Support technique
Documentation
Connexion
Nous contacter
Sécurisé avant même d'entrer dans votre pile – en continu jusqu'à la date de fin de vie.
Tous les avantages pour l'écosystème. Sans aucune confiance aveugle.
SecureChain pour les logiciels libres
Une chaîne logistique PHP sécurisée : fiable dès l'installation, contrôlée contre les logiciels malveillants et protégée tant qu'elle fait partie de votre infrastructure
SecureChain remplace Packagist par une alternative vérifiée et recompilée à partir du code source. Il vérifie chaque paquet lors de l'installation, fournit en continu des correctifs de vulnérabilités et assure la protection des dépendances PHP bien après que les responsables de maintenance ont cessé de publier des mises à jour.
Couverture de l'ensemble des écosystèmes qui sous-tendent les piles de production actuelles
Le modèle de dépendances de PHP comporte des risques cachés
Packagist est à la base de la plupart des applications PHP modernes.
Mais son modèle ouvert le rend vulnérable aux abus.
Entre les responsables de paquets compromis et les paquets abandonnés, les risques s'accumulent rapidement.
Un seul écosystème. Une exposition continue.
-
Compromission du serveur Git PHP
Des modifications malveillantes ont été introduites dans le code source officiel de PHP. Elles ont été détectées avant la publication, mais cela nous rappelle que le moteur d'exécution lui-même fait partie de la surface d'attaque.
-
Exploitation des paquets abandonnés
Des bibliothèques largement utilisées, laissées sans maintenance, sont ensuite exploitées comme vecteurs d'attaque.
Les applications PHP ont une durée de vie plus longue que les paquets dont elles dépendent.
Comment les risques s'introduisent dans vos dépendances PHP
Le risque est inhérent au processus de résolution et d'installation des paquets par Composer.
À chaque installation et mise à jour de Composer
Chaque installation de Composer s'appuie sur un registre public.
Cette confiance peut être exploitée.
- Colis détournés
- Versions altérées
- Scripts malveillants
- Confusion des dépendances
Tout ce qui se passe une fois la maintenance terminée
Chaque installation de Composer s'appuie sur un registre public.
Cette confiance peut être exploitée.
- Les projets sont abandonnés
- Fin des correctifs de sécurité
- De nouvelles vulnérabilités CVE continuent d'apparaître
Votre application continue de les exécuter quand même.
Les solutions de sécurité PHP ne couvrent qu'une seule couche chacune.
Le risque réside dans les failles. SecureChain n'en laisse aucune.
SecureChain se distingue par le fait qu'il ne s'agit pas d'un simple service de conseil, mais d'une solution active.
Et cela ne s'arrête pas quand le responsable cesse ses activités.
pour les logiciels libres
Sécurité tout au long du cycle de vie des paquets PHP
Dès l'instant où vous installez un paquet – et bien après que les responsables aient cessé de le maintenir.
Cycle de vie d'un paquet
Adopter
Construire et livrer
Exploiter
Fin de vie
Couverture maintenue bien après la fin de la maintenance
Sécurité sans rendez-vous :
Rien ne change pour vos développeurs
Configurez votre gestionnaire de référentiels – ou votre gestionnaire de paquets directement – pour qu'il pointe vers
SecureChain et continuez à travailler.
Mêmes paquets, mêmes API, même flux de travail.
Compatible avec :
JFrog Artifactory
Sonatype Nexus
GitHub Packages
Sécurisez vos paquets PHP à chaque étape
Demandez-nous comment SecureChain vérifie les paquets lors de l'installation, corrige les vulnérabilités en continu et protège vos dépendances bien après la fin de la maintenance.
Une question ?
La rapidité et la flexibilité de l'open source,l'
e sans les risques.
Avec SecureChain, chaque colis est :
Remis à neuf et contrôlé
Chaque paquet est recompilé à partir du code source dans des environnements sécurisés et isolés : pas de binaires hérités, pas d'artefacts opaques provenant de l'amont. Ce que vous installez correspond exactement à ce qui a été compilé et vérifié de bout en bout.
Vérifié contre les logiciels malveillants
Chaque paquet est analysé à la recherche de logiciels malveillants connus, de modèles de code suspects et de risques liés à la chaîne d'approvisionnement. Tout élément qui ne passe pas l'inspection est bloqué avant d'atteindre votre environnement.
Mise à jour en continu
Les composants actifs sont surveillés et corrigés dans le cadre du SLA dès l'apparition de CVE. Lorsque la maintenance en amont prend fin, le service Endless Lifecycle Support (ELS) continue de fournir des correctifs tant que vous utilisez le paquet.
Conforme et prêt pour un audit
Sachez exactement quels logiciels sont en cours d'exécution et lesquels ont été mis à jour. La traçabilité SLSA de niveau 3, la SBOM et VEX garantissent une assurance totale de la chaîne d'approvisionnement : les preuves dont vos auditeurs ont besoin, à tout moment.
+ Couverture à la demande
Si un paquet dont vous avez besoin ne figure pas encore dans le catalogue, nous l'ajouterons sur
sans frais supplémentaires : il sera vérifié, corrigé et pris en charge comme tous les autres.
Conçu pour les équipes qui assument les risques :
Sécurité et DevSecOps (
)
Vérification des composants lors de l'installation, protection continue par la suite. Aucune lacune tout au long du cycle de vie.
Direction de l'ingénierie et de l'
Aucun changement dans le flux de travail. Aucune réécriture imposée lorsque les dépendances arrivent en fin de vie.
Conformité,
s et GRC
SBOM intégrées, VEX, traçabilité et couverture des correctifs : une conception prête pour l'audit.
Pourquoi TuxCare ?
Approuvé par les innovateurs du monde entier
Foire aux questions
En général, ils ne proviennent pas directement de Packagist. Packagist fait office d'annuaire qui redirige Composer vers des dépôts externes tels que GitHub ou GitLab, d'où le code est récupéré au moment de l'installation. SecureChain remplace ce modèle par un dépôt contrôlé où chaque paquet PHP est vérifié avant sa mise à disposition.
Les installations via Composer peuvent présenter davantage de risques que ne le pensent les équipes. Composer peut exécuter les scripts définis dans le fichier composer.json, et les dépendances peuvent contenir du code qui s'exécute lors de l'installation ou du démarrage de l'application. SecureChain analyse le code source à la recherche de ces comportements et bloque les paquets PHP malveillants avant qu'ils n'atteignent votre environnement.
Ils peuvent être très volumineux. Des frameworks tels que Laravel et Symfony peuvent comporter bien plus d’une centaine de paquets transitifs. Beaucoup d’entre eux ne font jamais l’objet d’une vérification manuelle, mais ils ont néanmoins une incidence sur la sécurité des applications. SecureChain vérifie, analyse et corrige en continu chaque dépendance de l’arborescence des paquets PHP.
Vous devez pouvoir contrôler ce qui est installé et comment cela fonctionne. SecureChain fournit une source vérifiée de paquets Composer, bloque les paquets malveillants et corrige en permanence les vulnérabilités dans l'ensemble de l'arborescence des dépendances.
Non. SecureChain surveille en permanence les vulnérabilités et fournit des correctifs validés pour les versions que vous utilisez, ce qui réduit le besoin d'un audit manuel de Composer.
Les correctifs de sécurité prennent fin, mais les vulnérabilités persistent. SecureChain est complété par le service « Endless Lifecycle Support » pour les paquets PHP, ce qui vous permet de garantir la sécurité de vos systèmes sans avoir à mettre à jour immédiatement vos frameworks ni à réécrire votre code.
Non. SecureChain est une solution de remplacement directe. Les développeurs continuent d'utiliser les mêmes commandes Composer et les mêmes workflows.
