Pour vous
Fabricant
Articles 13 et 14
Sachez ce que vous avez livré. Continuez à le scanner. Soyez prêts à notifier.
Suivez chaque version de firmware livrée. Soyez alerté dès qu'un composant est activement exploité. Ayez la notification article 14 prête à déposer.
Pour les fabricants au sens du CRA de l'UE. Ni un outil de marquage CE, ni un organisme notifié.
Comment ça marche
Vous indiquez à alloy-it ce que vous avez livré. Il continue de surveiller. En cas d'exploitation, vous êtes prêts.
Vous configurez
ProduitGW-4200 Gateway
- v2.4.1SBOM fournisseur
- v2.3.0Binaire firmware
- v2.2.0SBOM depuis la CI
alloy-it
Inventaire produit, par version
Rescanné en continu contre le renseignement sur les vulnérabilités, chaque constat trié
Vous pilotez
Pour les autorités
Incidents d'exploitation & notifications article 14
Paquets 24 h / 72 h / 14 jours, prêts à déposer auprès de l'ENISA
Pour les clients
Avis de sécurité
Votre page d'avis publique, CSAF et PDF
Pour votre équipe
Alertes, triage & preuves
Alertes PSIRT, décisions justifiées, un chemin de reconstruction
Voir le produit
alloy-it · Reporting · Incidents d'exploitation
| ID exploit | CVE | Produit | Première prise de connaissance | Alerte précoce 24 h | Notification 72 h | Rapport final 14 j | Statut |
|---|---|---|---|---|---|---|---|
| EXP-2026-004 | CVE-2026-1337 | GW-4200 Gateway | il y a 68 h | envoyé | dans 4 h | dans 12 j | Notification |
| EXP-2026-003 | CVE-2026-0912 | TX-90 Sensor | il y a 3 j | envoyé | envoyé | dans 9 j | Correctif en cours |
| EXP-2026-002 | CVE-2025-8841 | GW-4200 Gateway | il y a 22 j | envoyé | envoyé | déposé | Clôturé |
alloy-it prépare la charge utile et suit l'horloge. Vous déposez le dossier auprès d'ENISA ou de votre CSIRT national.
Chaque CVE exploitée reçoit ses délais 24 h / 72 h / 14 jours, versions concernées déjà délimitées. Voir ce que l'échéance exige →
Conçu pour le fabricant au sens du règlement
Aussi pour vous
Modification substantielle
Traité comme fabricant
Les équipes dans cette organisation
Sécurité produit et PSIRT
Inventaire vivant, triage, horodatage de prise de connaissance, paquet prêt pour le SRP.
OEM et fournisseurs industriels
Longues périodes de support, SBOM fournisseur versus firmware, dossiers de preuves.
Fabricants de passerelles
Produits déjà sur le terrain, version après version, plus distribution optionnelle du SDK.
Pas ce produit
Les mandataires, les importateurs qui n'importent que, les distributeurs, les gardiens open source, les organismes notifiés et les autorités ne sont pas l'acheteur.
Une boucle. Quatre capacités.
Pas une collection d'outils séparés. Monitor détecte, Notify circonscrit la notification aux autorités, Trace back trouve l'origine, Reproduce livre le correctif. Voir la vue d'ensemble de la plateforme →
01
Surveiller
Inventaire produit et scan continu
02
Notifier les autorités
Préparation article 14
03
Retracer
Composant → version → preuves
04
Reproduire
Reconstruire et livrer le correctif
La préparation est moins lourde qu'il n'y paraît
Pas besoin d'un programme SBOM pour commencer. Partez de ce que vous avez livré.
Commencez ici
Soyez prêts à notifier
- 1Ajoutez vos produits
- 2Listez les versions de firmware sur le marché
- 3Renseignez votre identité de déclarant
Déclarez une exploitation : le délai démarre, les versions concernées sont délimitées et les payloads 24 h / 72 h / 14 jours sont générés.
Ensuite, automatisez
Ajoutez la surveillance continue
- 1Attachez un SBOM par version, par upload ou depuis la CI
- 2Ou dérivez-en un du binaire du firmware
- 3Laissez alloy-it rescanner en continu
Les CVE activement exploitées ouvrent un incident sans que personne n'ait à repérer l'actualité.
Comment alloy-it s'aligne sur les obligations du CRA
Ce que le règlement exige, et ce que vous obtenez.
Le CRA exigealloy-it vous donne
- SBOM produit lisible par machineCycloneDX / SPDX par version, ou dérivé du firmware
- Un SBOM qui reste à jourUn SBOM par version, rescanné en continu
- Gestion des vulnérabilitésTriage au niveau composant avec justification et historique
- Notification des exploitations actives (art. 14)Superposition KEV / EUVD, délai de prise de connaissance, JSON prêt pour le SRP
- Documentation techniqueUn pack de preuves par version
- Mises à jour de sécurité sur la période de supportReconstruire l'environnement exact qui a produit la version
- SBOM de la chaîne d'outils (optionnel)SBOM de blueprint incluant les dépendances de build
Ni un logiciel de marquage CE, ni un organisme notifié. alloy-it prépare le payload article 14 ; vous le soumettez à l'ENISA ou à votre CSIRT.
Ce qui change pour votre équipe
Surveillance, notification et reconstruction, avant et après.
Aujourd'hui
- SurveillancePersonne ne rescanne le firmware déjà sur le terrain
- NotificationVendredi 23 h : un exploit est public, personne ne sait quelles versions sont touchées
- ReconstructionUn seul ingénieur sait encore construire l'ancienne version
Avec alloy-it
- SurveillanceChaque version rescannée chaque jour, chaque constat trié avec une justification
- NotificationIncident ouvert, versions concernées listées, alerte précoce rédigée
- ReconstructionN'importe qui reconstruit son environnement depuis le Blueprint épinglé
Open core. Sans enfermement propriétaire.
Le provisioner qui reconstruit un environnement de compilation est libre et open source. La sécurité produit et les opérations CRA sont le SaaS.
Open source
Provisioner (volet Reproduce)
- Licence Apache 2.0
- Fonctionne nativement sur Linux, WSL2, Docker, VM
- Auto-hébergeable
- Pas de télémétrie, pas de compte requis
SaaS
Sécurité produit + opérations CRA
- Niveau gratuit disponible
- Produits, versions et surveillance SBOM
- Triage, KEV/EUVD et preuves article 14
- Inventaire dérivé du firmware
- Chemin de reconstruction via Blueprints
À quoi cela ressemble dans votre organisation
Les mêmes obligations de fabricant. Des produits, des équipes et des périodes de support différents.
Sécurité produit et PSIRT
Pas d'inventaire vivant. Les scans déversent des milliers de CVE. La notification article 14 est déjà en vigueur.
Voir le chemin PSIRT →
OEM et fournisseurs industriels
Tableurs de ce qui a été livré. SBOM fournisseur et binaire divergent. 10 à 15 ans de support sans plan de reconstruction.
Voir comment les OEM mènent le CRA →
Fabricants de passerelles
Passerelles déjà sur le terrain sans SBOM par version quand une CVE tombe.
Voir le chemin passerelles →
Plans
Basic est gratuit pour toujours. Parlez-nous lorsque vous avez besoin d'échelle entreprise pour les opérations CRA.
Basic
Gratuit
Fabricants qui démarrent avec l'inventaire produit et la surveillance CRA
- Produits, versions et téléversement de SBOM fournisseur
- Scan CVE continu et alertes
- Triage au niveau composant
- SBOM dérivé du firmware (à la demande)
Enterprise
Nous contacter
OEM et fabricants de passerelles menant les opérations CRA à l'échelle sur toute la période de support
- Tout ce qui est dans Basic
- Détection automatique des exploitations (KEV / EUVD)
- Sièges illimités et SSO / SAML
- Déploiement on-premise / air-gapped
Gratuit pour toujours pour Basic · Voir le détail des plans →
Prêts pour le CRA ?
Commencez par un inventaire produit, ou réservez une démonstration de 15 minutes de la préparation article 14.