA.

Autres exports

Pour vos clients et vos audits

PDF

Rapport imprimable

Une page par projet, à enregistrer en PDF pour un compte rendu.

CSV et JSON

Données brutes

Pour vos tableurs et vos scripts.

Lien

Partage public

Le score du projet et sa tendance, sans compte.

Questions fréquentes

Sur les SBOM

Le SBOM couvre-t-il les dépendances transitives ?
Il reprend tout ce que le lockfile décrit. Avec un lockfile, les dépendances transitives sont incluses.
Le SBOM suffit-il pour le CRA ?
Non, pas à lui seul. Le CRA demande un SBOM lisible par machine, ce que sont CycloneDX et SPDX, mais aussi la gestion des vulnérabilités et une documentation technique dont le SBOM n'est qu'une pièce. Voir ce que le CRA et NIS2 exigent.
Puis-je l'importer dans Dependency-Track ?
Oui. Le fichier CycloneDX 1.5 en JSON s'importe dans OWASP Dependency-Track comme tout SBOM CycloneDX.

Votre SBOM vous attend après la première analyse.

Essayer 14 jours