Importer et vérifier un SBOM CycloneDX ou SPDX

Réponse courte

Importez le SBOM de la version concernée, relisez la synthèse et les composants, puis confirmez les éléments réellement utilisés dans le produit.

Disponibilité produit : Disponible en édition complète ; accès contributif au produit et fichier autorisé requis.

Scénario de départ

Vous disposez d’un SBOM de démonstration pour la version 1.0 du « Produit Démo SaaS ». Conservez le nom du producteur du fichier, son format, sa date et la version couverte. Le SBOM ne suffit pas à démontrer l’atteignabilité des vulnérabilités ni la conformité CRA.

Étapes

1. Ouvrez le parcours de scan ou d’import du produit et sélectionnez le produit cible.
2. Choisissez le mode d’import SBOM disponible dans le parcours.
3. Chargez le fichier CycloneDX ou SPDX dans le format pris en charge par cet écran. Les libellés et variantes de fichier exacts restent à confirmer par la recette documentaire.
4. Relisez la prévisualisation ou la synthèse avant confirmation. Vérifiez noms, versions, écosystèmes et identifiants de paquets lorsqu’ils sont présents.
5. Contrôlez les éléments refusés ou non reconnus. Une version manquante ne doit pas être remplacée par la dernière version publiée sans preuve.
6. Confirmez les composants réellement utilisés et rejetez les suggestions non pertinentes dans le parcours prévu.
7. Ouvrez l’inventaire Composants du produit et vérifiez la provenance et le résultat sauvegardé.
8. Examinez les points de sécurité à vérifier liés à cet inventaire. La formalisation d’une vulnérabilité CRA demeure une étape humaine séparée.

Nouveau SBOM et inventaire existant

Pour une version suivante, importez le fichier correspondant au bon produit et relisez les différences. Le modèle d’inventaire cherche à éviter les doublons et conserve les décisions de cycle de vie ; n’effacez pas l’inventaire entier pour recommencer un import.

Un composant absent d’un nouveau fichier n’est pas, à lui seul, la preuve qu’il a été retiré du produit livré. Vérifiez le périmètre du fichier, la branche, les exclusions et la décision d’obsolescence.

Échec et récupération

Si le fichier est refusé, confirmez son format réel : renommer l’extension ne convertit pas un document. Si la synthèse semble vide, comparez avec le nombre de composants attendu dans le fichier source. Vérifiez enfin l’édition et les droits produit.

Après une erreur de confirmation, rechargez l’inventaire pour voir ce qui a été persisté avant de réimporter. Pour le support, utilisez un SBOM minimal fictif reproduisant le défaut, sans secrets, coordonnées client ni noms de dépôts privés.

Articles liés

• Diagnostiquer un SBOM refusé
• Gérer l’inventaire

Article issu de la base de connaissance CRA Manager.