Exports
Les bons fichiers pour chaque livraison.
Téléchargez les avis de licences, rapports et SBOM lisibles par machine depuis un instantané vérifié.
Exports
Choisissez un format. Obtenez le fichier correspondant.
Les questionnaires peuvent demander une URL ; l'ingénierie peut avoir besoin de fichiers dans git ou dans un lot de version. Chaque export provient du même instantané de publication figé que votre page d'attestation, avec une provenance qui rattache le fichier à une révision précise.
Des variantes de SBOM à la demande
Divulgation lisible par un humain
Dossiers lisibles par machine
Formats spécifiques à la plateforme
PDF à vos couleurs
SPDX 2.3 ou 3.0.1
Exports CycloneDX (v1.5 à 1.7, JSON ou XML) et SPDX (2.3 / 3.0.1) à partir de l'instantané révisé, pour les équipes qui ont besoin d'un lot lisible par machine sans publier publiquement un SBOM brut permettant de recouper des vulnérabilités.
Y compris le JSON-LD 3.0.1 pour les pipelines qui consomment des données liées.
Pour quoi avez-vous besoin de ces données ?
Deux normes. La version indiquée dans votre contrat.
- SPDX 2.3 ou 3.0.1
- Y compris le JSON-LD 3.0.1 pour les pipelines qui consomment des données liées.
- CycloneDX 1.5, 1.6 ou 1.7
- JSON ou XML, sélectionné dans la fenêtre de téléchargement. La version nommée par une checklist des achats est celle que vous remettez.
Contexte contractuel et réglementaire
Le même instantané révisé répond à un ingénieur, un avocat et un régulateur. Quand un contrat cite le règlement de l'UE sur la cyberrésilience ou le décret présidentiel américain 14028, vous choisissez le standard et la version de spécification qu'il nomme, et vous téléchargez.
Exports
Questions sur les exports
La page est le livrable principal ; les exports l'accompagnent
La page d'attestation est le livrable principal : un registre maintenu et lisible par les acheteurs. Les exports sont disponibles lorsque l'ingénierie ou les achats ont besoin de fichiers dans le dépôt, dans un lot de version ou en pièce jointe. Dans tous les cas, ils reposent sur le même inventaire révisé.
Puis-je générer SPDX ou CycloneDX à partir du même inventaire ?
Oui. Lorsque les exports proviennent du même snapshot de publication figé que votre page d'attestation, les fichiers SPDX, CycloneDX, PDF et NOTICE décrivent le même inventaire révisé. C'est ce qui aligne questionnaires et packages engineering.
Quand envoyer un PDF plutôt qu'une URL ?
Envoyez un PDF lorsque le processus de l'acheteur exige une pièce jointe. Préférez l'URL lorsqu'ils rouvriront le registre plus tard. Dans tous les cas, générez le fichier à partir de la publication approuvée, pas d'un import non révisé.
Que signifie la provenance sur un export ?
La provenance lie le fichier à une révision de publication précise et, une fois publié, à l'URL de la page publique. Elle répond à la question : de quel snapshot cet export provient-il, afin que la diligence ne mélange pas des fichiers issus de révisions différentes.
Commencez par les fichiers que vous possédez déjà.
Importation et vérification gratuites. Aucune carte bancaire nécessaire.