Aller au contenu

Votre premier rapport CRA

Le Cyber Resilience Act (règlement 2024/2847) impose gestion des vulnérabilités, SBOM, mises à jour et documentation. yocman cra report rassemble les preuves côté build, sans certifier la conformité.

Depuis le répertoire d’un build terminé :

yocman cra report

Il réorganise cve, secrets, sbom, licenses, services, users, perms et kernel-audit par domaine CRA. Statuts : Aucune lacune, À examiner, Lacune, Aucune preuve si une source manque, Manuel pour ce qu’un build ne démontre pas.

Rapport à joindre au dossier

yocman cra report --format md -o cra.md
yocman cra report --format json -o cra.json
yocman cra report --fail-on high

Markdown pour le dossier, JSON pour la CI. La dernière commande renvoie 1 pour les lacunes élevées ou critiques.

Limites

Deux domaines restent Manuels :

  • Mécanisme de mise à jour : signature, retour arrière et livraison. Les frameworks OTA comme SWUpdate, RAUC, OSTree ou Mender sont détectés, mais leur fonctionnement doit être documenté.
  • Politique de divulgation, point de contact et documentation utilisateur.

Données manquantes

cve-check, create-spdx et buildhistory ne produisent leurs données qu’une fois activés. yocman doctor indique les sources manquantes et leur activation. Le rapport reprend ces lacunes.