Alternatives à DefectDojo

Nous développons CRACI, tenez-en compte ; nous décrivons chaque option à partir de sa propre documentation et indiquons quand un autre outil convient mieux.

Pourquoi les équipes regardent au-delà de DefectDojo

DefectDojo est une plateforme open source de gestion des vulnérabilités et un projet OWASP Flagship, avec une édition commerciale proposée par DefectDojo Inc., à Austin, au Texas. Son site recense plus de 500 outils pris en charge, et il dédoublonne leurs résultats dans une file unique avec responsables, SLA et tickets Jira. DefectDojo Pro ajoute Locations, un modèle d'actifs au niveau des composants qui importe des SBOM CycloneDX et SPDX, et le PSIRT Advisory Engine, qui confronte des flux d'avis à ces données SBOM, regroupe les résultats en dossiers et publie des avis PDF à votre image. La Community Edition est gratuite sous licence BSD 3-Clause.

Les équipes comparent tout de même des alternatives, généralement pour l'une de ces raisons :

• La SBOM est le point faible. DefectDojo ne génère pas de SBOM. La correspondance avec les avis dépend des données SBOM que vous chargez, qui ne sont complètes que dans la mesure où le générateur qui les a produites l'est.
• Des produits, pas des applications. Les fabricants d'appareils ont souvent besoin d'une analyse de binaires et de firmware, ou de SBOM établies à partir de ce qu'ils reçoivent de leurs fournisseurs, plutôt que d'une file de résultats.
• Échelle et automatisation. Certains grands programmes veulent une plateforme de gestion de l'exposition offrant davantage de corrélation et des agents IA par-dessus les résultats agrégés.
• Le périmètre de l'open source. Les fonctionnalités SBOM et le PSIRT Advisory Engine sont réservés à Pro, et DefectDojo indique que le contrôle d'accès basé sur les rôles et le SSO ne seront pas pris en charge dans l'édition open source v3.

Ce qu'il faut examiner

• D'où provient la liste des composants : générée par l'outil, importée ou enregistrée à partir du build.
• Si l'outil vous indique le degré de complétude d'une SBOM.
• S'il vous faut une file unique pour tous vos scanners, ou un enregistrement de ce que contient chaque produit.
• Comment un nouvel avis est rattaché aux produits et releases qu'il concerne, et à quelle vitesse.
• Les workflows de VEX, de tri et d'attribution des responsabilités, si votre PSIRT les utilise aujourd'hui.
• Qui l'exploite, et comment les tarifs évoluent avec l'usage.

Les options

1. CRACI (notre produit)

CRACI n'est pas un agrégateur de résultats. C'est un runner compatible avec GitHub Actions : vous remplacez runs-on par craci, et un proxy qui comprend les paquets enregistre ce que chaque job récupère depuis les sources de paquets, y compris les paquets restaurés depuis les caches CI et les dépendances cachées qu'aucun lockfile ne liste. La SBOM, en CycloneDX ou SPDX, est issue de cet enregistrement, avec un état de complétude par job et par cache.

CRACI réévalue en continu les SBOM surveillées, agrège les résultats de l'ensemble des builds et des dépôts, prend en charge VEX, et permet aux équipes sécurité de trier les résultats et de transmettre chacun à l'équipe chargée de la correction. L'historique des builds montre quels builds passés contenaient une dépendance vulnérable, dans la limite de votre durée de conservation, et la vue d'inventaire montre quelles versions logicielles sont déployées dans quels produits. Vous pouvez ajouter les SBOM de vos fournisseurs et, comme CRACI exécute le job, il applique une politique de trafic sortant qui bloque tout en cas d'échec.

Idéal pour : les équipes dont la principale exposition tient aux dépendances des logiciels qu'elles construisent sur GitHub Actions, et qui veulent réunir au même endroit le build, la SBOM et le suivi des vulnérabilités. À envisager si : vous pouvez conserver ailleurs les résultats SAST, DAST et cloud ; CRACI n'importe pas les résultats d'autres scanners, ne propose pas d'analyse d'atteignabilité, et ne prend en charge aujourd'hui que GitHub Actions, avec GitLab CI et Jenkins sur la roadmap. CRACI vs DefectDojo

2. OWASP Dependency-Track

Dependency-Track est open source sous licence Apache 2.0. Il suit l'utilisation des composants dans chaque version de chaque application d'un portefeuille, récupère des données de vulnérabilités depuis des sources comme la NVD et les GitHub Advisories, applique des politiques de sécurité, de licences et opérationnelles, et consomme et produit du VEX CycloneDX. Les pipelines lui envoient les SBOM via son API ; il ne les génère pas.

Idéal pour : les équipes qui utilisent DefectDojo surtout pour les résultats sur les dépendances et veulent une plateforme gratuite et auto-hébergée construite autour des SBOM. À envisager si : vous êtes à l'aise pour l'exploiter et vous faites déjà confiance aux SBOM qui y entrent. CRACI vs Dependency-Track

3. ArmorCode

ArmorCode se présente comme une « plateforme d'IA agentique pour la gestion unifiée de l'exposition ». Elle unifie les résultats de centaines d'outils de sécurité (sa page d'accueil annonce plus de 400 intégrations), les met en corrélation avec les actifs, les dépôts de code, les ressources cloud et les responsables, et met au travail des agents IA comme un Vulnerability Researcher, un Remediation Helper et un Zero-Day Hunter pour le tri et la remédiation. Son module de chaîne d'approvisionnement consolide les composants issus de vos SBOM. Parmi les clients cités sur son site figurent Visa, PayPal et Jaguar Land Rover.

Idéal pour : les grands programmes de sécurité qui ont dépassé un agrégateur auto-hébergé et veulent une corrélation et une automatisation commerciales couvrant les résultats applicatifs, cloud et d'infrastructure. À envisager si : un achat sur devis vous convient ; ArmorCode ne publie aucun prix.

4. Cybellum

Cybellum est une plateforme de sécurité produit destinée aux fabricants d'appareils des secteurs automobile, des dispositifs médicaux et de l'industrie manufacturière. Elle crée des SBOM « en combinant les données de scanners de binaires, du code source et de sources SBOM externes aux formats SPDX, CycloneDX ou CSV de CPE », trie les vulnérabilités et intègre les résultats de modèles de menaces, de tests d'intrusion et de fuzzing. Son module de réponse aux incidents surveille les flux de vulnérabilités, offre à l'équipe un espace de travail pour les investigations et les tickets, et partage le statut des vulnérabilités « via des rapports VEX/CSAF ». Son module de conformité couvre la FDA PMA, l'ISO 21434 et le CRA.

Idéal pour : les PSIRT des fabricants d'appareils qui veulent les SBOM, la gestion des vulnérabilités et les investigations dans une seule plateforme de sécurité produit. À envisager si : vos produits sont des appareils connectés plutôt que des services web ; Cybellum ne publie aucun prix.

5. Finite State

Finite State analyse le firmware, les binaires, le code source et les SBOM des fournisseurs, avec « la prise en charge de plus de 50 architectures de jeux d'instructions binaires », et réunit le tout dans un système de référence unique pour les logiciels livrés. Il classe les résultats selon l'atteignabilité et les données d'exploitation, enregistre les décisions VEX, propose « une surveillance post-commercialisation avec des SBOM vivantes » et rattache les preuves aux contrôles du CRA et de la FDA. Il intègre des vérifications dans GitHub Actions, GitLab CI et Jenkins.

Idéal pour : les fabricants d'objets connectés qui doivent voir à l'intérieur du firmware de nombreux fournisseurs, avec moins de bruit lié aux résultats non atteignables. À envisager si : un achat sur devis vous convient ; Finite State ne publie aucun prix. CRACI vs Finite State

6. ONEKEY

ONEKEY est une plateforme de cybersécurité et de conformité des produits pour les appareils connectés. Elle analyse le firmware compilé « sans code source ni accès réseau nécessaires », génère une SBOM à partir du binaire, importe les SBOM des fournisseurs, exporte en CycloneDX et SPDX, et réanalyse chaque jour le firmware importé. Son analyse des zero-days recherche des problèmes comme des identifiants codés en dur, et son Compliance Wizard couvre le CRA, l'IEC 62443-4-2, l'ETSI EN 303 645 et la Radio Equipment Directive.

Idéal pour : les fabricants d'appareils qui doivent analyser un firmware qu'ils n'ont pas construit. À envisager si : vous voulez des résultats allant au-delà des CVE connues dans l'image elle-même. CRACI vs ONEKEY

Côte à côte

« Non précisé » signifie que nous ne l'avons pas trouvé dans les pages publiques du fournisseur, et non que la fonctionnalité est absente. ONEKEY est décrit plus haut et ne figure pas dans le tableau. Les cellules DefectDojo marquées Pro s'appliquent à DefectDojo Pro, et non à la Community Edition.

DefectDojo ou Dependency-Track

Tous deux sont des projets OWASP gratuits et open source, et on les confond souvent. Ils partent de données différentes :

• DefectDojo part des résultats des scanners. Il importe les résultats des outils SAST, DAST, SCA, cloud et de conteneurs, les dédoublonne et suit leur remédiation. L'import de SBOM et la correspondance avec les avis sont réservés à Pro.
• Dependency-Track part des SBOM. Il analyse les SBOM CycloneDX que vous importez au regard de sources de vulnérabilités et applique des politiques à l'ensemble d'un portefeuille.

Aucun des deux ne génère la SBOM ni n'enregistre ce que votre build a récupéré. C'est le manque que CRACI comble pour les logiciels que vous construisez sur GitHub Actions.

Pour les équipes PSIRT

Dans la plupart des dossiers PSIRT, la première question est de savoir quels produits et quelles versions contiennent le composant affecté. DefectDojo Pro, Cybellum et Finite State y répondent à partir des données SBOM et des analyses de leurs plateformes. CRACI y répond à partir d'un enregistrement de ce que chaque build a récupéré, avec l'historique des builds et un inventaire de ce qui est déployé où. Lisez ce que fait un PSIRT, CRACI pour les équipes PSIRT et le comparatif des outils PSIRT.

Pour les produits réglementés, CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun outil de cette page ne rend à lui seul un produit conforme.

Quand rester avec DefectDojo

• C'est la file unique où se rejoignent les résultats de tous vos scanners, et vous comptez sur le dédoublonnage.
• Vous voulez une plateforme gratuite et open source que vous hébergez vous-même.
• Vous vous appuyez sur son PSIRT Advisory Engine pour les flux d'avis, les dossiers et les avis PDF à côté de vos résultats.

Pour en savoir plus, consultez la génération de SBOM pendant le build, le comparatif des outils de gestion des vulnérabilités et les alternatives à Dependency-Track.

Alternatives à DefectDojo : FAQ

Des réponses courtes aux questions que se posent les équipes lorsqu'elles comparent

Qu'est-ce que DefectDojo ?

DefectDojo est une plateforme open source de gestion des vulnérabilités et un projet OWASP Flagship. Il importe les résultats d'outils de sécurité tels que les scanners SAST, DAST, SCA, cloud et de conteneurs, les dédoublonne dans une file unique et suit leur remédiation. La Community Edition est gratuite sous licence BSD 3-Clause ; DefectDojo Pro, édité par DefectDojo Inc., ajoute la gestion des SBOM, un PSIRT Advisory Engine et un déploiement hébergé ou auto-hébergé.

DefectDojo est-il gratuit ?

La Community Edition est gratuite et open source. DefectDojo Pro en paiement à l'usage coûte $100 par mois plus $0.15 par résultat traité, avec des remises en cas de prépaiement annuel (en octobre 2026). La gestion des SBOM dans Locations et le PSIRT Advisory Engine sont des fonctionnalités Pro.

DefectDojo génère-t-il des SBOM ?

Non. Sa documentation indique que DefectDojo ne génère pas lui-même de SBOM. Pro importe les fichiers CycloneDX et SPDX que vous envoyez et exporte en CycloneDX ou SPDX, ainsi que les statuts des résultats en VEX CycloneDX. La SBOM provient toujours d'un générateur situé en amont, ou d'un fournisseur.

Qu'est-ce que le PSIRT Advisory Engine de DefectDojo ?

Une fonctionnalité de DefectDojo Pro lancée en avril 2026. Elle ingère les avis de flux comme le CISA KEV, la NVD, l'EUVD, Red Hat et Exploit-DB, les confronte aux données SBOM ou à des règles d'actifs personnalisées, les priorise selon le CVSS, l'EPSS et le statut KEV, les regroupe en dossiers dotés de responsables et publie des avis PDF à votre image. La version de septembre 2026 a ajouté l'export d'avis CSAF 2.0 et VEX ainsi qu'une interface de signalement au titre de l'article 14 du CRA.

CRACI peut-il remplacer DefectDojo ?

Pour les dépendances des logiciels que vous construisez sur GitHub Actions, oui : CRACI exécute le build, enregistre la SBOM à partir de ce qu'il a récupéré, la surveille pour détecter de nouvelles vulnérabilités et permet aux équipes sécurité de trier et de transmettre les résultats. Il n'importe pas les résultats d'autres scanners : si DefectDojo est l'endroit où se rejoignent vos résultats SAST, DAST et cloud, conservez-le pour cela.