Nomenclature logicielle (SBOM)

Un SBOM pour chaque analyse

Chaque analyse liste tous les paquets que vos lockfiles installent, avec leur licence, le paquet qui les fait entrer et leurs vulnérabilités connues. Téléchargez-le en SBOM CycloneDX 1.6, dans toutes les offres, y compris l’offre gratuite.

Ce qu’il contient

Un document par analyse, construit à partir des mêmes données que le rapport : le SBOM et le score décrivent donc toujours le même commit.

  • Chaque paquet installé

    Chaque version de paquet npm ou Composer que vos lockfiles installent, avec son package URL (purl), selon que vous la déclarez vous-même ou qu’elle arrive par un autre paquet, et selon qu’elle ne sert qu’au développement.

  • Licences

    La licence de chaque paquet, sous forme d’identifiant ou d’expression SPDX. Pour les lockfiles qui n’enregistrent pas les licences (yarn, pnpm, bun), elles viennent du registre npm ; une valeur qui n’est pas SPDX est conservée comme nom de la licence.

  • Le graphe des dépendances

    Quel paquet en fait entrer quel autre, depuis votre projet, pour voir pourquoi un paquet est là.

  • Vulnérabilités connues

    Les avis qu’OSV connaît pour ces versions, liés aux paquets concernés, avec une gravité et la version qui les corrige.

Lu dans vos lockfiles

Agnes construit la liste à partir du lockfile, hors du bac à sable. Il n’installe jamais vos dépendances et n’exécute jamais votre code.

  • package-lock.json
  • npm-shrinkwrap.json
  • yarn.lock
  • pnpm-lock.yaml
  • bun.lock
  • composer.lock

Pas de lockfile, pas de SBOM : committez-en un pour que chaque analyse puisse lister ce que vous livrez. Les paquets Composer y figurent avec leurs licences et leurs avis.

Un paquet dans le SBOM
{
  "type": "library",
  "bom-ref": "pkg:npm/%40vue/reactivity@3.5.13",
  "group": "@vue",
  "name": "reactivity",
  "version": "3.5.13",
  "purl": "pkg:npm/%40vue/reactivity@3.5.13",
  "scope": "required",
  "licenses": [{ "license": { "id": "MIT" } }],
  "properties": [
    { "name": "agnes:direct", "value": "false" },
    { "name": "agnes:lockfile", "value": "package-lock.json" }
  ]
}

Où le trouver

Le SBOM de la dernière analyse est toujours à un clic, et les analyses plus anciennes gardent le leur.

  • Vue d’ensemble du projet

    La carte SBOM de la vue d’ensemble d’un projet télécharge le plus récent, avec le nombre de paquets, de licences et de vulnérabilités qu’il contient.

  • Chaque analyse

    Chaque analyse a son propre téléchargement : vous pouvez remettre le SBOM exactement du commit que vous avez livré.

  • Votre agent IA

    Les agents connectés à Agnes le récupèrent avec l’outil get_sbom, par exemple pour vérifier une licence ou planifier une mise à jour.

    Connecter un agent →

Pour les clients, les audits et le Cyber Resilience Act

Clients et auditeurs demandent de plus en plus un SBOM, et le règlement européen sur la cyberrésilience (Cyber Resilience Act) demande aux fabricants de produits comportant des éléments numériques d’en établir un, couvrant au moins les dépendances de premier niveau. Le SBOM d’Agnes couvre chaque paquet installé et se met à jour à chaque analyse. C’est une partie de ce que demande le règlement, pas une conformité à lui seul.

Le format

CycloneDX 1.6 en JSON, le standard de l’OWASP que lisent la plupart des outils SBOM. Les paquets sont identifiés par leur package URL et les licences par SPDX, et nos tests vérifient l’export avec le schéma officiel de CycloneDX. Le numéro de série du document est l’identifiant de l’analyse : la même analyse donne donc toujours le même SBOM.

Ce qu’il ne contient pas : vos propres fichiers source, les empreintes des fichiers et les paquets absents de tout lockfile, comme des scripts copiés dans le dépôt. Les très gros projets s’arrêtent à 20 000 paquets ; le SBOM indique alors combien il en a laissé de côté.

Voyez ce que livre votre dépôt

Connectez un dépôt : la première analyse arrive avec son SBOM.

Commencer