Aller au contenu principal

Boîte à outils OCCTET

Du code source aux rapports prêts pour le CRA

Une suite d'outils open source interconnectés qui transforme la conformité logicielle en une expérience pratique et guidée pour les PME et les projets open source sur lesquels elles s'appuient.

  • Open source, licence Apache-2.0
  • Repose sur Eclipse Apoapsis, Curator et VulnerableCode
  • L'humain dans la boucle
Commencer par l'auto-évaluation Voir comment ça marche
Sachez où vous en êtes Plateforme d'auto-évaluation CRA Répondez à un questionnaire guidé et mesurez en quelques minutes votre préparation au CRA. Gratuit, confidentiel, avec vos prochaines étapes. Commencer l'auto-évaluation Analysez votre logiciel La chaîne d'outils OCCTET Scannez votre code, examinez les résultats et exportez les SBOM, les déclarations VEX et les rapports d'audit nécessaires à votre documentation CRA. Suivre le guide de démarrage

Comment fonctionne la chaîne d'outils

Quatre étapes, d'un dépôt Git à des artefacts de conformité standard. L'ensemble du processus peut être lancé et piloté depuis le Curator.

Code source Dépôt Git
1 ORT Server

Analyser le projet

Le ORT Server analyse le code source et génère des SBOM, des rapports et des métadonnées.

  • SBOM
  • Rapports
  • Dépendances
  • Licences
2 OCCTET Curator

Enrichir et curer

Le Curator combine les résultats, complète les informations manquantes et permet une revue manuelle des composants, licences, droits d'auteur et vulnérabilités, y compris les déclarations VEX.

  • Composants
  • Licences et droits d'auteur
  • Vulnérabilités et VEX
  • Assistance IA
  • Preuves
4 Reporting

Créer des rapports

Les données curées sont exportées dans des formats standard tels que SBOM, VEX et rapports d'audit.

  • SBOM
  • VEX
  • Rapports d'audit
3
VulnerableCode

Utiliser des données externes

La base de données fédérée VulnerableCode fournit des informations à jour sur les vulnérabilités, les composants et les métadonnées, à ORT comme au Curator.

Démarrez une analyse, lancez un nouveau scan ORT avec vos paramètres, consultez les résultats et gérez la curation, le tout depuis le Curator.

Les outils

ORT Server

Par Eclipse Apoapsis Apache-2.0

Analyse automatisée du code source, des dépendances et des licences.

Une implémentation serveur évolutive de l'OSS Review Toolkit (ORT). Il identifie chaque composant open source, avec ses licences, ses vulnérabilités connues et ses dépendances, puis transmet les résultats au Curator.

  • Générer des SBOM détaillés (SPDX, CycloneDX)
  • Produire des rapports d'analyse et des métadonnées
  • Cartographier l'arbre complet des dépendances
  • Détecter tôt les risques liés aux licences et à la sécurité
  • Surveiller les projets en continu grâce à des scans planifiés

OCCTET Curator

Par Bitsea Apache-2.0

Curation et reporting avec intervention humaine.

Transforme les résultats bruts des scans en données de conformité vérifiées et fiables, et c'est depuis lui que les utilisateurs pilotent l'ensemble du processus. Il est fourni avec des scripts Docker prêts à l'emploi et une configuration docker-compose documentée.

  • Vérifier et compléter l'inventaire des composants et des dépendances
  • Valider les licences détectées et les titulaires de droits d'auteur
  • Évaluer les vulnérabilités et créer des déclarations VEX
  • Bénéficier d'une assistance IA pour interpréter plus vite les résultats
  • Garder la trace des décisions et produire des preuves de conformité

VulnerableCode

Par Apache-2.0

Base de données fédérée de vulnérabilités, de composants et de métadonnées.

Grâce à FederatedCode, elle relie des sources de données fiables et consolide les informations sur les paquets open source, indexées par Package URL (PURL), afin que chaque PME réutilise des données vérifiées au lieu de les recalculer.

  • Avis de sécurité et vulnérabilités connues des paquets
  • Provenance et métadonnées de licence des paquets
  • SBOM de référence pour les paquets suivis
  • Données ouvertes publiées dans des dépôts Git et via des API

Plateforme d'auto-évaluation CRA

Par Expertware

Mesurez votre préparation au CRA et obtenez vos prochaines étapes.

Un questionnaire guidé qui traduit les obligations du CRA en questions pratiques, évalue votre maturité par domaine et indique quoi faire ensuite, avec un assistant IA pour vous aider à interpréter les exigences.

  • Gratuite et confidentielle
  • Score de maturité par domaine du CRA
  • Explications et indicateurs de preuve pour chaque question
  • Prochaines étapes immédiates

Les instances OCCTET hébergées du ORT Server et du Curator nécessitent un compte. Demandez un accès testeur, ou déployez vous-même les outils à partir de leur code source.

Ce que vous obtenez

Des artefacts standard et lisibles par machine pour la documentation technique CRA de votre produit.

  • SBOM

    Un inventaire complet des composants logiciels de votre produit, au format SPDX ou CycloneDX.

  • VEX

    Des déclarations indiquant si les vulnérabilités connues affectent réellement votre produit.

  • Rapports d'audit

    Une documentation des licences, des droits d'auteur, des vulnérabilités et des décisions prises, à l'appui de la conformité au CRA.

Testée sur des projets réels

La chaîne d'outils a analysé l'ensemble des projets de la Fondation Eclipse. Elle a aussi été validée sur des projets open source largement utilisés et sur des cas de PME, comme le présentent les livrables D3.3 et D3.4.

Voir les résultats de la boîte à outils

À voir en action aux CRA Mondays

projets de la Fondation Eclipse analysés, sur plus de 3 600 dépôts
452
projets open source populaires analysés dans 10 écosystèmes de langages
96
paquets dotés de SBOM de référence dans le démonstrateur public PurlDB
20M+

Pour commencer

Retour en haut