Quand une faille majeure touche une bibliothèque très répandue, ou quand un ver comme Mini Shai-Hulud compromet 172 paquets npm et PyPI en 48 heures (mai 2026), une question devient urgente : « Ce composant est-il dans nos applications, dans quelle version, et où ? » Sans inventaire, la réponse prend des jours. Avec un SBOM (Software Bill of Materials, ou nomenclature logicielle), elle prend quelques minutes. Et avec le Cyber Resilience Act, le SBOM devient une obligation pour les fabricants de produits numériques vendus dans l’Union européenne.
L’essentiel en 30 secondes
- Un SBOM est la liste structurée de tous les composants d’un logiciel : bibliothèques, versions, licences, empreintes, relations de dépendance.
- Deux formats standards : CycloneDX et SPDX, tous deux lisibles par machine.
- Il se génère automatiquement à chaque construction, avec des outils gratuits (Syft, Trivy, cdxgen).
- Le Cyber Resilience Act impose aux fabricants d’établir un SBOM pour leurs produits, avec une application complète au 11 décembre 2027.
À quoi sert concrètement un SBOM
| Situation | Sans SBOM | Avec SBOM |
|---|---|---|
| Faille critique annoncée dans une bibliothèque | Recherche manuelle dans chaque projet et chaque image | Requête sur l’ensemble des SBOM : liste des applications et versions concernées |
| Paquets compromis (attaque de la chaîne d’approvisionnement) | Incertitude sur l’exposition | Comparaison immédiate avec la liste des paquets compromis |
| Audit de licences | Inventaire ponctuel coûteux | Licences listées automatiquement |
| Demande d’un client ou d’un acheteur public | Réponse approximative | Document standard fourni avec chaque version |
CycloneDX ou SPDX ?
- CycloneDX (OWASP, normalisé ECMA-424) : orienté sécurité, très utilisé avec les outils d’analyse de vulnérabilités ; prend en charge les déclarations VEX.
- SPDX (Linux Foundation, norme ISO/IEC 5962) : historiquement orienté licences, désormais complet sur la sécurité dans sa version 3.
Les deux conviennent. Choisissez celui que vos outils et vos clients lisent le mieux ; les convertisseurs existent.
Générer un SBOM
# Syft (Anchore) : à partir du code source ou d'une image
syft dir:. -o cyclonedx-json=sbom-source.cdx.json
syft registre.exemple.fr/app:1.4.2 -o spdx-json=sbom-image.spdx.json
# Trivy : même principe
trivy image --format cyclonedx --output sbom-image.cdx.json registre.exemple.fr/app:1.4.2
# cdxgen (OWASP) : très complet sur les projets multi-langages
cdxgen -o sbom.cdx.json .Bonnes pratiques :
- générer le SBOM dans le pipeline, à chaque version publiée, et le conserver avec l’artefact ;
- préférer le SBOM de l’image finale (ce qui est réellement déployé) en complément de celui du code ;
- signer le SBOM ou l’attacher comme attestation à l’image (voir Sigstore et Cosign) ;
- s’appuyer sur des fichiers de verrouillage (package-lock.json, poetry.lock, go.sum) pour des versions exactes.
Exploiter les SBOM dans la durée
Un SBOM rangé dans un dossier ne sert à rien. Il faut le réanalyser régulièrement, car de nouvelles vulnérabilités sont publiées chaque jour :
# Réanalyser un SBOM existant avec une base de vulnérabilités à jour
grype sbom:sbom-image.cdx.json
trivy sbom sbom-image.cdx.jsonPour un suivi continu de toutes vos applications, OWASP Dependency-Track centralise les SBOM, surveille les nouvelles vulnérabilités et alerte. Les déclarations VEX (Vulnerability Exploitability eXchange) permettent d’indiquer qu’une vulnérabilité présente dans un composant n’est pas exploitable dans votre produit, pour éviter de traiter cent fois les mêmes faux positifs. Pour l’automatisation des alertes, voir dépendances open source vulnérables.
Ce que dit le Cyber Resilience Act
Le règlement (UE) 2024/2847 impose aux fabricants de produits comportant des éléments numériques d’identifier et documenter les composants, notamment en établissant un SBOM « dans un format couramment utilisé et lisible par machine », couvrant au minimum les dépendances de premier niveau. Le SBOM fait partie de la documentation technique : il doit être fourni aux autorités de surveillance du marché sur demande, sans obligation de le rendre public. Les obligations de signalement des vulnérabilités activement exploitées s’appliquent depuis le 11 septembre 2026 ; l’ensemble des exigences, le 11 décembre 2027. Détails dans le Cyber Resilience Act pour les entreprises françaises.
Et si vous êtes acheteur ?
Une PME ou une collectivité qui achète un logiciel peut demander le SBOM à son fournisseur, au moins pour les applications critiques. C’est un bon indicateur de maturité et un outil précieux lors de la prochaine alerte. Ajoutez la question à votre grille de sélection, à côté de celles de notre article sur le choix d’un prestataire.
Questions fréquentes
Un SBOM révèle-t-il des secrets à un attaquant ?
Il liste des composants, pas des secrets. Il peut aider un attaquant à cibler une faille connue, d’où l’intérêt de le partager avec les personnes qui en ont besoin plutôt que publiquement, et surtout de corriger vite.
Faut-il un SBOM pour un site WordPress ?
Ce n’est pas une obligation, mais l’inventaire des extensions et de leurs versions remplit la même fonction : savoir en minutes si l’on est concerné par une faille annoncée.
Le SBOM couvre-t-il les services cloud utilisés ?
Non, il décrit le logiciel livré. Les services externes appelés relèvent d’un inventaire complémentaire (parfois appelé SaaSBOM).
Quelle fréquence de génération ?
À chaque version publiée, automatiquement. La réanalyse, elle, doit être quotidienne ou continue.
Sources
- EUR-Lex, règlement (UE) 2024/2847 (Cyber Resilience Act).
- CISA, ressources sur le SBOM.
- OWASP CycloneDX et SPDX.
- OWASP Dependency-Track.
- Cloud Security Alliance, note sur Mini Shai-Hulud, mai 2026.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous accompagnons dans la mise en conformité de vos développements lors d’une consultation. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
