Saltar al Contenido Principal

Kit de herramientas OCCTET

Del código fuente a informes listos para el CRA

Un conjunto de herramientas de código abierto interconectadas que convierte el cumplimiento del software en una experiencia práctica y guiada para las pymes y los proyectos de código abierto de los que dependen.

  • Código abierto, Apache-2.0
  • Basado en Eclipse Apoapsis, Curator y VulnerableCode
  • Con intervención humana
Empieza por la autoevaluación Descubre cómo funciona
Conoce tu situación Plataforma de autoevaluación CRA Responde a un cuestionario guiado y mide en minutos tu preparación para el CRA. Gratuita, confidencial y con tus próximos pasos. Iniciar autoevaluación Analiza tu software La cadena de herramientas OCCTET Escanea tu código, revisa los resultados y exporta los SBOM, VEX e informes de auditoría que necesita tu documentación del CRA. Seguir la guía de primeros pasos

Cómo funciona la cadena de herramientas

Cuatro pasos, de un repositorio Git a artefactos de cumplimiento estándar. Todo el flujo de trabajo puede iniciarse y gestionarse desde el Curator.

Código fuente Repositorio Git
1 ORT Server

Analizar el proyecto

El ORT Server analiza el código fuente y genera SBOM, informes y metadatos.

  • SBOM
  • Informes
  • Dependencias
  • Licencias
2 OCCTET Curator

Enriquecer y curar

El Curator combina los resultados, añade la información que falta y permite la revisión manual de componentes, licencias, derechos de autor y vulnerabilidades, incluidas las declaraciones VEX.

  • Componentes
  • Licencias y derechos de autor
  • Vulnerabilidades y VEX
  • Asistencia de IA
  • Evidencias
4 Informes

Crear informes

Los datos curados se exportan en formatos estándar como SBOM, VEX e informes de auditoría.

  • SBOM
  • VEX
  • Informes de auditoría
3
VulnerableCode

Usar datos externos

La base de datos federada VulnerableCode proporciona información actualizada sobre vulnerabilidades, componentes y metadatos, tanto a ORT como al Curator.

Inicia un análisis, lanza un nuevo escaneo ORT con tus parámetros, consulta los resultados y gestiona la curación, todo desde el Curator.

Las herramientas

ORT Server

Por Eclipse Apoapsis Apache-2.0

Análisis automatizado del código fuente, las dependencias y las licencias.

Una implementación de servidor escalable del OSS Review Toolkit (ORT). Identifica cada componente de código abierto, con sus licencias, vulnerabilidades conocidas y dependencias, y transmite los resultados al Curator.

  • Generar SBOM detallados (SPDX, CycloneDX)
  • Producir informes de análisis y metadatos
  • Mapear el árbol completo de dependencias
  • Detectar pronto los riesgos de licencias y de seguridad
  • Supervisar los proyectos de forma continua con escaneos programados

OCCTET Curator

Por Bitsea Apache-2.0

Curación e informes con intervención humana.

Convierte los resultados brutos de los escaneos en datos de cumplimiento revisados y fiables, y es el lugar desde el que los usuarios dirigen todo el flujo de trabajo. Incluye scripts Docker listos para usar y una configuración docker-compose documentada.

  • Revisar y completar el inventario de componentes y dependencias
  • Verificar las licencias detectadas y los titulares de derechos de autor
  • Evaluar vulnerabilidades y crear declaraciones VEX
  • Obtener asistencia de IA para interpretar los resultados más rápido
  • Registrar las decisiones y generar evidencias de cumplimiento

VulnerableCode

Por Apache-2.0

Base de datos federada de vulnerabilidades, componentes y metadatos.

A través de FederatedCode, conecta fuentes de datos fiables y consolida información sobre paquetes de código abierto, indexada por Package URL (PURL), para que cada pyme reutilice datos verificados en lugar de recalcularlos.

  • Avisos de seguridad de paquetes y vulnerabilidades conocidas
  • Metadatos de origen y licencia de los paquetes
  • SBOM de referencia para los paquetes rastreados
  • Datos abiertos publicados en repositorios Git y API

Plataforma de autoevaluación CRA

Por Expertware

Mide tu preparación para el CRA y obtén tus próximos pasos.

Un cuestionario guiado que traduce las obligaciones del CRA en preguntas prácticas, puntúa tu madurez por ámbito y te indica qué hacer a continuación, con un asistente de IA que te ayuda a interpretar los requisitos.

  • Gratuita y confidencial
  • Puntuación de madurez por ámbito del CRA
  • Explicaciones e indicadores de evidencia para cada pregunta
  • Próximos pasos inmediatos

Las instancias de ORT Server y del Curator alojadas por OCCTET requieren una cuenta. Solicita acceso como tester o despliega tú mismo las herramientas a partir de su código fuente.

Qué obtienes

Artefactos estándar y legibles por máquina para tu documentación técnica del CRA.

  • SBOM

    Un inventario completo de los componentes de software de tu producto, en SPDX o CycloneDX.

  • VEX

    Declaraciones sobre si las vulnerabilidades conocidas afectan realmente a tu producto.

  • Informes de auditoría

    Documentación de las licencias, los derechos de autor, las vulnerabilidades y las decisiones tomadas, para respaldar el cumplimiento del CRA.

Probada en proyectos reales

La cadena de herramientas ha analizado todos los proyectos de la Fundación Eclipse. También se ha validado en proyectos de código abierto ampliamente utilizados y en casos de pymes, como se recoge en los entregables D3.3 y D3.4.

Ver los resultados del kit de herramientas

Míralo en acción en los CRA Mondays

proyectos de la Fundación Eclipse analizados, en más de 3.600 repositorios
452
proyectos de código abierto populares analizados en 10 ecosistemas de lenguajes
96
paquetes con SBOM de referencia en el demostrador público PurlDB
20M+

Primeros pasos

Volver arriba