Questions fréquentes, réponses courtes

euvex ne le dit pas : qualifier un produit est une question de droit, et la réponse reste la vôtre. Ce qu'il donne pour en juger : le champ de la directive RED et ses exigences cyber, texte à l'appui, et chaque échéance avec sa source au Journal officiel, sur les repères.

Dans la console, un texte qui ne concerne pas un produit se déclare « ne s'applique pas » pour ce produit : il sort de sa déclaration UE de conformité.

Non. euvex structure, date et assemble votre dossier ; il ne qualifie pas votre produit à votre place, et ne signe rien. Les repères publient chaque échéance avec sa source au Journal officiel, pour que vous puissiez la vérifier vous-même.

Oui, s'il est en CycloneDX JSON (versions 1.2 à 1.6) ou en SPDX (2.2 et 2.3 en JSON ou tag-value, 3.0 en JSON-LD) : il s'importe tel quel. Le SPDX de Yocto 5.1 et suivants se dépose directement, l'archive .spdx.tar.zst de Yocto 5.0 non. Les composants en pkg:generic, ce que ces chaînes produisent souvent, sont interrogés à la NVD par CPE ; ceux qui n'offrent ni CPE ni version exacte restent « non analysé », jamais comptés comme sains.

Gardez-les. Un générateur photographie un logiciel le jour où il tourne ; exporté en CycloneDX JSON, versions 1.2 à 1.6, son SBOM s'importe dans euvex tel quel.

Ce qu'euvex ajoute est ce qui se passe après : la revérification quotidienne et l'email sur une vulnérabilité nouvelle, l'historique daté des révisions, le croisement avec le catalogue des vulnérabilités activement exploitées pour l'art. 14, les questionnaires CRA, RED et Machines, et la déclaration UE qui rassemble le tout. Le détail, volet par volet.

Elles ne répondent pas à la même question. Une plateforme de conformité d'organisation répond à « mon entreprise est-elle en ordre » : des politiques, des contrôles, une entité. euvex répond à « ce produit, dans cette version, que dit son dossier » : une gamme, ses versions, la nomenclature de chacune, son historique et sa déclaration UE de conformité.

Les deux ne se remplacent pas : la conformité d'une organisation ne tient pas lieu de dossier pour chacun de ses produits, et un dossier produit ne dit rien de l'organisation.

OSV.dev au dépôt et à chaque revérification ; la NVD, par identifiant CPE, pour les composants qu'OSV ne résout pas ; la base européenne de l'ENISA, pour attacher à une vulnérabilité son identifiant européen ; le catalogue CISA KEV pour l'exploitation active. Le détail, et les limites de chacune, sont sur la page Nos sources.

Une passe toutes les dix minutes, et chaque scan est revérifié une fois par jour. Un scan se revérifie aussi depuis sa page, une fois par heure au plus : contre OSV seulement, et sans email.

Non. Zéro veut dire qu'aucune vulnérabilité publiée n'est connue des sources interrogées pour ces composants. Une faille pas encore publiée n'y est pas, par définition.

Qui possède l'adresse d'un scan le voit, sans compte : c'est ce qui permet de le transmettre à un auditeur. Les pages de scan ne sont pas indexées par les moteurs de recherche. Traitez l'adresse comme un mot de passe.

Non. Il est lu, transformé en nomenclature, puis jeté : seuls la nomenclature et l'empreinte du fichier sont enregistrées.

L'application et la base sont à Francfort, chez Vercel et Supabase ; les emails partent d'Irlande, par Resend. Tout ne reste pas dans l'Union : Cloudflare, société américaine, sert le DNS, les tâches planifiées, la vérification anti-robot et la redirection des adresses de contact, et une copie chiffrée de la base est gardée quatorze jours chez GitHub, société américaine.

Le détail, prestataire par prestataire, est dans la politique de confidentialité.

Dans les réglages de la console, « Télécharger mes données » : un fichier JSON avec le compte, l'état de la double authentification, les sessions ouvertes, les réglages, les produits et leurs déclarations, les dossiers de signalement, les alertes, le journal des actions, vos demandes au support, et pour chaque scan le lien de son archive. Chaque scan se télécharge aussi en CycloneDX 1.5, ou en archive de toutes ses révisions.

Ce que vous avez téléchargé ne dépend plus de nous. L'archive de chaque scan contient toutes ses révisions en CycloneDX standard, datées de leur capture. L'export du compte, dans vos réglages, rassemble en un fichier JSON vos produits, vos questionnaires CRA, RED et Machines, vos dossiers art. 14 et vos alertes. Les deux se téléchargent à tout moment, sans demande. Gardez-en une copie avec votre documentation technique, qui doit rester disponible au moins dix ans.

Le compte se supprime dans les réglages, sans délai de grâce : le compte, ses produits, ses dossiers et ses alertes sont effacés. Les scans ne le sont pas : ils sont détachés du compte, leur adresse d'alerte est vidée, et ils restent lisibles par leur adresse. Pour faire effacer un scan, écrivez au support : l'effacement est réel, toutes ses révisions partent et son lien cesse de marcher, y compris celui confié à un auditeur. Il est refusé tant qu'un dossier de signalement art. 14 encore ouvert en dépend : « Clore le dossier » d'abord, depuis « Signalements ».

Rien sans vous. Pendant la bêta, aucune carte n'est demandée, donc rien ne peut être prélevé, et un compte de la bêta ne basculera pas en compte payant de lui-même : l'offre payante sera annoncée, et souscrite explicitement.

Le prix est arrêté depuis le 4 septembre 2026. Il s'affiche sur la page tarifs au lancement, et dans tous les cas au compte qui souscrit, avant tout paiement. L'unité facturée sera la gamme de produit, pas la version : une nouvelle version d'un produit déjà couvert ne coûte rien de plus.

Les comptes ouverts pendant la bêta ont droit au statut de membre fondateur s'ils souscrivent dans les douze mois qui suivent l'affichage du prix : la moitié du tarif public, sans limite de durée, tant que l'abonnement n'est pas interrompu. Les engagements sont écrits à l'article 8 des conditions d'utilisation.

Pas aujourd'hui. Un compte a une adresse et un titulaire ; les comptes d'équipe, avec plusieurs membres et leurs rôles, ne sont pas construits. Un scan se transmet en lecture par son lien, et chaque document du dossier s'imprime.

Si c'est ce qui vous arrête, dites-le à contact@euvex.eu : ce sont ces demandes qui décideront de la forme des comptes d'équipe.

Elles sont sur la page tarifs : ses questions fréquentes, et un bloc pour votre service achats. Elles ne sont pas recopiées ici, pour qu'un prix ne s'écrive qu'à un endroit.

Non. Il ouvre le dossier, tient les trois échéances et prépare le contenu des rapports ; le dépôt sur la plateforme unique de signalement, auprès du CSIRT désigné comme coordinateur et de l'ENISA, reste votre action. Le dossier imprimable le dit, et l'email aussi.

Non. Elle est « établie sous la seule responsabilité du fabricant » (règlement Machines, annexe V, partie A, point 4). euvex l'assemble depuis vos volets et signale ce qui bloque ; la vérification, les mentions à compléter et la signature restent les vôtres. Le dossier et la déclaration, en clair.

Cela dépend du texte, de la catégorie du produit et des normes que vous appliquez. euvex n'est pas un organisme notifié et ne remplace pas son intervention quand elle est requise. Sur RED, certaines restrictions des normes EN 18031 retirent la présomption de conformité : lesquelles.

Non. Les questionnaires CRA, RED et Machines donnent un état de préparation, pas une évaluation de conformité, et euvex ne signe pas la déclaration UE de conformité.

Non. Les exigences cyber de RED et du règlement Machines portent sur le comportement de l'appareil : trafic réseau, mise à jour sécurisée, authentification. euvex ne les mesure pas et n'applique pas EN 18031 à votre place : il recueille vos réponses, exigence par exigence, avec la preuve que vous citez. Ce qu'il mesure lui-même est l'inventaire logiciel et ses vulnérabilités connues.

Non. Il lit un lockfile (npm, pnpm, yarn) ou un SBOM CycloneDX ou SPDX, jamais un dépôt Git. Les lockfiles des autres écosystèmes (bun, Python, Cargo, Go, Composer, Bundler) ne sont pas lus : le dépôt les reconnaît et les refuse avec un message.

Non. C'est un accusé de réception : euvex ne vérifie pas que la vulnérabilité a été corrigée.