SecureChain pour les logiciels libres

Points clés à retenir : FedRAMP 20x est désormais opérationnel pour les classes A, B et C, et les règles de 2026 entreront en vigueur le 1er janvier 2027. L'un des indicateurs de sécurité clés décrit la surveillance automatique...

Points clés : Les éléments minimaux définis par la CISA pour 2026 ont remplacé, le 29 juillet 2026, les critères de référence de 2021 de l’Administration nationale des télécommunications et de l’information (NTIA) et ont établi 17 champs de données. Le Bureau de la gestion et…

En bref : Qu’est-ce qui s’est passé ? Une attaque de type «[email protected]» a touché npm le 8 octobre 2026 à 01 h 12 UTC. Pas de «typosquat» cette fois-ci. Il s’agit bien du véritable SDK Tensorlake pour TypeScript, développé par l’équipe du projet…

Vous vous souvenez de la commande « git blame » ? Tôt ou tard, quelqu'un va l'exécuter sur le code hérité, et cela mettra en lumière des décisions que vous avez prises il y a des années. Cette personne sera perplexe. Peut-être que le...

Vous lancez la commande « npm audit », et voilà le résultat : 14 vulnérabilités (3 faibles, 6 modérées, 4 élevées, 1 critique). Eh bien, regardez ça, quatorze vulnérabilités. C'est sans doute un projet qui…

Points clés : depuis le 11 septembre 2026, l'article 14 de la CRA vous oblige à signaler, dans les 24 heures suivant la découverte d'une vulnérabilité activement exploitée dans votre produit. Un haut responsable...

Points clés : les fautes de frappe et les « hallucinations » de l'IA fournissent toutes deux aux attaquants un nom de paquet exploitable, et aucune des deux ne nécessite d'exploit. La provenance permet de déterminer d'où provient un artefact, et non pas que le commit...

Chaque installation via npm est un acte de confiance. Vous est-il déjà arrivé de regarder votre dossier `node_modules` en vous demandant : « Mais qu’y a-t-il donc là-dedans ? » Dans le développement logiciel moderne, nous vivons dans…

Vous est-il déjà arrivé de demander à un LLM de générer du code et de vous demander si celui-ci était réellement sécurisé ? À l’heure où les entreprises recrutent des « licornes de l’IA » et où des outils comme Claude ou Copilot deviennent la norme, il est facile de...

Points clés : « Third Coming » et « Miasma » ont exploité des voies de publication CI fiables plutôt que des jetons de gestionnaire à longue durée de vie volés. Un registre qui filtre le contenu des versions peut détecter ces publications même lorsque…

Points clés : L'analyse vous indique ce que contient un fichier JAR, mais ne permet pas de vérifier s'il correspond au code source publié par le projet. Une version altérée sous des coordonnées valides est la faille que ni...