Ce que devient votre SBOM

Le fichier JSON (CycloneDX ou SPDX) est reçu par le serveur le temps d’une requête. CRAFT en extrait des composants : nom, version, PURL s’il existe, origine déclarée.

Le contenu n’est pas utilisé pour construire un chemin de fichier, une commande, ou une page indexable.

PURL publics

Les identifiants de paquets d’écosystèmes publics (npm, PyPI, Maven, crates, Go, etc.) sont envoyés à api.osv.dev pour la corrélation des vulnérabilités.

PURL internes

Les PURL d’hôtes privés, d’intranets ou d’écosystèmes non publics ne sont pas transmis.

Fichier brut

Le SBOM complet n’est pas envoyé à OSV, ni à Umami, ni à un partenaire marketing.

Aujourd’hui, le prototype ne persiste pas le fichier : pas de base de données, pas d’objet stocké, pas de copie d’archive. Le SBOM est lu en mémoire, analysé, puis écarté à la fin de la requête.

Le résultat s’affiche dans votre navigateur. Il est associé à une URL non devinable, non indexée, et disparaît à la fermeture de l’onglet. Partager cette URL ne transmet pas le résultat à un autre appareil.

Des événements techniques (visite, dépôt, résultat, contact, campagnes) peuvent être mesurés via Umami, sans le contenu du SBOM ni de données nominatives. Un identifiant anonyme de navigateur peut être stocké localement pour compter les visiteurs uniques. L’adresse IP sert à limiter le débit, en mémoire, environ une minute.

L’hébergeur (Vercel) peut conserver des journaux d’infrastructure (requête, statut, durée) selon sa propre politique.

Lorsque CRAFT conservera des SBOM pour un suivi produit (registre, preuve, veille), la conservation par défaut sera limitée, avec suppression automatique annoncée : 30 jours tant que le produit reste un prototype sans compte payant. Cette page sera mise à jour avant tout changement, et un lien restera visible avant l’upload.

Vous pouvez ne pas déposer de fichier et nous écrire à la place. Vous pouvez retirer les champs inutiles (auteurs, e-mails, commentaires) avant l’envoi. Vous pouvez générer un SBOM d’exemple plutôt que celui d’un produit commercialisé.

Politique générale : confidentialité. Conditions : CGU.