Prototype expérimental · 11 septembre 2026
Un SBOM.Ce qu’il faut investiguer.
CRAFT lit la nomenclature logicielle d’un produit et dresse la table des composants et vulnérabilités à vérifier.
- CycloneDX
- SPDX JSON
- Sans compte
- Fichier non conservé
Le problème
La première question prend encore des jours.
Chez un fabricant de 50 à 300 personnes, la nomenclature logicielle vit dans un tableur, une chaîne de build et la tête de deux ingénieurs. Quand une bibliothèque est citée dans une alerte, personne ne peut dire tout de suite quels produits livrés l’embarquent.
Fonctionnement
Du fichier au tableau, en trois étapes.
01
Déposez
Un SBOM CycloneDX ou SPDX JSON, sans créer de compte.
02
Analyse
Les composants sont extraits, puis rapprochés des vulnérabilités publiques.
03
Comprenez
Une table de points à investiguer, sans verdict sur votre produit.
Aperçu
Ce que vous voyez après le dépôt
Les compteurs et les lignes viennent de votre fichier.
Aperçu de la structure de la table de résultats.
votre-sbom.json
CycloneDX ou SPDX
- Composants
- Vulnérabilités identifiées
- Critiques
- À investiguer
| Composant | Version | CVE | Sévérité | Action |
|---|---|---|---|---|
Analyse
Analyser un SBOM
Vous verrez le nombre de composants, les CVE potentiellement applicables, leur sévérité, et l’action à mener : investiguer.
Déposez un SBOM JSON
CycloneDX de préférence. SPDX JSON accepté. 10 Mo max. Les PURL publics partent vers OSV ; les PURL internes ne sont pas transmis.
CycloneDX de préférence. SPDX JSON accepté. 10 Mo max. Les PURL publics partent vers OSV ; les PURL internes ne sont pas transmis.
Qui porte le projet
Construit par une personne.
Jean-Pierre
Fondateur de CRAFT · SkyZon
Étudiant ingénieur, ESME Sudria
Je construis CRAFT pour les PME qui fabriquent un produit numérique sous leur marque : celles qui devront prouver ce qu’il y a dedans, sans cabinet à 60 k€ ni scanner conçu pour un grand compte.
Profil LinkedInEnsuite
Un fichier ne suffit pas toujours.
Si vous n’avez pas encore de SBOM, un diagnostic de huit questions produit un rapport PDF. Sinon, un message écrit suffit : pas de prise de rendez-vous.