Support technique
Documentation
Connexion
Nous contacter
Sécurisé avant même d'entrer dans votre pile – en continu jusqu'à la date de fin de vie.
Tous les avantages pour l'écosystème. Sans aucune confiance aveugle.
SecureChain pour les logiciels libres
Une chaîne logistique JavaScript plus sûre : vérifiée à la source, analysée pour détecter les logiciels malveillants et sécurisée tant qu'elle reste dans votre infrastructure
SecureChain remplace le registre public npm par un référentiel soigneusement sélectionné et recompilé à partir des sources. Il vérifie chaque paquet lors de l'installation, corrige les vulnérabilités dès leur apparition et assure la sécurité de vos dépendances bien après que les responsables de maintenance ont cessé leur activité.
Couverture de l'ensemble des écosystèmes qui sous-tendent les piles de production actuelles
Le problème avec npm est plus grave que vous ne le pensez
npm est le plus grand registre de paquets au monde.
C'est également la chaîne d'approvisionnement logicielle la plus exposée aux attaques qui existe.
De nouveaux paquets malveillants ont été identifiés dans les principaux référentiels open source, dont plus de 99 % figuraient sur npm
Un seul registre. Des milliers de points d'entrée potentiels.
-
Le ver Shai-Hulud
Une campagne de logiciels malveillants à propagation autonome qui s'est répandue au sein d'écosystèmes open source en détournant des paquets de confiance et en infectant discrètement les environnements en aval.
-
Compromis Axios
Une attaque visant la chaîne d'approvisionnement qui a pris pour cible une bibliothèque HTTP très répandue, démontrant ainsi que même des paquets réputés fiables peuvent servir de vecteurs à du code malveillant.
Ce ne sont pas des cas marginaux. C'est l'environnement de travail habituel de toute équipe qui développe avec Node.js.
Comment les risques s'introduisent dans vos dépendances npm
Le risque auquel vous êtes exposé ne provient pas d'une seule source. Il découle du fonctionnement même de npm.
Lors de l'installation et à chaque mise à jour ultérieure
Chaque fois que votre équipe exécute la commande « npm install », elle fait confiance à un registre public.
Cette confiance est souvent mise à mal.
- Paquets « typosquattés »
- Responsables détournés
- Objets altérés
- Scripts d'installation malveillants
Tout ce qui se passe depuis la dernière mise à jour
Chaque fois que votre équipe exécute la commande « npm install », elle fait confiance à un registre public.
Cette confiance est souvent mise à mal.
- Les paquets deviennent obsolètes
- Les responsables passent à autre chose
- De nouvelles vulnérabilités CVE continuent d'apparaître
Votre application continue d'exécuter le même code, mais le risque ne cesse d'augmenter.
La plupart des outils de sécurité npm se limitent à une seule phase d'exposition.
Un scanner qui effectue des vérifications lors de l'installation. Un outil SCA qui signale les CVE connus.
Un flux d'alertes qui vous indique qu'un élément est vulnérable, mais qui ne le corrige pas.
SecureChain se distingue par le fait qu'il ne s'agit pas d'un simple service de conseil, mais d'une solution active.
Et cela ne s'arrête pas quand le responsable cesse ses activités.
pour les logiciels libres
Sécurité tout au long du cycle de vie des paquets npm
Dès l'instant où vous installez un paquet – et bien après que les responsables aient cessé de le maintenir.
Cycle de vie d'un paquet
Adopter
Construire et livrer
Exploiter
Fin de vie
Couverture maintenue bien après la fin de la maintenance
Sécurité sans rendez-vous :
Rien ne change pour vos développeurs
Configurez votre gestionnaire de référentiels – ou votre gestionnaire de paquets directement – pour qu'il pointe vers
SecureChain et continuez à travailler.
Mêmes paquets, mêmes API, même flux de travail.
Compatible avec :
JFrog Artifactory
Sonatype Nexus
GitHub Packages
Sécurisez vos paquets npm à chaque étape
Demandez-nous comment SecureChain vérifie les paquets lors de l'installation, corrige les vulnérabilités en continu et protège vos dépendances bien après la fin de la maintenance.
Une question ?
La rapidité et la flexibilité de l'open source,l'
e sans les risques.
Avec SecureChain, chaque colis est :
Remis à neuf et contrôlé
Chaque paquet est recompilé à partir du code source dans des environnements sécurisés et isolés : pas de binaires hérités, pas d'artefacts opaques provenant de l'amont. Ce que vous installez correspond exactement à ce qui a été compilé et vérifié de bout en bout.
Vérifié contre les logiciels malveillants
Chaque paquet est analysé à la recherche de logiciels malveillants connus, de modèles de code suspects et de risques liés à la chaîne d'approvisionnement. Tout élément qui ne passe pas l'inspection est bloqué avant d'atteindre votre environnement.
Mise à jour en continu
Les composants actifs sont surveillés et corrigés dans le cadre du SLA dès l'apparition de CVE. Lorsque la maintenance en amont prend fin, le service Endless Lifecycle Support (ELS) continue de fournir des correctifs tant que vous utilisez le paquet.
Conforme et prêt pour un audit
Sachez exactement quels logiciels sont en cours d'exécution et lesquels ont été mis à jour. La traçabilité SLSA de niveau 3, la SBOM et VEX garantissent une assurance totale de la chaîne d'approvisionnement : les preuves dont vos auditeurs ont besoin, à tout moment.
+ Couverture à la demande
Si un paquet dont vous avez besoin ne figure pas encore dans le catalogue, nous l'ajouterons sur
sans frais supplémentaires : il sera vérifié, corrigé et pris en charge comme tous les autres.
Conçu pour les équipes qui assument les risques :
Sécurité et DevSecOps (
)
Vérification des composants lors de l'installation, protection continue par la suite. Aucune lacune tout au long du cycle de vie.
Direction de l'ingénierie et de l'
Aucun changement dans le flux de travail. Aucune réécriture imposée lorsque les dépendances arrivent en fin de vie.
Conformité,
s et GRC
SBOM intégrées, VEX, traçabilité et couverture des correctifs : une conception prête pour l'audit.
Pourquoi TuxCare ?
Approuvé par les innovateurs du monde entier
Foire aux questions
Oui. Les paquets npm peuvent exécuter automatiquement des scripts de cycle de vie tels que « preinstall », « install » et « postinstall » lors de l'installation via npm. Les pirates exploitent cette faille par le biais du typosquatting, du détournement de comptes de responsables de paquets, de paquets altérés et de campagnes telles que Shai-Hulud. SecureChain analyse les paquets avant leur distribution et bloque les scripts malveillants ou les comportements suspects avant qu'ils n'atteignent votre environnement.
Par défaut, ce n'est pas le cas. Le registre public npm distribue les archives tar publiées sans vérifier qu'elles correspondent bien au code source d'origine ou au processus de compilation. Un code source apparemment correct peut tout de même donner lieu à un artefact installable présentant des risques. SecureChain recompile les paquets à partir d'un code source vérifié dans des environnements sécurisés et fournit une traçabilité conforme au niveau 3 de la norme SLSA, ce qui permet de tracer et d'auditer chaque paquet.
Très vaste. Un seul paquet npm de premier niveau peut entraîner des centaines de dépendances transitives. La plupart ne font jamais l'objet d'une vérification, mais chacune d'entre elles peut exécuter du code et élargir votre surface d'attaque. SecureChain sécurise l'ensemble de l'arborescence des dépendances npm, et pas seulement les paquets que vous avez directement sélectionnés.
Utilisez une source de paquets fiable, et pas seulement des outils d'analyse. SecureChain vérifie les paquets npm avant leur installation, bloque les comportements malveillants et corrige en continu les vulnérabilités CVE dans le cadre d'un contrat de niveau de service (SLA). Les équipes de production disposent ainsi d'une source contrôlée et vérifiable de paquets npm.
Non. SecureChain surveille les paquets npm à la recherche de nouvelles vulnérabilités (CVE) et fournit des correctifs validés, compatibles avec vos versions verrouillées. Cela permet de réduire le suivi manuel, les démarches de suivi des audits npm et la pression liée aux mises à jour urgentes.
Les risques augmentent. Les paquets npm non maintenus peuvent rester en production alors que de nouvelles vulnérabilités continuent d'apparaître. SecureChain est complété par le service Endless Lifecycle Support (ELS), qui assure le portage des correctifs critiques afin que vous puissiez rester en sécurité sans avoir à effectuer de mise à niveau ni de refactorisation. Lorsqu'un paquet géré par SecureChain arrive en fin de vie, ELS assure la continuité de la couverture de sécurité sans que vous ayez à intervenir.
Non. SecureChain remplace directement le registre public npm. Les développeurs continuent d'utiliser npm, Yarn ou pnpm avec les mêmes commandes et les mêmes workflows. Il peut également être configuré comme source en amont pour JFrog Artifactory, Sonatype Nexus et GitHub Packages.
