L'inventaire reste à jour tout seul
Déposez votre SBOM depuis GitHub, GitLab ou l'API. Le document est conservé octet pour octet : c'est celui-là que vous produirez à une autorité.
$ craetics sbom push
bom.json · 1 248 components
✓ sha256:9f2c…
Obligatoire depuis le 11 septembre 2026
Une faille exploitée. Vingt‑quatre heures pour la signaler.
Si vous fabriquez un logiciel ou un objet connecté vendu dans l'Union européenne, le Cyber Resilience Act vous impose de connaître vos composants, de surveiller leurs vulnérabilités et de réagir sous chronomètre. Craetics tient l'inventaire, surveille, prévient, et conserve les preuves.
Sans carte bancaire.
craetics.com/creatics/incidents
INC-2026-0001
Exécution de code à distance dans Log4j
24 h
Envoyée
72 h
8 h 14
14 j
13 jours
Écart détection / prise de connaissance : 6 h 18
Article 14
- 24 h
- Alerte précoce, après la prise de connaissance.
- 72 h
- Notification de la vulnérabilité ou de l'incident.
- 1 mois
- Rapport final.
Elles courent à partir du moment où le fabricant a connaissance du problème — pas de sa découverte par un outil. C'est vous qui déclarez cette date, elle est horodatée et auditée, et l'écart avec la détection figure dans le dossier.
Ce que fait l'outil
La veille tourne toutes les nuits
OSV, le catalogue CISA des failles activement exploitées, les scores du NVD. Une comparaison indécidable lève une alerte marquée incertaine.
CVE-2021-44228EXPLOITÉE
CVE-2024-21538INCERTAINE
Vos décisions deviennent un document
Chaque alerte se tranche avec sa justification, et l'ensemble s'exporte en VEX CycloneDX 1.6, signé de votre organisation.
"state": "not_affected"
"justification":
"code_not_reachable"
Le journal d'audit ne se réécrit pas
Chaque entrée est chaînée par empreinte à la précédente. Une modification se voit. C'est ce qui sépare un relevé d'activité d'un élément de preuve.
#35 ← a1f9…
#36 ← 7c42…
✓ 37 entrées vérifiées
Le dossier de contrôle
Une archive qu'un contrôleur vérifie sans vous
Liste de contrôle, SBOM tels que reçus, déclarations VEX, dossiers d'incident, journal d'audit et sa vérification. Chaque fichier porte son empreinte SHA-256 au manifeste.
Et il dit ce qui manque aussi clairement que ce qui est là. Un dossier qui ne montrerait que le bon se lirait comme une complétude, et son silence serait le mensonge.
dossier-craetics-2026-10-21.zip
manifest.json
checklist.md
sbom/
futures-edge-2.4.0.cdx.json
superseded.json
vex/
futures-edge-2.4.0.vex.json
incidents/
INC-2026-0001.md
audit/
journal.jsonl
verification.txt
Ce qu'il ne fait pas
- Il ne vous rend pas conforme. La qualification de vos produits et le contenu de vos déclarations restent les vôtres.
- Il ne dépose rien à votre place. La transmission se fait sur la plateforme unique de l'article 16.
- L'absence d'alerte ne vaut pas absence de vulnérabilité. Un composant sans identifiant de paquet est signalé non surveillable plutôt que compté comme sain.
Tarifs
Tout ce que la loi exige est dans toutes les offres. Elles ne se distinguent que par le volume.
- ✓ Surveillance et alertes
- ✓ Procédure d'incident complète
- ✓ Journal d'audit inaltérable
- ✓ Export du dossier de contrôle
- ✓ Déclarations VEX
- ✓ Dix ans de conservation
- ✓ Dépôt de SBOM depuis votre CI
Essentiel
99 €
par mois, HT
2 produits · 3 utilisateurs
Le plus choisi
Pro
249 €
par mois, HT
10 produits · utilisateurs illimités
Business
590 €
par mois, HT
30 produits · utilisateurs illimités
Partenaire
Sur devis
Produits illimités · utilisateurs illimités
30 jours, sans carte bancaire. Résiliable en un clic.
Vos données
Nos équipes ne voient que des compteurs. Lire le contenu de votre organisation exige que vous accordiez vous-même un accès nominatif, limité à 72 heures, révocable, et inscrit à votre journal d'audit. Vos nomenclatures restent les vôtres et s'exportent à tout moment, dans une archive lisible sans cet outil. politique de confidentialité.
Application complète du règlement : 11 décembre 2027.