# Votre projet PHP est-il exposé ? Source : https://libwatch.com/outils/verifier-composer Outil gratuit · PHP et Composer Déposez votre composer.lock : vous voyez tout de suite la version de PHP attendue et sa fin de support. Le rapport complet des failles arrive par e-mail. 1. Déposez le fichier composer.lock de préférence : il donne les versions exactes. 2. Lisez l'aperçu Calculé dans votre navigateur, avant tout envoi. 3. Recevez le rapport Failles des paquets et du moteur PHP, puis une alerte si une nouvelle faille vous touche. Un composer.lock ne contient pas votre code, seulement la liste de vos dépendances. Nous ne gardons que cette liste, et pendant 14 jours au plus. Après l'envoi ## Ce que vous recevrez, et rien de plus Le rapport arrive dans quelques minutes. Si vous cochez la case puis activez le suivi d'un clic dans l'e-mail, LibWatch surveille la liste pendant 14 jours et vous écrit seulement quand c'est utile. Les e-mails s'arrêtent dès que vous créez un compte. 1. Dans quelques minutes ### Votre rapport Version de PHP, failles trouvées dans vos paquets et dans le moteur, et ce qu'il faut corriger en premier. 2. Chaque nuit, 14 jourssi la case est cochée ### Une alerte, seulement si besoin Quand une nouvelle faille touche une version de votre liste. Le suivi dure 14 jours : au-delà, un composer.lock déposé une fois ne décrit plus votre projet. 3. 2 jours aprèssi la case est cochée ### Le détail dans LibWatch La faille, sa probabilité d'exploitation, la version corrigée. 4. 5 jours aprèssi la case est cochée ### La fin de support expliquée PHP 8.2 s'arrête le 31/12/2026 : ce que ça change pour vous. 5. 9 jours aprèssi la case est cochée ### Surveiller tous vos projets Connecter GitHub, GitLab ou un site WordPress en deux minutes. 6. 12 jours aprèssi la case est cochée ### Pour les agences et ESN Un rapport par projet, des liens de partage, l'offre Agency. 7. 14 jours aprèssi la case est cochéeDernier e-mail ### Fin du suivi et bilan Le bilan des 14 jours : failles trouvées, version de PHP, prochaine fin de support. Puis le suivi s'arrête et la liste de vos paquets est supprimée. Vos données ## Ce qui est gardé, ce qui ne l'est jamais ### Gardé - Votre e-mail - Le nom et la version de chaque paquet, pendant 14 jours - La version de PHP déclarée, pendant 14 jours ### Jamais gardé - Le fichier lui-même - Vos scripts Composer et adresses de dépôts privés - Votre code : il n'est pas dans ce fichier ### Supprimé - Votre e-mail, en un clic depuis chaque message - La liste de vos paquets, au bout de 14 jours - Tout, sur simple demande à l'équipe Questions fréquentes ## Avant de déposer votre fichier ### composer.json ou composer.lock : lequel choisir ? composer.lock. Il contient les versions exactement installées ; composer.json ne donne que des plages, comme ^8.1, et le rapport sera moins précis. ### Le vérificateur détecte-t-il PHP2Shell ? Oui, par la version de PHP déclarée. PHP2Shell est une faille du moteur PHP, pas d'un paquet : l'aperçu signale une branche sans correctif, et le rapport rappelle la version minimale à installer sur le serveur. [Tout sur PHP2Shell](/cve/php2shell). ### Puis-je vérifier plusieurs projets ? Oui, un fichier à la fois : chaque dépôt envoie son propre rapport. Pour suivre tous vos projets chaque nuit, sans déposer de fichier, connectez-les à [LibWatch](/ecosystemes/php-composer). ### Pourquoi un e-mail pour recevoir le rapport ? Le rapport compare chaque paquet à toutes les failles connues, ce qui prend un peu plus qu'un aperçu. Il part dans les minutes qui suivent. Sans la case cochée, vous ne recevez que ce rapport. Avec, un clic dans l'e-mail active le suivi de 14 jours : sans ce clic, nous ne vous écrivons qu'une fois de plus, le lendemain.