À lire d’abord
- Une détection n’est pas une vulnérabilité. Les imports, identifiants de courbe, tables de correspondance et tests de capacité comptent tous comme des détections. Rien ici ne mesure une exposition en production ni un impact métier.
- Fichiers Python uniquement. Les 243 fichiers Python suivis ont tous été analysés, sans fichier ignoré ni échec. Les 109 fichiers Rust, les 33 fichiers de stubs Python, les autres langages, les dépendances et le comportement à l’exécution ne l’ont pas été. Ce n’est ni une couverture de tout le dépôt, ni une mesure du taux de détection.
- Les tests dominent. 1 746 des 1 804 détections se trouvent dans les tests. Seules 46 sont dans le code de la bibliothèque, et nous les avons toutes revues à la main. C’est pourquoi l’explorateur s’ouvre sur le code de la bibliothèque.
- Une erreur d’étiquette connue. Un appel DSA dans un test,
tests/hazmat/primitives/test_dsa.py:113, est signalé comme Diffie–Hellman. Nous l’avons conservé tel quel pour que l’enregistrement reste vérifiable ; les familles signalées dans les tests n’ont pas toutes été contrôlées. - Les classes de risque sont une aide à la lecture. Les trois classes de couleur sont notre regroupement d’affichage. Le champ de risque brut du scanner mêle les faiblesses classiques des fonctions de hachage (MD5, SHA-1) et les enjeux quantiques, et ses scores ne mesurent pas un impact client.
- Pas de graphe de dépendances complet dans le CBOM.
- Répétable, mais pas reproduit de façon indépendante. La seconde exécution a eu lieu sur la même machine et dans le même environnement ; les détections et scores normalisés concordent.
Cible : pyca/cryptography @ d45b7930f93c · analysé le 10 octobre 2026 · démonstration indépendante, sans aval de pyca.
- Étude de cas et méthode (en anglais)
- CBOM brut (CycloneDX 1.6, 1,5 Mo)
- Registre de revue de la bibliothèque (CSV)
- Résultats de validation
- Demander une démo
Parcourir les détections
D’où viennent ces chiffres
L’explorateur charge un seul fichier compact, explorer.json, généré à partir des fichiers publiés cbom.json et library-review.csv, sans les modifier. Le générateur recalcule le total, la répartition par périmètre et chaque décompte par famille, et refuse d’écrire le fichier s’ils ne correspondent pas à validation.json. Les noms d’algorithmes, chemins, lignes et symboles sont affichés tels que le scanner les a enregistrés ; les notes de revue, en anglais, sont les interprétations manuelles du registre.
Vous voulez cette vue sur votre propre code ? Nous exécutons la même découverte sur un dépôt proche de votre pile technique et vous présentons les preuves.
Demander une démo →← Accueil · Ressources · Générateur de CBOM · Inventaire cryptographique