VIGIE VULN · CLI

Auditez vos dépendances avec VigieVuln

Un outil en ligne de commande pour identifier les vulnérabilités, les dépendances obsolètes et les licences dans vos projets.

Voir le projet sur GitHub ↗ · npm ↗

Plusieurs écosystèmes

Maven, Gradle, npm, Yarn, pnpm, Composer, PyPI, NuGet, Go, Ruby.

Rapports et CI

Rapports HTML et JSON, exports SBOM, SARIF et autres formats, avec des seuils pour vos pipelines.

Fonctionnement hors ligne

Préparez les caches, puis auditez sans connexion avec --offline.

Installation et premier audit

npm install -g vigievuln
vigievuln scan ./code

Le rapport est généré dans ./vigievuln-report.

Proxy cache Vigie Vuln DB

Pour utiliser le proxy officiel, configurez-le puis connectez-vous avec un compte vérifié.

vigievuln --set-proxy-cache vigievuln
vigievuln scan ./code

Créer un compte · Guide complet et options ↗

Suivre un projet

L’offre gratuite comprend un projet et jusqu’à 100 coordonnées de dépendances directes distinctes par projet. Plusieurs versions d’une même coordonnée ne comptent qu’une fois. Les relations inconnues sont exclues du suivi et signalées comme une couverture incomplète. Ce quota concerne le suivi hébergé, pas les audits locaux.

Le descripteur envoyé est limité à 500 000 octets. Le suivi dure un mois calendaire : chaque nouvel envoi confirmé le renouvelle d’un mois. À son expiration, le projet et son suivi sont supprimés de la base active et un courriel de fin est envoyé.

vigievuln login
vigievuln whoami
vigievuln watch ./project --name 'My Project'
vigievuln project status
vigievuln logout

watch collecte l’inventaire localement puis l’envoie une fois ; il ne lance pas de surveillance en arrière-plan. Relancez la commande avec le même nom de projet unique pour actualiser son inventaire. Sans --export, la commande autorise l’envoi. login ouvre une session de compte sans configurer le proxy cache.

Activez les alertes dans votre compte pour les nouvelles vulnérabilités majeures ou critiques (CVSS ≥ 7) et les vulnérabilités connues comme exploitées touchant vos dépendances directes. Le premier inventaire établit une référence silencieuse. Actualisez-le lorsque vos dépendances changent.

Exporter localement pour revue

vigievuln watch ./project --export fichier.json

Avec --export, la commande écrit uniquement le descripteur local : elle fonctionne hors ligne, sans connexion au compte et sans aucun envoi. Le code source, les chemins et les URL de registres sont omis. Les noms et versions des paquets restent visibles dans le fichier : vérifiez et excluez vos paquets privés avant tout envoi.

Après revue, connectez-vous puis envoyez explicitement le fichier :

vigievuln login
vigievuln project push --file fichier.json --name 'My Project'

Compatibilité

Les commandes existantes restent disponibles : vigievuln -s ./code, auth login|status|logout, --prepare-project, project push.