CYBERSÉCURITÉ POUR APPAREILS, APPLIS ET SITES WEB · CONÇU DANS L’UE
KROMSE analyse le logiciel de vos appareils, applis et sites web pour y trouver des failles de sécurité : des points faibles qu’un attaquant peut utiliser pour s’introduire ou voler des données. Il explique chaque faille avec des mots simples et, quand c’est possible, prépare la correction pour vous, avec la preuve de ce qui a été vérifié. Rien ne change sans votre accord.
Découvrez KROMSE avec un expert du produit.
Aucune carte bancaire requise.
Appareils · Applis · Sites web → Failles expliquées → Corrections que vous approuvez
Avec le soutien de
Enregistré dans l’espace de travail KROMSE sur les projets de démonstration de KROMSE ; la partie correctifs utilise un dépôt de démonstration. Sans son, 36 secondes. Ce ne sont pas les résultats de votre produit.
Créez un espace gratuit, puis ajoutez ce que vous fabriquez : le logiciel d’un appareil (une image firmware basée sur Linux), le code d’une appli ou l’adresse d’un site web. Votre équipe examine l’impact et décide quels constats appellent une réponse.
L’application GitHub de KROMSE est en lecture seule, et vous choisissez le dépôt qu’elle peut voir. Pas de dépôt sous la main ? Importez plutôt un SBOM (la liste des composants qui forment votre logiciel) au format CycloneDX ou SPDX : les composants dotés d’identifiants pris en charge sont vérifiés auprès d’OSV, une base publique de failles connues. Les composants sans ces identifiants ne sont pas vérifiés. Un SBOM ne contient pas de code source : les contrôles de secrets, de code et d’infrastructure d’une analyse de dépôt ne s’y appliquent donc pas.
KROMSE vérifie les composants trouvés dans la version analysée, ou listés dans votre SBOM, auprès de sources prises en charge de failles connues, et consigne ce qu’il n’a pas pu vérifier. Les corrections sont facultatives et activées espace par espace : KROMSE les prépare pour les mises à jour de composants open source dans des dépôts GitHub, sous forme de pull request en brouillon (une modification proposée) que votre équipe examine et fusionne.
Comment ça marche
Connectez le code de votre application, importez un SBOM ou le firmware Linux de votre appareil. KROMSE liste les composants qu’il reconnaît et y cherche les vulnérabilités connues (CVE), les secrets exposés et les faiblesses de votre propre code.
Chaque faille de sécurité est expliquée en mots simples, avec sa gravité et un score de risque pour le produit, pour savoir par où commencer.
Quand il le peut, Rook prépare la modification exacte et montre les contrôles effectués. Aujourd’hui, ce sont des mises à jour de dépendances open source dans des dépôts GitHub, activées par espace de travail.
Pas besoin d’équipe sécurité : un développeur lit la modification et ses contrôles, l’approuve, et Rook ouvre une pull request en brouillon. La fusion reste votre décision.
Voici le vrai produit KROMSE, pas une illustration : l’analyse d’un dépôt de code, les failles de sécurité trouvées, et Rook, l’assistant de correction de KROMSE, qui prépare des correctifs en attente de l’approbation d’une personne.
Une analyse, du début à la fin
KROMSE identifie les composants et les compare aux avis de vulnérabilité. Suivez le chemin du fichier source jusqu’à la version concernée.
Revue des correctifs Rook dans le projet de démonstration de KROMSE. Cette image provient de l’enregistrement du produit, pas des résultats de votre produit.
Ce que vous obtenez
KROMSEProduit d’exempleExemple illustratifUne vue claire de ce qui mérite votre attention
3constats à examiner
Des attaquants exploitent cette vulnérabilité ailleurs — exploitation confirmée quelque part dans le monde, pas une preuve de quoi que ce soit dans votre produit. Votre build contient la version affectée.
Importez le logiciel d’un appareil (une image firmware basée sur Linux), connectez le code d’une appli ou sa liste de composants (SBOM), ou vérifiez un site web. Une seule vue de ce que contient votre produit et de ses failles de sécurité.
Chaque faille est accompagnée d’une explication en langage clair. Dans la limite de votre quota d’utilisation, l’IA examine les plus importantes : vous concernent-elles probablement, que mettre à jour, et ce qu’elle ne peut pas savoir. Votre équipe a le dernier mot.
Votre première analyse est gratuite et ne nécessite aucun rendez-vous commercial. Basic coûte 59 € par mois, ou 49 € par mois facturés 588 € par an, hors TVA. L’application, la base de données et les analyseurs sont exécutés en Allemagne ; les preuves d’analyse et les firmwares sont stockés chez Cloudflare, et les requêtes d’IA vont à des fournisseurs hors de l’UE.
Vous vendez dans l’UE ? La même analyse prépare vos preuves au titre du règlement sur la cyberrésilience pour une revue humaine.
02 / SUIVEZ LES PREUVES
Consignez l’appréciation de votre équipe et les preuves à l’appui. Utilisez-les dans un projet interne de rapport CRA, avec les informations manquantes visibles et une revue humaine toujours requise.
Ouvrir votre espace de travailCe qu’apporte une analyse
KROMSE explique chaque faille en cinq parties, pour que chacun dans votre équipe puisse juger ce qu’elle signifie pour votre produit.
“Des attaquants exploitent cette faille ailleurs : cela signifie des attaques confirmées quelque part dans le monde, pas une preuve de quoi que ce soit dans votre produit.”
Une exploitation connue ailleurs ne prouve pas une exploitation dans votre produit. KROMSE rend cette distinction explicite.
Associer un composant à un avis de sécurité ne prouve pas à lui seul que votre produit est exploitable. KROMSE n’indique l’atteignabilité que lorsqu’un moteur d’analyse pris en charge a produit des preuves pour cette analyse. Sinon, elle reste non vérifiée. Votre équipe examine l’impact sur le produit.
Une fois que votre équipe a confirmé qu’un constat concerne un produit que vous mettez sur le marché de l’UE, KROMSE peut ouvrir un dossier de réponse et consigner votre décision. Vous choisissez quand préparer un projet interne au titre de l’article 14. Les informations manquantes restent signalées pour une revue humaine, et les dates suivies sont une aide opérationnelle, pas une appréciation juridique.
Parlez-nous de votre produit et de ce que vous souhaitez voir. Nous vous contacterons pour organiser une démo avec un expert du produit.
Tarifs
Mettez votre premier produit en lumière avec un espace de travail gratuit. Ajoutez de la capacité et de l’accompagnement à mesure que votre équipe grandit.
0 €/ mois
Évaluez KROMSE sur un produit réel, avec un usage encadré.
Sans carte bancaire.
49 €/ mois
Hors TVA
588 € facturés par an
Économisez 120 €/an
Essai de 7 jours pour les nouveaux abonnements éligibles. Carte bancaire obligatoire. Annulez avant la fin de l’essai pour ne rien payer ; sinon, le montant annuel total sera débité à son terme.
Pour une petite équipe qui prépare un ou deux produits au CRA.
Choisissez une option disponible dans Offre et utilisation.
249 €/ mois
Hors TVA
2 988 € facturés par an
Économisez 600 €/an
Essai de 7 jours pour les nouveaux abonnements éligibles. Carte bancaire obligatoire. Annulez avant la fin de l’essai pour ne rien payer ; sinon, le montant annuel total sera débité à son terme.
Pour les équipes qui examinent les preuves de sécurité d’un portefeuille de produits.
Choisissez une option disponible dans Offre et utilisation.
Contacter l’équipe commerciale
Périmètre et tarif convenus pour votre portefeuille de produits.
Disponibilité et périmètre du service confirmés dans une proposition écrite.
Prix publiés par espace de travail en EUR, hors TVA. Pour un usage professionnel, indépendants compris. Les options d’achat disponibles figurent dans Offre et utilisation. Créer un espace de travail ne déclenche aucun abonnement payant.
Annulez le renouvellement à tout moment et conservez l’accès jusqu’à la fin de la période payée. La période en cours n’est pas remboursable, sauf obligation légale.
Pro inclut 5× l’utilisation de l’IA de Basic. L’utilisation de l’IA d’Enterprise est personnalisable et convenue pour votre équipe. L’utilisation incluse est renouvelée chaque mois, y compris avec un abonnement annuel.
Cyber Resilience Act
Les fabricants de produits comportant des éléments numériques doivent notifier les vulnérabilités activement exploitées et les incidents graves à partir du 11 septembre 2026 (article 14). Le reste du règlement s’applique à partir du 11 décembre 2027.
Notifier une vulnérabilité activement exploitée, article 14, paragraphe 2
Source : règlement (UE) 2024/2847, articles 14 et 71, paragraphe 2, et annexe I. KROMSE ne certifie pas la conformité et n’envoie rien aux autorités.
Périmètre et limites
Un dossier de conformité ne vaut que s’il résiste à la contradiction. Cela impose d’être précis sur l’endroit où s’arrête le logiciel et où commence une personne.
Il ne vous certifie pas. Aucun logiciel ne le peut : la conformité au CRA est une déclaration du fabricant, et une analyse y contribue comme preuve sans s’y substituer.
Il ne dépose pas votre notification au titre de l’article 14. KROMSE rédige le document et signale ce qu’il ne peut pas savoir ; une personne le relit, le complète et le soumet.
Il n’affirme pas qu’une faille dans un composant que vous utilisez peut être attaquée dans votre produit. Il vous dit que le composant est présent et explique clairement ce que cela établit et n’établit pas.
Il n’invente pas ce qu’on ne lui a pas fourni. Une information manquante reste un blanc signalé, jamais une supposition à l’allure crédible.
Les analyses fournissent des preuves de sécurité du produit. Des espaces distincts de préparation à NIS2 et au règlement sur l’intelligence artificielle organisent les informations pour une revue humaine ; ils ne transforment pas un résultat d’analyse en appréciation de conformité.
Questions
Non. Vous pouvez connecter un dépôt GitHub ou importer un SBOM CycloneDX ou SPDX.
Non. GitHub, GitLab, Bitbucket, Azure DevOps ou tout serveur git en HTTPS fonctionnent avec un jeton d’accès en lecture seule. Et n’importe quel pipeline de build peut envoyer le SBOM de chaque version avec un jeton d’API, sans donner à KROMSE le moindre accès à votre code.
KROMSE ne lit que les dépôts que vous sélectionnez et résout l’arbre de dépendances à un commit précis. Le scanner est en lecture seule. Rook (Autofix), uniquement si vous l’activez, ouvre des pull requests en brouillon que vous examinez et fusionnez.
Non. Il est limité en capacité — un produit et 2 analyses par période glissante de 30 jours — et non par un compte à rebours. Le produit vous montre en direct vos propres limites et votre consommation.
Les propriétaires et administrateurs de l’espace de travail peuvent ouvrir Offre et utilisation pour voir les abonnements disponibles et les achats de quota IA supplémentaire. Stripe affiche le prix final et les taxes applicables avant que vous confirmiez le paiement. Pour Enterprise, contactez l’équipe commerciale.
Il produit des preuves et rédige des projets de documents. La conformité reste une déclaration du fabricant, faite par une personne qui examine ce que le produit a rassemblé.
L’application KROMSE est disponible en anglais, en espagnol (Espagne), en français, en allemand et en italien. Choisissez votre langue dans Paramètres → Langue. Les preuves d’origine, les messages antérieurs et les documents conservent leur langue d’origine.
Quand il le peut. Rook, l’assistant de correction de KROMSE, prépare le correctif d’une faille de sécurité et montre les contrôles effectués. Aujourd’hui, il couvre les mises à jour de dépendances open source dans des dépôts GitHub et s’active par espace de travail. Rien n’est écrit dans votre code avant qu’une personne n’approuve la modification exacte ; Rook ouvre alors une pull request en brouillon, et la fusion reste votre décision.
Non. KROMSE explique chaque faille de sécurité en mots simples et prépare des correctifs quand il le peut, pour qu’un développeur ou un responsable produit puisse agir. Une personne de votre équipe relit et approuve toujours chaque correctif et chaque rapport.
Oui. Importez une image firmware basée sur Linux jusqu’à 512 Mo : KROMSE la décompresse, liste les paquets qu’il reconnaît, y cherche les vulnérabilités connues et consigne ce qu’il n’a pas pu analyser. Les images bare-metal, RTOS ou chiffrées sont signalées comme non analysables, jamais comme saines. Les manifestes de build Yocto et Buildroot peuvent aussi être importés ; leurs composants sont listés, mais pas rapprochés des avis de sécurité.
Oui. Un SBOM (nomenclature logicielle) est la liste des composants qui constituent votre logiciel. KROMSE en produit un au format CycloneDX et un au format SPDX pour chaque analyse d’un dépôt, d’une image de conteneur ou d’une image firmware basée sur Linux, et vous pouvez importer le vôtre.
Non. En plus des vulnérabilités connues (CVE) des composants que vous utilisez, KROMSE examine votre propre code source à la recherche de faiblesses, comme les failles d’injection, avec des règles Opengrep pour 11 langages, et cherche les secrets exposés et les erreurs de configuration. Ces constats n’ont pas d’avis public ; votre équipe les examine.
Analyser gratuitement
Commencez par un produit et obtenez ses failles de sécurité expliquées avec des mots simples, dans une version exacte que vous pouvez retracer. Gratuit, et sans passage par le paiement.
Créez un compte, puis ajoutez votre premier produit.
Vous développez un outil auquel KROMSE devrait se connecter ? Devenez partenaire technologique.