Wisec

La prochaine Log4Shell tombe. Vous savez en une recherche si vous êtes concernés.

Quels projets, quelles branches, quelles versions contiennent ce composant, et depuis quand ?

Wisec garde l'inventaire de chaque build. Une recherche par composant ou par vulnérabilité parcourt tout cet historique, et la réponse dit aussi ce qu'elle ne sait pas.

Par composant ou par CVETout l'historique des buildsRapport signé
1 · L'historique

Chaque build a laissé son inventaire.

Chaque ligne est une branche d'un projet, chaque bloc un de ses builds. L'agent a enregistré les dépendances de chacun : la réponse existe avant même la question.

2 · La recherche

Tout l'historique, en une passe.

La recherche allume chaque build qui contient le composant, et distingue ceux où il est encore présent dans le dernier build de ceux où il a déjà été retiré.

Exemple illustratif
Encore dans le dernier buildPrésent avant, retiré depuis
3 · Les nuances

Ce qu'on ne sait pas est dit.

Une version déclarée en plage est marquée « à déterminer », jamais écartée. Une branche dont le dernier build n'a enregistré aucun inventaire est listée : le silence ne vaut pas « non affecté ».

Exemple illustratif
Encore dans le dernier buildPrésent avant, retiré depuisPlage déclarée : à déterminerAucun inventaire enregistré
4 · Le rapport

Une réponse signée, à remettre.

Le résultat devient un rapport PDF : signé, ancré sur IPFS et inscrit dans Rekor, avec un QR code vers la déclaration. Il ne contient aucune donnée personnelle.

La réponse

Une réponse qu'on peut transmettre telle quelle.

Pour chaque projet et chaque branche : la version trouvée, la première et la dernière fois qu'elle a été vue, et si le dernier build la contient encore.

Projet et branche

Où, et depuis quand.

Première et dernière apparition, conservées même quand la rétention a supprimé les builds anciens.

Dernier build

Encore là, ou retiré.

La distinction qui sépare une exposition actuelle d'une exposition passée.

Plages déclarées

À déterminer, jamais écartées.

Une dépendance déclarée « ^2.14 » peut être touchée : elle reste dans la réponse, marquée comme telle.

Angles morts

Ce qui n'a pas été inventorié.

Les branches sans inventaire et le début de l'historique conservé sont indiqués, pour que l'absence de résultat ne soit pas lue comme une absence de risque.

Recherche « log4j-core », exemple illustratif
Projet / brancheRéponse Exemple illustratif
api / mainEncore dans le dernier build
billing / release-2.xRetiré depuis
frontend / mainAucune occurrence
worker / mainPlage déclarée : à déterminer
legacy-batch / mainAucun inventaire enregistré
Par vulnérabilité

Partez d'une CVE, pas d'un nom de paquet.

Saisissez un identifiant CVE ou GHSA. Wisec retrouve les paquets concernés en suivant les alias de l'avis, puis vérifie chaque version enregistrée contre la base de vulnérabilités OSV, tenue dans notre cluster en France : aucune comparaison de versions maison.

  • Versions vérifiées une à une. Chaque version enregistrée est déclarée « affectée » ou non par la base OSV elle-même.
  • Écosystèmes couverts : Maven, npm, PyPI, Go. Ceux que Wisec n'inventorie pas sont nommés dans la réponse plutôt que passés sous silence.
  • Détections existantes listées. Si un scanner a déjà signalé la vulnérabilité sur un projet, la réponse le montre.
  • Une base indisponible n'est jamais un « non ». Si la vérification ne peut pas se faire, la recherche le dit et ne répond pas à moitié.
Le rapport signé

La réponse que votre client ou votre autorité attend.

Le rapport est recalculé côté serveur, jamais à partir d'un résultat envoyé par le navigateur, puis signé avec la clé d'attestation Wisec, ancré sur IPFS avec une copie en stockage non modifiable, et inscrit dans Rekor. Un tiers le vérifie sans compte Wisec, avec des outils standards.

Wisec ne dit jamais « livré ». Il voit des branches et des commits, pas vos mises en production. Le rapport dit où le composant a été construit, à vous de dire ce qui a été déployé.

Disponible avec les offres Business et Pro. La recherche porte sur l'historique conservé par votre offre, et la réponse indique la date à partir de laquelle cet historique est complet.

Demander une démoLire la documentation