Aller au contenu principal
euvex
Console

Le SBOM, en clair

Ce que c'est, pourquoi la réglementation s'en empare, quand il devient une exigence, et à quoi ressemble vraiment le fichier. Aucun prérequis technique.

C'est quoi un SBOM, en clair ?

Pensez à l'étiquette d'ingrédients sur une boîte de raviolis : tout ce qu'il y a dedans, dans l'ordre, avec les quantités. Un SBOM (Software Bill of Materials), c'est exactement ça, mais pour un logiciel.

Raviolis bœuf · 400 g

Ingrédients

  • Farine de blé38 %
  • Bœuf21 %
  • Œufs8 %
  • Sel1,2 %
  • Conservateur E2500,01 %
Si demain le E250 est interdit, on retire toutes les boîtes qui en contiennent.

illustration

même principe

checkout-service@2.4.1

sbom.cdx.json

  • express4.18.2
  • lodash4.17.21
  • react18.2.0
  • axios1.6.7
  • log4js6.4.0
Si une CVE tombe sur log4js 6.4.0, on liste toutes les applis qui en dépendent.

illustration

Un logiciel moderne, c'est une poignée de fichiers écrits chez vous et des centaines de bibliothèques open source écrites par des inconnus. Sans SBOM, quand une faille tombe sur l'une d'elles, personne ne sait quelles applications sont touchées.

Pourquoi tout le monde s'y met maintenant

Décembre 2021. Une bibliothèque de journalisation Java très répandue, log4j, se révèle vulnérable. Elle est utilisée (sans que personne le sache précisément) par des millions d'applications dans le monde : banques, hôpitaux, Apple, Tesla, Minecraft. La panique n'a pas duré à cause de la faille en elle-même, mais parce que personne ne savait où elle se cachait.

  1. votre-application
  2. bibliotheque-a
  3. bibliotheque-b
  4. bibliotheque-c
  5. log4j-core 2.14.1CVE-2021-44228
illustration · la faille est ici, au quatrième niveau : invisible sans SBOM

Avant même Log4Shell, l'Executive Order 14028 (États-Unis, mai 2021) rangeait la fourniture d'un SBOM à l'acheteur parmi les pratiques attendues des fournisseurs de logiciels de l'administration fédérale. Log4Shell a montré pourquoi. Puis :

  • Cyber Resilience Act (UE, 2024) : SBOM exigé dans la documentation technique des produits comportant des éléments numériques mis sur le marché de l'UE, hors exclusions de l'art. 2. Applicable au 11.12.2027.
  • Amendes jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires mondial pour non-conformité.

La confusion la plus répandue

Le 11 septembre 2026 revient partout comme « l'échéance SBOM ». C'est faux : cette date est celle du signalement des vulnérabilités activement exploitées (art. 14). Les exigences essentielles, dont le SBOM (annexe I, partie II, point 1), sont applicables au 11 décembre 2027 (art. 71(2)). Deux obligations distinctes, deux dates distinctes.

À quoi ressemble un SBOM, vraiment

Un fichier JSON au format standard CycloneDX 1.5, porté par OWASP. Un format couramment utilisé et lisible par machine, ce que demande l'annexe I, partie II, point 1 du CRA : les outils de recherche de vulnérabilités le lisent, votre futur acquéreur aussi.

sbom.cdx.jsonexemple
{  "bomFormat": "CycloneDX",  "specVersion": "1.5",  "serialNumber": "urn:uuid:3e8a7c4f-9b1d-4e2a-...",  "metadata": {    "timestamp": "2026-05-28T14:32:00Z",    "component": {      "name": "checkout-service",      "version": "2.4.1"    }  },  "components": [    {      "bom-ref": "pkg:npm/express@4.18.2",      "type": "library",      "name": "express",      "version": "4.18.2",      "purl": "pkg:npm/express@4.18.2",      "licenses": [{ "license": { "id": "MIT" } }],      "hashes": [{ "alg": "SHA-512", "content": "wYn7g5Y3..." }]    }  ]}

Pour chaque dépendance :

Le vôtre, en trente secondes

Déposez un lockfile (npm, pnpm, yarn) ou un SBOM CycloneDX ou SPDX existant. Un compte gratuit suffit, et le fichier n'est pas conservé.

Générer un SBOMCe qu'euvex fournit