#supply-chain

Générez des hachages d'intégrité des sous-ressources (SRI) pour toute ressource web, afin que les navigateurs puissent vérifier qu'un script ou une feuille de style hébergé sur un CDN n'a pas été altéré. Passez une URL et le service récupère la ressource et renvoie ses hachages SRI sha256, sha384 et sha512, la valeur d'intégrité choisie (sha384 par défaut, ou passez votre algorithme préféré), la taille et le type de contenu de la ressource, ainsi qu'une balise <script> ou <link> prête à coller avec les attributs integrity et crossorigin. Un point de terminaison de vérification récupère à nouveau la ressource et vous indique si elle correspond toujours à une chaîne d'intégrité connue — détectant les modifications silencieuses du CDN ou les altérations de la chaîne d'approvisionnement avant que vos utilisateurs ne les rencontrent. La requête est effectuée côté serveur ; les cibles privées et internes sont refusées (protégé contre les SSRF). Conçu pour sécuriser les scripts tiers, renforcer la chaîne d'approvisionnement, les pipelines de construction et la conformité CSP/SRI. Un générateur et vérificateur d'intégrité des sous-ressources — distinct du hachage cryptographique brut des données d'entrée (hash), du vérificateur d'en-têtes de sécurité HTTP (secheaders) et du contrôle de certificat SSL/TLS (sslcheck). Pas de clé en amont, pas de cache.

api.oanor.com/sri-api

Intelligence sur la chaîne d'approvisionnement logicielle et les dépendances sous forme d'API, propulsée par deps.dev — le service Open Source Insights de Google. Sur six écosystèmes de packages (npm, PyPI, Maven, Cargo, Go et NuGet), il répond aux questions qu'un registre ne peut pas : qu'est-ce que l'installation de ce package implique réellement, et quelle est la santé du projet derrière ? Listez les versions publiées d'un package et sa version par défaut ; lisez les licences déclarées d'une version spécifique, les clés de tout avis de sécurité connu, les liens utiles (dépôt source, page d'accueil, suivi de problèmes) et les projets connexes ; résolvez le graphe de dépendances TRANSITIF complet d'une version — le nombre total de dépendances, les dépendances directes et chaque nœud transitif avec sa version résolue exacte et s'il s'agit d'une dépendance directe ou indirecte ; et consultez le Scorecard OpenSSF d'un projet source — le score de sécurité global ainsi que les résultats par vérification pour Maintenu, Révision de code, Protection de branche, Workflow dangereux, Vulnérabilités et plus encore — accompagné de ses étoiles, forks, problèmes ouverts, licence et page d'accueil. Pour les modules Go et les artefacts Maven, le nom du package est le chemin complet du module ou groupe:artefact (encodé URL automatiquement). Idéal pour l'audit de dépendances, l'enrichissement de logiciels-bill-of-materials (SBOM), l'évaluation des risques de la chaîne d'approvisionnement et les outils de conformité des licences. Données provenant de deps.dev (Google, CC-BY).

api.oanor.com/depsdev-api

La base de données des vulnérabilités open source (OSV / osv.dev) sous forme d'API — le contrôle de sécurité de la chaîne d'approvisionnement pour les dépendances open source. Scannez n'importe quelle version de package (PyPI, npm, Go, crates.io, Maven, NuGet, RubyGems, Packagist, Hex et plus) et découvrez instantanément si elle est affectée par des vulnérabilités connues, avec la sévérité de chaque avis, le score CVSS, les alias CVE, la faiblesse CWE et les références ; listez tous les avis jamais publiés pour un package ; et consultez un seul avis (GHSA, PYSEC, GO, RUSTSEC, CVE…) en détail complet, y compris les packages affectés et les plages de versions. En direct depuis la base de données officielle OSV.dev de Google, qui agrège les avis de sécurité GitHub, PyPA, RustSec, Go et de nombreuses autres sources. Idéal pour l'analyse des dépendances, les outils SBOM et de chaîne d'approvisionnement, les portes de sécurité CI et les tableaux de bord devsecops. Données ouvertes.

api.oanor.com/osv-api