Un SBOM complet, à partir de votre lockfile

Déposez un lockfile npm, yarn, pnpm, pip, Go ou Rust. Vous récupérez un inventaire CycloneDX ou SPDX, hébergé en Europe.

Générer gratuitement Voir les tarifs

Essayez maintenant, sans compte

{
  "packages": {
    "": {},
    "node_modules/react": { "version": "18.2.0" },
    "node_modules/lodash": { "version": "4.17.21" },
    "node_modules/zod": { "version": "3.22.4" },
    "node_modules/stripe": { "version": "16.8.0" }
  }
}

Analyse locale dans votre navigateur — rien n'est envoyé.

Sortie CycloneDX — aperçu
4 dépendances détectées
react18.2.0
lodash4.17.21
zod3.22.4
stripe16.8.0
Générer le fichier complet →

Ce que le service fait

Six formats de lockfiles acceptés

npm, yarn, pnpm, pip, Go et Rust. Vous déposez le fichier, l'outil reconnaît le format et liste chaque dépendance avec sa version exacte.

package-lock.jsonnpm
yarn.lockyarn
pnpm-lock.yamlpnpm
requirements.txtpip
go.sumGo
Cargo.lockRust

CycloneDX 1.5 et SPDX 2.3

Les deux formats que demandent les auditeurs. CycloneDX en gratuit, SPDX en Pro. Les fichiers passent dans Grype ou Dependency-Track sans retouche.

bomFormat"CycloneDX"
specVersion"1.5"
components142 packages
serialNumberurn:uuid:4f9a…

Vos lockfiles ne sont pas conservés

En plan gratuit, le fichier est parsé puis jeté. Aucun tracker sur le site, aucune donnée envoyée à un tiers, hébergement en Europe.

Lecture du lockfileEU
ParsingEU
Conservationaucune (gratuit)

Douze mois d'historique en Pro

Comparez deux scans d'un même projet et voyez ce qui a changé : dépendances ajoutées, supprimées, versions migrées.

v1.2.0 → v1.3.0+3 −1
+ zod@3.22.4ajouté
− moment@2.29.4retiré

Conteneurs empilés dans un port : un inventaire où chaque unité est identifiée, comme un SBOM liste chaque dépendance — « Shipping container stacks, Port of Rotterdam », AgainErick, CC BY-SA 4.0, via Wikimedia Commons.

NIS2 maintenant. CRA en 2027.

À partir de 2027, le Cyber Resilience Act exige un SBOM pour les produits avec éléments numériques vendus dans l'UE. NIS2 impose déjà une gestion des risques fournisseurs aux entités essentielles et importantes. Les outils existants facturent plusieurs centaines d'euros par mois et stockent vos données hors d'Europe.

Baies de serveurs d'un datacentre : l'infrastructure européenne où les lockfiles sont traités — Datacentre (CERN), Wikimedia Commons, CC BY-SA 3.0 — illustration de l'hébergement européen.

Questions fréquentes

Un SBOM est-il obligatoire ?: Le Cyber Resilience Act l'impose aux produits vendus dans l'UE à partir de 2027. NIS2 concerne les entités essentielles et importantes dès maintenant.
CycloneDX ou SPDX ?: CycloneDX domine l'écosystème sécurité ; SPDX est le format de référence OSI. SBOMKit exporte les deux, SPDX en plan Pro.
Mes sources de code sont-elles envoyées ?: Non. Seul le fichier de verrouillage — la liste des dépendances et de leurs versions — est traité.
Pourquoi un plan gratuit limité ?: 5 générations par mois couvrent un projet personnel. Au-delà, un abonnement finance l'hébergement européen et le développement.

Essayez sans compte.

L'exemple du haut tourne dans votre navigateur, rien n'est envoyé.

Générer un SBOM À propos