JFrog Xray

Définition

JFrog Xray est une solution d'analyse de sécurité et de conformité universelle développée par JFrog, conçue pour s'intégrer nativement à Artifactory, le gestionnaire de dépôts binaires de l'entreprise, afin d'analyser en profondeur tous les artefacts qui y transitent : packages npm, Maven, PyPI, Docker, Helm, Debian ou RPM. Contrairement à un scanner ponctuel exécuté uniquement en pipeline CI, Xray effectue une analyse continue et récursive : il indexe la composition complète de chaque artefact, y compris les dépendances transitives imbriquées, et recalcule automatiquement l'impact d'une nouvelle CVE publiée sur l'ensemble des artefacts déjà stockés et déployés, sans nécessiter de nouveau scan déclenché manuellement. La fonctionnalité d'impact analysis permet de visualiser précisément quels artefacts, builds et déploiements en production sont affectés par une vulnérabilité donnée, un atout majeur en cas de faille critique de type Log4Shell nécessitant une identification rapide du périmètre touché. Xray vérifie également la conformité des licences open source par rapport à des politiques internes, bloquant par exemple l'usage de licences copyleft incompatibles avec un produit commercial. Il s'intègre avec les pipelines CI/CD (Jenkins, GitHub Actions) pour bloquer une promotion de build en cas de violation de politique de sécurité ou de licence, formant avec Artifactory un socle DevSecOps orienté supply chain logicielle.