Le SBOM
du CRA,
européen.
Générez un SBOM CycloneDX 1.5 à partir de votre lockfile (npm, pnpm ou yarn) ou importez celui que votre chaîne de compilation produit déjà. Soyez alerté quand une nouvelle CVE touche un de vos composants. Hébergé dans l'Union européenne.
Compte gratuit, trente secondes.
Dépendance transitive, via mqttcritique
minimist 1.2.5
CVE-2021-44906 · Pollution de prototype
Survolez la frise : la constellation rejoue chaque révision · exempleRév. 18 · 21.10.2026
Nouvelle : CVE-2021-44906 · minimist · critique · alerte envoyée
- Formats lus
- 6
- Revérification
- Chaque jour
- Compte
- Gratuit
- Lockfile stocké
- Non
Je veux un SBOM
Déposez un lockfile
npm, pnpm, yarn ou un SBOM CycloneDX ou SPDX existant. Résultat en trente secondes avec un compte gratuit, et le fichier n'est pas conservé.
Générer un SBOM
Je dois monter un dossier
CRA, RED, Machines, art. 14
Un dossier par produit et par version, mis à jour en continu, le cas échéant, au moins pendant la période de support (art. 31), et une déclaration UE qui couvre tous les textes.
Voir chaque volet
Je découvre le sujet
C'est quoi un SBOM, et pourquoi
L'analogie de l'étiquette d'ingrédients, ce que log4j a changé, et les confusions de dates les plus répandues, à commencer par celle du 11 septembre 2026.
Comprendre le SBOM
Le SBOM devient une exigence en décembre 2027.
Source : Règlement (UE) 2024/2847, annexe I, partie II, point 1.
Toutes les échéances, lues au texteRepères CRA
- Signalement des vulnérabilités exploitées (art. 14)
- Exigences essentielles, dont le SBOM
Ce que fait euvex
CycloneDX 1.5
Un format couramment utilisé et lisible par machine, ce que demande l'annexe I, partie II, point 1. Porté par OWASP. Export JSON déterministe : le même inventaire produit toujours le même fichier.
Six formats d'entrée
npm, pnpm et yarn lus directement. Et un SBOM CycloneDX ou SPDX (2.2, 2.3 ou 3.0) existant s'importe tel quel, quelle que soit la chaîne de compilation qui l'a produit.
Alertes CVE
Croisé avec OSV, puis avec la NVD pour ce qu'OSV ne résout pas. Un email part quand une nouvelle vulnérabilité touche un composant de votre SBOM surveillé, à partir de la sévérité que vous choisissez.
Le détail de chaque volet, et ce qu'euvex ne fait pasRED, applicable au 1ᵉʳ août 2025Le dossier technique et la déclaration UE
Comment ça marche
- Étape 1
Déposez le logiciel
Le lockfile (npm, pnpm, yarn) ou le SBOM CycloneDX ou SPDX que votre chaîne de compilation produit. euvex en tire la nomenclature et cherche les vulnérabilités connues ; le fichier est lu puis jeté.
- Étape 2
Déclarez la gamme et la version
Le produit tel que vous le mettez sur le marché, et sa version. Rattaché à elle, le scan entre dans la déclaration UE et dans le croisement avec le catalogue des vulnérabilités activement exploitées (art. 14).
- Étape 3
Remplissez RED ou Machines
Les questionnaires cyber, exigence par exigence, avec la preuve que vous citez. Ou déclarez que le texte ne s'applique pas à ce produit : il sort de la déclaration.
- Étape 4
Imprimez, puis signez
Chaque volet donne son rapport imprimable, et euvex assemble la déclaration UE unique en signalant ce qui bloque. Elle est établie sous la seule responsabilité du fabricant : vous la signez.
- La liste de vos gammes, et la version de chacune.
- Pour chaque logiciel, son lockfile ou son SBOM, CycloneDX (JSON, 1.2 à 1.6) ou SPDX (2.2, 2.3, 3.0).
- Pour chaque exigence RED ou Machines qui s'applique, la référence de sa preuve : document, procédure, résultat d'essai.
- La raison sociale et le numéro de TVA du fabricant, repris dans la déclaration.
Du SBOM au dossier technique du produit
La réglementation produit ne demande pas un fichier : elle demande un dossier par produit, par version, mis à jour en continu, le cas échéant, au moins pendant la période de support (art. 31). C'est ce que la console assemble.
Vos produits, leurs versions
Attachez un scan à un produit : le verdict CVE suit la version, pas le fichier. Le questionnaire cyber de la directive RED (règlement délégué 2022/30, applicable au 01.08.2025) et le volet cyber du règlement Machines 2023/1230 (applicable au 20.01.2027) se remplissent au même endroit, et chaque volet produit son rapport imprimable.
Art. 14 · le signalement, chronométré
Applicable au 11 septembre 2026 : signaler toute vulnérabilité activement exploitée. euvex croise vos composants avec le catalogue CISA KEV, ouvre un dossier, décompte les échéances (24 h, 72 h, rapport final) et prépare le contenu. La transmission au CSIRT reste votre geste : euvex ne dépose rien à votre place, et le dit.
Une seule déclaration UE, tous les textes
La loi ne demande pas cinq dossiers : la déclaration de conformité énumère toutes les législations d'harmonisation applicables (règlement Machines, annexe V). euvex l'assemble depuis vos volets (CRA, RED, Machines) et vous la signez : elle est établie sous la seule responsabilité du fabricant, et ça aussi, c'est la loi.
Le compte est gratuit : il sert à déposer un fichier et à tenir le dossier produit. Un scan déposé reste lisible sans compte, par son lien.
Un SBOM est une photo. La conformité est un film.
Le fichier que vous téléchargez est vrai le jour où vous le générez. La CVE qui vous concerne tombera un autre jour. euvex revérifie donc chaque produit surveillé tous les jours, automatiquement et garde la trace de chaque vérification. Si la surveillance s'interrompt, le dossier nomme l'interruption au lieu de la cacher : « rien n'a changé » et « on ne regardait pas » n'y sont jamais confondus.
Toutes les révisions s'exportent en un fichier autonome, chacune en CycloneDX standard, datée de sa capture. Vos preuves ne dépendent pas de la survie d'euvex.
Bêta
Gratuit pendant la bêta
Génération du SBOM, scan des vulnérabilités, historique et dossier d'audit : tout est ouvert, sans limite de temps annoncée. Le prix est arrêté ; il s'affichera au lancement, pas avant.
Générer un SBOMLe détail, et nos engagementsAvant d'ouvrir un compte
Toutes les questionsMon produit est-il concerné ?
euvex ne le dit pas : qualifier un produit est une question de droit, et la réponse reste la vôtre. Ce qu'il donne pour en juger : le champ de la directive RED et ses exigences cyber, texte à l'appui, et chaque échéance avec sa source au Journal officiel, sur les repères.
Dans la console, un texte qui ne concerne pas un produit se déclare « ne s'applique pas » pour ce produit : il sort de sa déclaration UE de conformité.
Mon SBOM vient d'une chaîne de firmware, Yocto par exemple. Est-il lu ?
Oui, s'il est en CycloneDX JSON (versions 1.2 à 1.6) ou en SPDX (2.2 et 2.3 en JSON ou tag-value, 3.0 en JSON-LD) : il s'importe tel quel. Le SPDX de Yocto 5.1 et suivants se dépose directement, l'archive .spdx.tar.zst de Yocto 5.0 non. Les composants en pkg:generic, ce que ces chaînes produisent souvent, sont interrogés à la NVD par CPE ; ceux qui n'offrent ni CPE ni version exacte restent « non analysé », jamais comptés comme sains.
J'utilise déjà Syft ou Trivy. À quoi sert euvex ?
Gardez-les. Un générateur photographie un logiciel le jour où il tourne ; exporté en CycloneDX JSON, versions 1.2 à 1.6, son SBOM s'importe dans euvex tel quel.
Ce qu'euvex ajoute est ce qui se passe après : la revérification quotidienne et l'email sur une vulnérabilité nouvelle, l'historique daté des révisions, le croisement avec le catalogue des vulnérabilités activement exploitées pour l'art. 14, les questionnaires CRA, RED et Machines, et la déclaration UE qui rassemble le tout. Le détail, volet par volet.
Que se passe-t-il à la fin de la bêta ?
Rien sans vous. Pendant la bêta, aucune carte n'est demandée, donc rien ne peut être prélevé, et un compte de la bêta ne basculera pas en compte payant de lui-même : l'offre payante sera annoncée, et souscrite explicitement.
Le prix est arrêté depuis le 4 septembre 2026. Il s'affiche sur la page tarifs au lancement, et dans tous les cas au compte qui souscrit, avant tout paiement. L'unité facturée sera la gamme de produit, pas la version : une nouvelle version d'un produit déjà couvert ne coûte rien de plus.
Les comptes ouverts pendant la bêta ont droit au statut de membre fondateur s'ils souscrivent dans les douze mois qui suivent l'affichage du prix : la moitié du tarif public, sans limite de durée, tant que l'abonnement n'est pas interrompu. Les engagements sont écrits à l'article 8 des conditions d'utilisation.