Conformité CRA : Sécurisez vos plugins et extensions
Modules WordPress, extensions navigateur ou add-ons SaaS : anticipez le règlement UE 2024/2847 et automatisez votre dossier technique avec CRAcheck.
Le Cyber Resilience Act (CRA) s'applique à tout plugin ou composant logiciel faisant l'objet d'une activité commerciale au sein de l'Union européenne. Les développeurs doivent désormais sécuriser leur chaîne d'approvisionnement, maintenir un SBOM (Software Bill of Materials) rigoureux, notifier les vulnérabilités critiques à l'ENISA sous 24 heures dès septembre 2026 et finaliser leur documentation technique d'ici décembre 2027.
Pourquoi le CRA impacte-t-il les plugins et extensions ?
Le règlement européen qualifie les logiciels connectés de produits avec éléments numériques. Qu'il s'agisse d'un plugin WordPress avec passerelles de paiement, d'une extension de navigateur accédant à des données de session ou d'un module SaaS, l'exposition aux risques cyber impose désormais des garanties de sécurité strictes.
Si l'open source pur bénéficie d'exemptions, toute forme de monétisation — licence payante, modèle freemium, support technique facturé ou sponsoring commercial — place le développeur sous le statut de fabricant de logiciel, entraînant une responsabilité juridique pleine et entière au titre du CRA.
Maîtrisez les exigences du CRA pour vos architectures logicielles
CRAcheck analyse votre code source pour outiller votre auto-évaluation sans impacter vos cycles de déploiement.
SBOM automatisé multi-écosystèmes
Générez un inventaire précis des dépendances Composer, npm, pip ou crates.io intégrées au cœur de vos extensions.
Détection proactive des vulnérabilités
Surveillez en continu les failles de sécurité affectant vos bibliothèques tierces grâce à des alertes automatisées.
Documentation technique (Annexe VII)
Centralisez l'évaluation des risques et les fiches descriptives exigées par les autorités de surveillance du marché.
Reporting d'incidents simplifié
Préparez vos notifications d'incidents et de vulnérabilités critiques pour respecter les délais légaux de 24 h et 72 h.
Sécurisez vos composants tiers sans ralentir vos livraisons
L'assemblage rapide de bibliothèques JavaScript et PHP est la norme, mais le CRA impose désormais une traçabilité totale et une remédiation rapide des failles. CRAcheck vous aide à transformer cette contrainte en avantage compétitif.
- Inventaire exhaustif des bibliothèques tierces embarquées dans vos releases
- Monitoring de la surface d'attaque lors des mises à jour de dépendances
- Génération automatique du fichier SECURITY.md pour vos signalements
- Modèle pré-rempli de déclaration UE de conformité
Calendrier de mise en conformité CRA
Le règlement UE 2024/2847 est entré en vigueur le 10 décembre 2024. Deux échéances majeures rythment désormais votre roadmap :
- 11 septembre 2026 : obligation de signaler les vulnérabilités exploitées et les incidents de sécurité à l'ENISA et au CSIRT national (24h pour l'alerte, 72h pour le rapport complet).
- 11 décembre 2027 : application totale des exigences de conception sécurisée, de fourniture du SBOM et de documentation technique pour toute distribution dans l'UE.
Classification : quel régime pour votre plugin ?
La plupart des extensions relèvent du régime standard (auto-évaluation). Toutefois, si votre plugin gère l'authentification, le filtrage réseau (WAF) ou le chiffrement, il peut être classé en produit important (Annexe III, classe I ou II), imposant des normes harmonisées plus strictes, voire un audit externe.
Risques en cas de non-conformité
Les sanctions peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial. Au-delà du risque financier, les autorités peuvent ordonner le retrait immédiat de votre logiciel des marketplaces et catalogues officiels.
Évaluez la conformité de vos plugins dès aujourd'hui
Connectez vos dépôts de code et auditez instantanément votre niveau de préparation face aux exigences européennes.
4 étapes pour mettre votre extension en conformité CRA
- 1
Connectez votre repository
Liez votre dépôt GitHub à CRAcheck pour une analyse approfondie de votre code et de vos gestionnaires de dépendances.
- 2
Générez votre SBOM (CycloneDX)
Obtenez un inventaire complet des bibliothèques open source (PHP, npm, Python, Go) intégrées à vos projets.
- 3
Identifiez les vulnérabilités
Consultez votre score de conformité et corrigez les dépendances présentant des CVE critiques.
- 4
Exportez votre dossier technique
Téléchargez votre documentation d'auto-évaluation (Annexe VII) et vos modèles de déclaration UE prêts à l'emploi.
Une boîte à outils pour les développeurs et éditeurs
Sans équipe juridique dédiée, la mise en conformité peut paraître complexe. CRAcheck agit comme votre assistant technique pour traduire les articles du règlement en actions concrètes directement intégrables dans votre pipeline CI/CD.
Notre outil évalue votre projet selon les critères de l'Annexe I, génère un score de conformité et produit les livrables nécessaires, incluant le fichier SECURITY.md et les trames d'archivage technique requises sur 10 ans.
Questions fréquentes sur le CRA
Un plugin open source gratuit est-il soumis au CRA ?+
Si le plugin est distribué sans aucune activité commerciale (pas de version pro, de support payant ou de sponsoring), il bénéficie de l'exemption open source. Les versions freemium ou monétisées entrent, elles, dans le périmètre du règlement.
Les marketplaces vont-elles exiger la conformité CRA ?+
Oui. Les plateformes de distribution opérant dans l'UE devront s'assurer que les produits numériques respectent le droit européen, ce qui pourrait rendre le SBOM et la déclaration de conformité obligatoires pour le listing.
CRAcheck certifie-t-il officiellement mon plugin ?+
Non. CRAcheck est une solution d'assistance à l'auto-évaluation. Pour les logiciels standards, le règlement exige une auto-évaluation interne : nous générons les éléments techniques pour vous aider à constituer votre dossier.
Quels gestionnaires de paquets sont pris en charge ?+
CRAcheck supporte 9 écosystèmes majeurs dont npm, Composer (PHP), PyPI, Go, Rust, .NET, Ruby, Java, ainsi que l'import direct de fichiers CycloneDX.
Anticipez les échéances réglementaires
Vérifiez vos dépendances, générez votre premier SBOM et mesurez votre conformité CRA dès maintenant.
Sur le même thème — Par type de produit
Nouveau sur le Cyber Resilience Act ? Commence par le guide complet.
Le guide CRADepuis le blog
Vérifie ta conformité CRA en 1 minute
Gratuit, sans inscription. Scanne ton dépôt et obtiens ton score de conformité + tes documents pré-remplis.