L'alternative à ActiveState qui continue à fournir des correctifs même lorsque le développeur d'origine cesse ses mises à jour - TuxCare

Comparaison des deux catalogues

Fonctionnalité
SecureChain
ActiveState
Modèle du catalogue ✓Uncatalogue commun de paquets pré-vérifiés, recompilés à partir des sources ✓Uncatalogue privé pour chaque client, issu de la bibliothèque d'ActiveState et recompilé à partir du code source
Provenance SLSA ✓Niveau3 ✓Niveau3
SBOM et VEX ✓Inclus ✓Inclus
Accord de niveau de service (SLA) relatif à la correction des vulnérabilités CVE ✓Publiépour chaque niveau de gravité, et le compte à rebours continue, que le développeur en amont ait trouvé une solution ou non ⚠ Délai annoncéde 5, 10 et 30 jours ouvrés, à compter de la mise en place d'une correction en amont
Qui rédige la correction ? ✓En amont, les corrections ainsi que nos propres correctifs, sur la version que vous utilisez ✗Dépendant de l'amont
Corrections de sécurité pour les produits en fin de vie (EOL) ✓La prise en charge continuedans le cadre du programme « Endless Lifecycle Support », pour les versions exactes que vous utilisez ⚠ La couvertureprend fin à l'expiration du contrat ; un accord sur mesure est alors nécessaire
SLA relatif à la gestion de fin de vie (EOL) ✓Oui, d'après les données publiées par le CVE ✗Aucunepublication
Versions supprimées sans préavis ✓Correctif appliquéconformément à un SLA publié ; aucune annonce de fin de vie n'est nécessaire ✗Aucunepublication
Protection contre les logiciels malveillants ✓Le code sourceest analysé dès sa réception afin de détecter tout comportement malveillant caché et tout schéma suspect, et pas seulement les signatures connues ⚠ Aucuneméthode n'a été publiée ; on ignore si le code source fait l'objet d'une vérification
Offres à la demande ✓La plupartdes forfaits figurent déjà dans le catalogue ; ceux qui manquent sont ajoutés sans frais supplémentaires ⚠ Le contenu du catalogueest sélectionné en fonction de chaque client, et tout composant manquant entraîne un délai d'attente.

Les correctifs ne devraient pas s'arrêter simplement parce que le projet en amont s'est arrêté

Les anciennes versions font rarement l'objet d'un avis de fin de vie. L'éditeur continue simplement d'avancer. SecureChain continue de fournir des correctifs pour la version que vous utilisez, conformément à un SLA publié, afin qu'une dépendance vieillissante ne se transforme pas en un projet de migration imprévu.

OBTENIR UN DEVIS
SecureChain

Trois différences que l'on ressent en production

Téléchargez des paquets validés dès le premier jour

SecureChain est livré avec des milliers de paquets par écosystème déjà validés ; les dépendances courantes sont donc disponibles avant même que quiconque ne soumette une demande. Les catalogues ActiveState sont constitués sur mesure pour chaque client.

On continue à recevoir des correctifs même après l'arrêt de la distribution en amont

De nombreuses bibliothèques open source n'annoncent jamais leur fin de vie. Elles cessent simplement de proposer des correctifs. SecureChain en tient compte et continue à fournir des correctifs. ActiveState les prend en charge dans le cadre d'un accord distinct, si vous en faites la demande.

Repère ce que personne n'a encore signalé

Le fait qu'un paquet ne comporte aucune vulnérabilité répertoriée dans la base CVE ne garantit pas pour autant sa sécurité. SecureChain analyse le code source de chaque paquet lors de son intégration afin de détecter d'éventuels logiciels malveillants cachés. ActiveState ne fournit aucune documentation sur le fonctionnement de ses contrôles anti-malware.

Nous avons mis en place une solution de mise à jour logicielle de niveau professionnel à une échelle sans précédent sur
– et ce n'est qu'un début

Plus de 2 700
Clients professionnels

Plus de 14 000
Vulnérabilités corrigées

Plus de 420 000
correctifs fournis

Plus de 70 000 coffretssélectionnés avec soin

Changez de solution sans avoir à refaire votre pipeline

  • Passez de votre catalogue ActiveState aux versions TuxCare des logiciels que vous utilisez déjà, grâce à une configuration unique par dépôt.

  • Conservez vos gestionnaires de paquets et vos commandes d'installation. Chaque paquet est fourni avec une traçabilité de niveau 3 selon la norme SLSA, une SBOM et un fichier VEX.

Recevez vos colis dès aujourd’hui et vos écussons dans les délais

Envoyez-nous les paquets et les versions dont votre équipe a besoin. Nous vous montrerons ce qui figure déjà dans le catalogue et à quel moment TuxCare prend le relais lorsque le développement en amont s'arrête.

OBTENIR UN DEVIS

Foire aux questions

ActiveState développe des environnements d'exécution open source pour les langages de programmation depuis la fin des années 1990 et est surtout connu pour Python, Perl et Tcl. Son « Curated Catalog » est un référentiel privé de composants issus de sa bibliothèque, compilés à partir du code source au sein d'une infrastructure conforme au niveau 3 de la norme SLSA, avec des SBOM signées et une traçabilité assurée. Les SLA de correction annoncés prennent effet dès qu'un correctif en amont est disponible.

SecureChain vous offre d'emblée un catalogue partagé de paquets préalablement vérifiés ; vous y trouverez donc l'essentiel de ce dont vous avez besoin dès le premier jour. Lorsqu'une vulnérabilité CVE est détectée dans une version que vous utilisez et que le développeur en amont n'a pas encore proposé de correctif, TuxCare en élabore un et le fournit conformément à un SLA publié. De plus, le code source de chaque paquet est inspecté afin de détecter tout comportement malveillant avant son intégration dans le catalogue.

En général, non. La plupart des logiciels figurent déjà dans le catalogue SecureChain. Ceux qui manquent sont ajoutés sans frais supplémentaires et bénéficient de la même assistance que les autres.

SecureChain continue à fournir des correctifs conformément à un SLA publié, d'abord dans le cadre de SecureChain, puis dans celui du « Endless Lifecycle Support », tant que vous utilisez cette version. Cela inclut les bibliothèques qui abandonnent les anciennes versions sans le signaler.

Oui. Lorsque le développeur en amont propose un correctif, SecureChain l'utilise. Lorsque le développeur en amont ne fournit pas de solution, les ingénieurs de TuxCare rédigent le correctif et l'adaptent à la version exacte que vous utilisez.

SecureChain analyse l'origine de chaque paquet dès sa réception afin de détecter des modèles de code suspects, des risques liés à la chaîne d'approvisionnement (tels que des hooks d'installation et des charges utiles obscurcies) ainsi que des logiciels malveillants connus. Les contrôles documentés par ActiveState comparent les composants aux vulnérabilités CVE répertoriées et aux paquets malveillants connus.

Chaque package SecureChain est livré avec une traçabilité SLSA de niveau 3, une SBOM et des données VEX, soit l'ensemble des justificatifs exigés par les auditeurs.

Oui. Configurez votre gestionnaire de référentiels ou de paquets pour qu'il utilise SecureChain à la place de votre catalogue ActiveState, puis revérifiez vos attestations de provenance. Vos builds et vos workflows restent inchangés.

Oui. SecureChain est compatible avec JFrog Artifactory, Sonatype Nexus et GitHub Packages ; votre gestionnaire de paquets peut également y accéder directement.

Depuis 15 ans, TuxCare corrige les failles des logiciels open source, souvent bien après la fin du support en amont. SecureChain intègre cette expertise technique plus en amont dans la chaîne d'approvisionnement. Son analyse des logiciels malveillants s'appuie sur Imunify, notre organisation sœur, qui exploite l'une des plus grandes plateformes de détection de logiciels malveillants côté serveur dans le secteur de l'hébergement.