Plateforme de conformité CRA pour
fabricants, importateurs et distributeurs.
Logiciel de conformité au Cyber Resilience Act (CRA) pour les SBOMs, les flux de gestion des vulnérabilités, le signalement ENISA et les dossiers techniques. Tout en un seul endroit.
Vos SBOMs, validés et versionnés
Déposez un fichier CycloneDX ou SPDX. Nous le validons selon les critères de qualité BSI TR-03183, notons sa complétude et conservons des enregistrements prêts pour l'audit pour chaque version de produit.
Score de qualité
Notation automatique selon le standard BSI TR-03183 avec recommandations d'amélioration.
Arbre des dépendances
Visualisez les dépendances directes et transitives avec détection des dépendances circulaires.
Comparaison de versions
Comparez les SBOMs entre les versions. Suivez ce qui a changé et pourquoi.
Vérification des licences
Identifiez les combinaisons de licences problématiques dans vos composants.
Trouvez les vulnérabilités avant les régulateurs
Chaque SBOM est analysé contre plusieurs bases de données de vulnérabilités — NVD via Trivy et OSV.dev (agrégeant les avis de sécurité de GitHub, Go, Rust et PyPI). Chaque découverte est enrichie avec EPSS (Exploit Prediction Scoring System) de FIRST.org pour estimer la probabilité réelle d'exploitation dans les 30 prochains jours — pour corriger ce que les attaquants ciblent réellement, pas seulement ce qui a le score CVSS le plus élevé. Les versions de production et de staging sont réanalysées automatiquement lorsque les bases de données de vulnérabilités sont mises à jour, et toutes les découvertes sont croisées avec le catalogue CISA Known Exploited Vulnerabilities.
Que se passe-t-il lors du téléchargement
Scanners NVD uniquement vs. CRA Evidence
| Fonctionnalité | NVD uniquement | CRA Evidence |
|---|---|---|
| Coverage | CVEs généraux | NVD + GitHub + Go + Rust + PyPI |
| Intelligence d'exploitation | CVSS (sévérité uniquement) | EPSS (probabilité réelle) |
| Alertes CISA KEV | Automatic | |
| Fréquence de mise à jour | Quotidienne | Continue (synchronisée avec OSV.dev) |
| Correspondance des versions par écosystème | Basé sur CPE | npm, Maven, Go, Cargo, NuGet, Gem |
| Prise en charge VEX | Export manuel (le cas échéant) | Auto-brouillon depuis le triage → Révision → Publier |
Documentation technique réellement conforme au CRA
Article 13 exige de conserver la documentation technique pendant 10 ans après la mise sur le marché d'un produit. Nous générons les dossiers Annexe VII, les certificats et les rapports de conformité pour que vous soyez prêt lorsqu'une autorité de surveillance du marché se présente.
Export du dossier technique
Un ZIP avec tout : manifeste lisible par machine (JSON), SBOMs (CycloneDX/SPDX), attestations, checklist de conformité et rapports d'attribution. Lisible par l'homme et par la machine, structuré selon l'Annex VII.
Déclaration UE de conformité
Générez des documents de Déclaration de Conformité UE avec une mise en forme appropriée, le contrôle de version et le suivi marquage CE.
Rapports de conformité
PDF ou HTML. Résumé des vulnérabilités, inventaire des composants, scores de qualité et état de la remédiation dans un seul rapport que vous pouvez remettre aux auditeurs.
Fiche de données de sécurité
Assistant pour la fiche de données de sécurité Annex II. Rédigez, validez, publiez. Exportez en PDF, Markdown ou HTML.
Certificats
Cycle de vie des certificats : brouillon, émission, révocation. Certificats émis immuables avec génération de PDF téléchargeable.
Documents multilingues
Générez des documents en 6 langues : anglais, espagnol, allemand, français, italien, polonais.
Conformité à l'Annex I
Évaluez votre produit selon les 20 exigences essentielles de cybersécurité de l'Annex I Partie I du CRA. Suivez ce qui est atteint et ce qui manque.
Signature des artefacts
Signature basée sur Sigstore pour les SBOMs et les artefacts. Modes sans clé et avec clé avec vérification de signature pour l'intégrité de la chaîne d'approvisionnement.
Suivi de la période de support
Définissez et suivez la période de support minimale obligatoire de 5 ans selon l'Art. 13(5) du CRA. Alertes lorsque les produits approchent de la fin du support.
Respectez chaque délai de signalement ENISA
Le CRA Article 14 impose de notifier ENISA des vulnérabilités activement exploitées et des incidents graves. Deux procédures distinctes avec des délais différents. CRA Evidence gère les deux avec des modèles structurés et un suivi des échéances.
Alerte précoce
Notification initiale de vulnérabilité dans les 24 heures suivant la découverte. Identifiant CVE, produits affectés et évaluation de la complexité de l'attaque.
Notification détaillée
Analyse technique avec calendrier de remédiation, solutions de contournement et évaluation élargie de l'impact sous 72 heures.
Rapport final
Confirmation de résolution avec détails du correctif permanent, calendrier de déploiement et retour d'expérience. 14 jours pour les vulnérabilités, 30 jours pour les incidents.
Tableaux de bord Fabricant, Importateur et Distributeur
Le CRA impose des obligations différentes aux fabricants (Art. 13), importateurs (Art. 19) et distributeurs (Art. 20). Chaque rôle dispose de son propre espace de travail avec les flux de travail réellement pertinents.
Gestion des produits et versions
Produits organisés par catégorie CRA : Par défaut, Important Classe I/Classe II, Critique. Chaque version suit son état de publication, son environnement et son niveau de rétention.
Pipeline d'artefacts complet
Téléchargez SBOM, HBOM et VEX par version. La notation de qualité et l'analyse des vulnérabilités se lancent automatiquement.
Gestion des vulnérabilités et des incidents
Suivi des CVE, flux de remédiation, notifications ENISA. Le tableau de bord sécurité classe tout par score EPSS et signale les entrées CISA KEV.
Génération de dossiers techniques
L'export Annex VII regroupe tout dans un ZIP : SBOMs lisibles par machine, checklists de conformité, rapports d'attribution et déclarations de conformité. Prêt pour les audits automatisés de surveillance du marché.
Notifications aux clients
Système de notification des vulnérabilités pour les clients en aval. Modèles multilingues avec gestion des listes de diffusion.
Badges de confiance
Badges de confiance de conformité intégrables sur vos pages produit. Lien vers la vérification publique de votre statut de conformité CRA.
Suivi de l'évaluation de conformité
Suivez votre parcours d’évaluation selon la catégorie de produit : auto-évaluation (Par défaut), contrôle interne (Important Classe I) ou évaluation par un tiers (Important Classe II, Critique).
Flux de vérification Art. 19
Liste de contrôle étape par étape couvrant les exigences de l'Art. 19 : vérification du marquage CE, revue Annex II, identification de l'importateur sur le produit, déclaration de conformité UE collectée, validation finale.
Registre des fabricants
Suivez vos fabricants : contacts, représentants dans l'UE, métadonnées CVD/CSAF. Définissez la fréquence de re-vérification pour chacun.
Décisions d'arrêt de distribution
Un problème détecté ? Bloquez le produit. Enregistrez votre justification, notifiez les parties prenantes et signalez-le à l'autorité. Tout est tracé.
Déclencheurs de re-vérification
Nouvelle vulnérabilité détectée ? Mise à jour majeure publiée ? Date de re-vérification approchant ? Vous recevrez une alerte pour re-vérifier.
Cloner les vérifications
Vous vérifiez une nouvelle version du même produit ? Clonez la vérification précédente. L'état de la liste de contrôle et les données du fabricant sont conservés.
Tableau de bord des vérifications
Voyez en un coup d'œil où en sont les choses : combien de produits sont vérifiés, en attente, bloqués ou à re-vérifier.
Liste de contrôle de diligence Art. 20
Tout ce que l'Art. 20 exige, sous forme de liste de contrôle : identification et traçabilité du produit, marquage CE, déclaration UE, contacts du fabricant, détection des anomalies.
Téléchargement des preuves CE
Téléchargez vos preuves de marquage CE : photos, numérisations, certificats. Les contrôles de type et de taille de fichier sont intégrés, et tout est journalisé.
Certificats de vérification
Générez des certificats PDF attestant de la conformité de diligence. Inclut les détails du distributeur, le périmètre, la date et un numéro de vérification unique.
Actions d'arrêt de distribution
Un problème ? Arrêtez la distribution. La justification est enregistrée, et les autorités ainsi que les fabricants sont notifiés.
Vue du portefeuille
Consultez toutes vos vérifications en un seul endroit. Filtrez par statut, produit ou date de complétion pour identifier ce qui nécessite votre attention.
Progression de la conformité
Barres de progression visuelles par produit. Vous voyez en un coup d'œil l'avancement de chaque vérification et ce qu'il reste à faire.
S'intègre dans votre pipeline de build
Un CLI et une API REST sont disponibles. Téléchargez des SBOMs, déclenchez des analyses et contrôlez les publications depuis le CI. Compatible avec GitHub Actions, GitLab CI ou tout outil capable d'exécuter une commande shell.
$ docker run --rm \
-e CRA_EVIDENCE_API_KEY="cra_xxx" \
-v /var/run/docker.sock:/var/run/docker.sock \
craevidence/cli:latest \
upload-sbom \
--product my-app \
--version 2.1.0 \
--image my-app:2.1.0 \
--scan --fail-on high
Upload successful!
Product my-app (created new)
Version 2.1.0 (created new)
Components 142
Quality Score 87%
Vulnerabilities
Critical 0
High 0
Medium 3
Low 1
Compatible avec les outils que vous utilisez déjà
Conçu pour que vos données de conformité soient en sécurité
Accès basé sur les rôles
Rôles Owner, Admin, Member, Viewer. Clés API à périmètre défini avec permissions granulaires.
SSO et MFA
SAML 2.0, OAuth Google et Microsoft, provisionnement SCIM. Authentification multi-facteurs TOTP.
Chiffrement
AES-256 au repos, TLS 1.3 en transit. Hachage de mots de passe Argon2id.
Multi-tenant
Isolation complète des tenants. Chaque requête respecte les limites de l'organisation.
Journalisation d'Audit
Traçabilité complète de toutes les actions. Piste d'audit interrogeable avec export CSV.
Limitation de débit
Limitation de débit par fenêtre glissante sur les endpoints de connexion, d'API et de téléchargement.
Sécurité du contenu
En-têtes CSP stricts, protection CSRF, assainissement HTML et HSTS.
Conservation sur 10 ans
Données de production conservées pendant 10 ans conformément à l'Art. 13 du CRA. Conservation par niveau.
Vous ne savez pas si le CRA s'applique à vous ?
Identifiez vos obligations avant de vous inscrire. Ces outils sont gratuits et ne nécessitent pas de compte.
Aucune inscription requise. Environ 2 minutes.
Démarrez votre système de preuves CRA maintenant.
Cartographiez vos obligations, générez des preuves et restez prêt pour l'audit avant le 11 décembre 2027. Essai gratuit de 14 jours, sans carte bancaire.
Créer un compte gratuit