Prêt pour le Cyber Resilience Act en un après-midi.
Depuis le 11 septembre 2026, une vulnérabilité de votre produit activement exploitée se signale sous 24 heures. CRA Kit vous dit si vous êtes concerné, analyse vos dépendances et rédige les 13 documents dont une petite équipe a besoin.
npx crakit-cli . CRA Kit, scan 2026-09-08 10:48 UTC Sources: package-lock.json Components: 5 (3 runtime) Known vulnerabilities: 6 across 3 components CISA KEV catalogue 2026-09-04: 1695 entries None of your dependency vulnerabilities is listed in the KEV catalogue (known active exploitation). [HIGH] [email protected] CVE-2021-23337 → 4.17.21 [MODERATE] [email protected] CVE-2024-29041 → 4.19.2 [MODERATE] [email protected] CVE-2020-28500 → 4.17.21 [LOW] [email protected] CVE-2024-43796 → 4.20.0 SBOM written to sbom.cdx.json
Sortie de crakit sur un projet de démonstration, 8 sept. 2026. L'analyse web donne le même résultat, dans votre navigateur.
Pas de cabinet. Pas de plateforme. Vos documents, vos données.
Une équipe de un à dix a besoin du texte du règlement, de ses propres réponses et d'un après-midi. Votre lockfile ne quitte jamais votre navigateur. Pas de compte, et rien de ce que vous saisissez n'est conservé chez nous.
Deux dates qui comptent
Le règlement couvre les logiciels et les matériels connectés vendus ou monétisés dans l'Union, y compris ceux déjà sur le marché (article 69).
- 11 sept. 2026Article 14
Notification
Les vulnérabilités activement exploitées et les incidents graves vont au CSIRT national (en France, le CERT-FR) et à l'ENISA. 24 h, 72 h, puis un rapport final. Vous informez aussi les utilisateurs concernés.
- 11 déc. 2027Articles 13, 28, 31
Tout le reste
Exigences de sécurité, SBOM, documentation technique, déclaration UE de conformité, marquage CE, cinq ans de mises à jour gratuites.
Trois outils, dans l'ordre
-
Test de champ d'application gratuit
Huit questions. Vous obtenez votre classe de produit, la voie d'évaluation et les dates, avec les articles.
Concerné · Produit par défaut · Auto-évaluation (module A) · Article 14 depuis le 11 sept. 2026 -
Analyse SBOM & vulnérabilités gratuit
Déposez un lockfile. SBOM CycloneDX, vulnérabilités OSV.dev et celles du catalogue KEV de la CISA. Une entrée KEV, c'est le jour même qu'il faut agir.
sbom.cdx.json · 6 vulnérabilités · 0 KEV · lu dans votre navigateur -
Le kit 49 € par produit
13 documents rédigés avec votre société, votre produit et vos contacts. Markdown, HTML et version imprimable, en français ou en anglais.
Politique de divulgation · security.txt · procédures de traitement et de notification · modèles ENISA · période d'assistance · projets d'annexes I, II, V et VII · journal
Ce que contient le kit
Chaque document cite l'article qu'il met en œuvre et vous appartient. Trois sont visibles en entier avant de payer.
| Document | Met en œuvre | Vous |
|---|---|---|
| 00 · Plan en 10 étapes, date par date | Articles 13, 14, 64 | Conserver |
| 01 · Mémo champ d'application et classification | Articles 2, 3, annexes III/IV | Conserver |
| 02 · Politique de divulgation coordonnée | Annexe I partie II (5) | Publier |
| security.txt (RFC 9116) | Annexe I partie II (6) | Publier |
| 03 · Procédure de traitement des vulnérabilités | Annexe I partie II, art. 13 §6-8 | Interne |
| 04 · Procédure de notification, 24 h / 72 h / final | Articles 14, 16 | Interne |
| 05 · Six modèles ENISA + message aux utilisateurs | Article 14 §2, 4, 8 | Le jour J |
| 06 · Déclaration de période d'assistance | Article 13 §8-9 | Publier |
| 07 · Informations utilisateurs | Annexe II | Livrer |
| 08 · Évaluation des risques de cybersécurité | Article 13 §2-4, annexe I | Dossier technique |
| 09 · Squelette de documentation technique | Article 31, annexe VII | Dossier technique |
| 10 · Projet de déclaration UE de conformité | Article 28, annexes V/VI | Signer avant 2027 |
| 11 · Journal des vulnérabilités et versions (CSV) | Article 13 §7 | Conserver 10 ans |
CRA Kit, par produit
- 13 documents, français ou anglais
- Régénération illimitée
- Markdown, HTML, imprimable, en ZIP
- Clé de licence par e-mail, 5 navigateurs
- Mises à jour gratuites des modèles
Vendu aux professionnels uniquement. Pour débloquer, vous confirmez acheter dans le cadre de votre activité et vous demandez la fourniture immédiate (voir CGV). Pas un conseil juridique.
Face aux alternatives
| Option | Coût | Pour une équipe de 1 à 10 |
|---|---|---|
| Cabinet d'avocats | Sur devis | Surdimensionné pour l'instant |
| Pack de modèles Word | Achat unique | Générique. Tout reste à remplir |
| Plateforme SBOM | Abonnement | Faite pour des équipes sécurité |
| Guides gratuits | Gratuit | Bonnes lectures, rien à publier |
| CRA Kit | 49 € | Rédigé avec vos données, prêt aujourd'hui |
Pour qui, en France
Éditeurs de logiciels et d'apps
Application mobile ou desktop, logiciel métier, client lourd avec back-end. Vous êtes en principe fabricant au sens du CRA.
Agences web et studios
Vous livrez des plugins, des apps ou des objets connectés. Un kit par produit, à leur nom ou au vôtre.
Auteurs de plugins et thèmes
WordPress, Shopify, PrestaShop, extensions payantes. Un produit commercial, donc en principe concerné.
Startups IoT et hardware
Capteurs, boîtiers, kits. Du matériel avec un firmware reste un produit comportant des éléments numériques.
Qui est derrière
Les questions qu'on nous pose
Mon SaaS est-il concerné ?
Le SaaS pur et les sites web ne sont pas des produits comportant des éléments numériques (considérant 12). Mais si vous livrez un client dont une fonction a besoin de votre back-end, ce back-end entre dans le champ avec lui.
Je publie de l'open source. Suis-je concerné ?
Le logiciel libre fourni hors activité commerciale est hors champ (considérant 18). La monétisation vous y fait entrer : support payant, double licence, entreprise qui vend autour du projet. Les gestionnaires ont un régime allégé (article 24).
Que se passe-t-il exactement le 11 septembre 2026 ?
L'article 14 s'applique. Si vous apprenez qu'une vulnérabilité de votre produit est activement exploitée, vous déposez une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final, via la plateforme de l'ENISA. Rien à déposer s'il ne se passe rien, mais tout doit être prêt avant.
Est-ce un conseil juridique ? Est-ce que ça me rend conforme ?
Non, dans les deux cas. Le kit rédige des documents de travail à partir du texte du règlement et de vos réponses, avec les articles pour que vous vérifiiez. La conformité vient de ce que vous en faites.
Où vont mes fichiers et mes données ?
Nulle part. L'analyseur lit vos fichiers dans le navigateur et n'envoie à OSV.dev que des noms et versions de paquets. Le formulaire reste chez vous. La seule base que nous tenons compte les visites, de façon anonyme : aucun cookie, aucune IP, rien que vous ayez saisi.
Puis-je être remboursé ?
Vous voyez trois documents en entier avant de payer. Vendu à des professionnels, donc le droit de rétractation de 14 jours ne s'applique pas. Si quelque chose ne fonctionne pas, écrivez-nous. Nous corrigeons ou nous remboursons.