Pour vous
Fabricant
Articles 13 et 14
Une plateforme. Une boucle CRA.
alloy-it couvre la chaîne d'approvisionnement logicielle embarquée de bout en bout : surveillez ce que vous avez mis sur le marché, notifiez les autorités lorsqu'une vulnérabilité est activement exploitée, remontez à la version et au Blueprint, et reproduisez le correctif.
Les quatre capacités
Où que vous commenciez, vous retrouvez la même boucle. Les SBOM, le firmware et les environnements de compilation sont des points d'entrée, pas quatre choses à acheter.
01
Surveiller
Inventaire produit et scan continu
Surveillance permanente de tout ce qui constitue un produit mis sur le marché : le SBOM fournisseur, l'inventaire dérivé du firmware, et l'environnement qui l'a construit, pendant toute la durée de vie commerciale du dispositif.
02
Notifier les autorités
Préparation article 14
Lorsqu'un constat est activement exploité dans un produit mis sur le marché, horodatez la première prise de connaissance et préparez le paquet article 14 24 h / 72 h / 14 jours. Copiez le JSON dans l'ENISA SRP / CSIRT national. Alloy ne soumet pas et n'envoie pas automatiquement d'e-mails aux clients.
03
Retracer
Composant → version → preuves
À partir d'une CVE ou d'un composant, parcourez la chaîne : quelles versions le contiennent, et quel environnement de compilation a produit le binaire. Prêt pour l'audit dans les deux sens.
04
Reproduire
Reconstruire et livrer le correctif
Parce que les environnements de compilation sont des Blueprints versionnés, la chaîne d'outils exacte qui a construit une version concernée peut être reconstruite pour compiler et livrer le correctif, même des années plus tard, sur des dispositifs avec des périodes de support de 10 à 15 ans.
La boucle clôt un incident de bout en bout : surveiller détecte → notifier circonscrit les versions concernées → retracer trouve l'origine → reproduire livre le correctif. La notification aux autorités et les avis clients sont deux chemins de notification distincts.
Conçu pour le fabricant au sens du règlement
Aussi pour vous
Modification substantielle
Traité comme fabricant
Les équipes dans cette organisation
Sécurité produit et PSIRT
Inventaire vivant, triage, horodatage de prise de connaissance, paquet prêt pour le SRP.
OEM et fournisseurs industriels
Longues périodes de support, SBOM fournisseur versus firmware, dossiers de preuves.
Fabricants de passerelles
Produits déjà sur le terrain, version après version, plus distribution optionnelle du SDK.
Pas ce produit
Les mandataires, les importateurs qui n'importent que, les distributeurs, les gardiens open source, les organismes notifiés et les autorités ne sont pas l'acheteur.
Comment les artefacts entrent dans la boucle
Produits / SBOM
Créez des produits et des versions. Téléversez le CycloneDX/SPDX du fournisseur. Scan continu renouvelé et alertes vers la boîte PSIRT.
Firmware
Téléversez le binaire (analyse à la demande, jamais automatique). Dérivez l'inventaire, comparez au SBOM fournisseur : vérifier, ne pas se contenter de faire confiance.
Environnement de compilation
Blueprints, scan de la chaîne d'outils et provenance : le volet Reproduce quand vous devez reconstruire une version concernée des années plus tard.
Le triage décide ce qui est réellement dans le produit
Un scanner vous donne des milliers de constats. Ce qu'un évaluateur veut, c'est la décision que vous avez prise pour chacun, et pourquoi.
alloy-it · GW-4200 Gateway · v2.4.1 · Triage
| CVE | Composant | Sévérité | Exploitée | Décision |
|---|---|---|---|---|
| CVE-2026-1337 | zlib 1.2.11 | CRITICAL | KEV | Concerné |
| CVE-2026-0455 | openssl 3.0.8 | HIGH | — | Non concerné |
| CVE-2025-9902 | busybox 1.35.0 | HIGH | — | En cours d'examen |
| CVE-2025-7710 | libcurl 7.88.1 | MEDIUM | — | Faux positif |
Chaque décision porte une justification et un historique. Ce journal est la preuve, pas la sortie du scan.
Trace back, dans les deux sens
D'une CVE vers les versions qui la portent, et d'une version vers l'environnement qui a produit le binaire.
Registre et provisioner, le chemin de reconstruction
Lorsque le triage confirme une version concernée, la provenance de compilation pointe vers le Blueprint qui a produit le binaire. Le provisioner open source reconstruit cet environnement pour que vous puissiez livrer une version corrigée dans la surveillance, même des années dans la période de support.
Voir la plateforme sur vos produits
Réservez une démonstration CRA, ou commencez gratuitement avec un produit et vos N derniers SBOM.