SCA — Software Composition Analysis (Analyse de composition logicielle)

Définition

L'analyse de composition logicielle (SCA) est une pratique de sécurité DevSecOps consistant à identifier et évaluer les risques associés aux composants open source et aux dépendances tierces utilisés dans une application. Les outils SCA analysent le manifeste des dépendances (package.json, requirements.txt, pom.xml, go.mod) et les SBOM (Software Bill of Materials) pour détecter les CVEs connues dans les bibliothèques utilisées, les licences incompatibles avec l'usage commercial, et les dépendances abandonnées ou non maintenues. Des outils majeurs incluent Snyk Open Source, OWASP Dependency-Check, Black Duck (Synopsys), WhiteSource/Mend, ou GitHub Dependabot. L'intégration CI/CD permet de bloquer les builds si des vulnérabilités critiques sont détectées. La gestion des faux positifs et la priorisation des corrections (disponibilité d'un fix, exploitabilité réelle) sont des défis opérationnels courants. La génération automatique de SBOM (formats CycloneDX ou SPDX) est désormais une exigence dans certains secteurs réglementés et dans les commandes publiques américaines (Executive Order 14028).