Voyez chaque composant de votre firmware, et ceux qu’il faut mettre à jour.

Proofsheet est une application web. Envoyez le fichier : elle le décompresse, liste chaque composant et le compare aux bases publiques de vulnérabilités. En quelques minutes, elle génère un rapport avec les composants classés par risque. Ajoutez le dossier documentaire du Cyber Resilience Act quand vous en avez besoin. Aucun humain n’examine votre fichier.

Générer un rapport gratuit

Aperçu gratuit, puis à partir de 99 €. Une preuve technique, pas un certificat juridique.

Exemple de liste de composantsFirmware de routeur fictif · 6 composants affichés sur 142
Composant	Version	État	Pourquoi
Linux kernel	5.10.110	À mettre à jour	Une version 5.10 plus récente corrige des failles
OpenSSL	1.1.1k	Fin de support	Plus aucun correctif public depuis septembre 2023
BusyBox	1.31.1	À mettre à jour	Des failles connues sont recensées pour cette version
zlib	1.3.1	OK	Aucune correspondance dans les listes publiques de failles
Dropbear SSH	2022.83	À mettre à jour	Une version plus récente est sortie
Mbed TLS	3.6.2	OK	Aucune correspondance dans les listes publiques de failles

Trois étapes, quelques minutes

Envoyez un fichier
Image de firmware, application mobile ou logiciel de bureau, jusqu’à 200 Mo. Le logiciel le lit, sans jamais l’exécuter.
Lisez l’aperçu gratuit
Un rapport d’une page avec vos 3 principaux risques, sans frais. Si le logiciel ne peut pas lire le fichier, le rapport le dit et vous ne payez rien.
Téléchargez le rapport complet et le dossier
Payez par carte, puis téléchargez la liste des composants, les risques classés par gravité et les documents CRA.

Ce que l’application génère

Liste des composants: Chaque composant trouvé, aux formats CycloneDX 1.5 et SPDX 2.3. C’est votre SBOM.
Risques: Les versions exactes, comparées à la NVD. Les composants inscrits sur la liste des failles exploitées de la CISA sont signalés.
Classés par risque: Chaque composant, du risque le plus élevé au plus faible, expliqué simplement.
Carte de l’annexe I: Les 22 points de l’annexe I, chacun marqué prouvé, partiel ou ouvert.
Dossier documentaire: Index du dossier technique, fiche de durée de support, guide de signalement et modèles de politiques.

Exemple de rapport

Les fichiers que l’application lit

Images de firmware (gzip, tar, zip, cpio)
Applications Android
Programmes Windows, Linux et Apple
JavaScript et WebAssembly
Archives ZIP contenant l’un de ces fichiers

L’application ne peut pas ouvrir un firmware chiffré. Si elle ne lit pas votre fichier, le rapport le dit et vous ne payez rien.

Composant attaqué : vous avez 24 h

Depuis le 11 septembre 2026, si un composant de votre produit est activement exploité, vous devez envoyer une alerte précoce sous 24 h. Watchdog, un abonnement logiciel, compare en continu votre liste de composants aux listes publiques de vulnérabilités exploitées et génère les notifications pour vous. Vous les relisez et vous les soumettez vous-même.

Comment fonctionne Watchdog

Dans quelle classe est votre produit ?

Quelques questions par oui ou par non vous disent si votre produit est probablement de classe par défaut, importante ou critique, et ce que cela change pour l’évaluation de sa conformité. C’est gratuit, et aucune réponse n’est enregistrée.

Faire le test de classe

Tarifs

Offre	Prix	Ce que vous recevez
Aperçu gratuit	0 €	Un rapport d’une page avec vos 3 principaux risques, généré automatiquement.
The Label	99 €	La liste complète des composants et le rapport de risques générés, pour une version.
The Paperwork	249 €	The Label, plus les fichiers SBOM et le dossier documentaire CRA généré.
Watchdog	79 € par mois	Abonnement logiciel : chaque version réanalysée, des alertes et le kit 24 h.Bientôt disponible
Agency	299 € par mois	Offre agence : dix produits, avec votre logo sur les rapports générés.Bientôt disponible

Paiement par carte, sans rendez-vous. En formule annuelle, deux mois sont offerts. Voir tous les tarifs

Ce qui reste entre vos mains

Aucun logiciel ne peut signer votre déclaration UE de conformité, choisir votre procédure d’évaluation, fixer votre durée de support ou soumettre vos notifications à l’ENISA. Proofsheet génère les preuves et les brouillons. Les décisions vous appartiennent.

Votre fichier est supprimé sous 24 h. Aucun humain ne l’ouvre.

Les questions qu’on nous pose

Mon produit sera-t-il conforme au CRA ?

Aucun outil ne peut vous le garantir. Le rapport est une preuve technique à verser à votre dossier technique. Vous signez vous-même votre déclaration UE de conformité, et certains produits doivent passer par un organisme notifié.

Qui voit mon fichier ?

Aucun humain ne le consulte. Le logiciel le lit, génère le rapport et supprime le fichier sous 24 h. Le rapport reste disponible 30 jours.

Et si vous ne pouvez pas lire mon fichier ?

L’aperçu gratuit vous le dit, et vous ne payez rien. Cela arrive avec les firmwares chiffrés.

Faut-il un compte ou un rendez-vous ?

Non. Vous envoyez le fichier, vous lisez l’aperçu gratuit, puis vous payez par carte si vous voulez le rapport complet. Tout se passe dans l’application. L’e-mail sert uniquement pour l’aide sur votre compte et la facturation.