Deine Stückliste, in maschinenlesbarer Form.
Dein Projekt schleppt ein paar hundert fremde Pakete mit sich herum. Eine SBOM ist die Stückliste dazu - und spätestens ab 11. Dezember 2027 verlangt der Cyber Resilience Act sie in maschinenlesbarer Form.
Datei zur Abhängigkeitsverwaltung hochladen - package-lock.json, composer.lock, go.mod oder eine andere von insgesamt 24 aus 12 Ökosystemen - und du erhältst ein valides CycloneDX- oder SPDX-Dokument über deinen gesamten deklarierten Dependency-Baum.
Dateien werden im Arbeitsspeicher verarbeitet, das Ergebnis zurückgegeben, die Eingabe verworfen. Dateien zur Abhängigkeitsverwaltung enthalten nur Paketnamen und Versionen - niemals Quellcode.
Du erhältst hier direkt den Download - keine E-Mail-Adresse notwendig.
12 Ökosysteme, 24 Dateien zur Abhängigkeitsverwaltung
Wenn dein Build eine davon erzeugt, erzeugt er hier eine SBOM. Multi-Language-Repos: einfach alle Dateien zur Abhängigkeitsverwaltung auf einmal hochladen.
Node.js
package-lock.json
yarn.lock
pnpm-lock.yaml
bun.lock
Python
requirements.txt
poetry.lock
Pipfile.lock
uv.lock
Java / JVM
pom.xml
*gradle.lockfile
*.sbt.lock
.NET
packages.lock.json
packages.config
.deps.json
Directory.Packages.props
PHP
composer.lock
Go
go.mod
Rust
Cargo.lock
Ruby
Gemfile.lock
Swift / iOS
Package.resolved
Podfile.lock
Dart / Flutter
pubspec.lock
Elixir
mix.lock
C / C++
conan.lock
Die SBOM ist ein essentieller Teil des CRA. Aber nur der Anfang.
Die Verordnung (EU) 2024/2847 kommt in Stufen. Eine generierte SBOM ist ein einmaliges Artefakt - die Pflichten dahinter sind fortlaufend.
CRA Compliance mit cralityIn Kraft
Die dreijährige Übergangsfrist beginnt.
Meldepflichten greifen
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen an ENISA und das nationale CSIRT gemeldet werden - innerhalb von 24 Stunden.
Volle Compliance erforderlich
Produkte mit digitalen Elementen auf dem EU-Markt müssen alle Anforderungen erfüllen - einschließlich SBOM in maschinenlesbarer Form.
Häufig gestellte Fragen
Hier findest du Antworten auf die wichtigsten Fragen.
Speichert ihr meine Datei zur Abhängigkeitsverwaltung?
Nein. Sie wird im Speicher verarbeitet, die SBOM zurückgegeben, der Buffer verworfen. Nichts wird auf die Festplatte geschrieben, nichts über einen Request-Counter hinaus geloggt.
Ist die Ausgabe CRA-konform?
Das Dokument ist schema-valides CycloneDX 1.6 oder SPDX 2.3 mit Namen, Versionen, Lizenzen und PURLs. Der CRA verlangt das Format; es über die Produktlebensdauer aktuell zu halten, ist der Teil, den ein Generator nicht für dich erledigt.
Deklarierter oder aufgelöster Baum?
Deklariert - wir lesen, was deine Datei zur Abhängigkeitsverwaltung enthält, wir installieren nichts. Deterministisch, reproduzierbar, und es werden nie deine Build-Skripte ausgeführt.
Was bietet mir ein crality-Konto?
Mit crality kannst du SBOMs auch manuelle Einträge hinzufügen, Scans automatisch durchführen lassen und generell immer den Überblick über Schwachstellen behalten.
Eine SBOM ist eine Datei. Compliance ist ein Prozess.
Ein kostenloses crality-Konto verwaltet SBOMs pro Produkt und Version, überwacht sie gegen neue CVEs und bereitet die Artefakte vor, die du zur Erfüllung der Meldepflichten brauchst. Zum selben Preis wie diese Seite: Kostenlos.