# Skapa en SBOM från din källkod

Source: https://kernwatch.com/sv/sbom-verktyg · Senast uppdaterad: 2026-10-18

Släpp din projektmapp här och få en programvaruförteckning (SBOM) i CycloneDX- eller SPDX-format på några sekunder. Analysen körs på den här sidan - din kod lämnar aldrig din dator.

## Vad den läser

Generatorn läser de filer som dina pakethanterare redan skriver. Låsfiler ger exakta versioner och hela beroendeträdet; ett manifest ensamt ger bara de direkta beroendena.

| Ekosystem | Filer |
|---|---|
| JavaScript / TypeScript | package-lock.json, npm-shrinkwrap.json, yarn.lock (v1, berry), pnpm-lock.yaml, bun.lock, deno.lock, deno.json, package.json |
| Python | uv.lock, poetry.lock, Pipfile.lock, requirements*.txt, pyproject.toml, environment.yml |
| Go | go.mod |
| Rust | Cargo.lock, Cargo.toml |
| Java / Kotlin / Scala | pom.xml, gradle.lockfile, libs.versions.toml, build.gradle(.kts), build.sbt |
| .NET | packages.lock.json, *.csproj, packages.config, Directory.Packages.props |
| PHP | composer.lock, composer.json |
| Ruby | Gemfile.lock |
| Swift / iOS | Package.resolved, Package.swift, Podfile.lock, Cartfile.resolved |
| Dart / Flutter | pubspec.lock, pubspec.yaml |
| Elixir / Erlang | mix.lock, rebar.lock |
| Haskell, Julia, R, Lua, Zig, OCaml, Perl | cabal.project.freeze, stack.yaml.lock, *.cabal, Manifest.toml, Project.toml, renv.lock, DESCRIPTION, *.rockspec, build.zig.zon, *.opam, cpanfile |
| C/C++ package managers | conan.lock, conanfile.txt, conanfile.py, vcpkg.json, meson .wrap, MODULE.bazel |
| Embedded | platformio.ini, idf_component.yml, dependencies.lock (ESP-IDF), west.yml (Zephyr), library.properties, library.json |
| Nix | flake.lock |
| C/C++ (medföljande) | headerfiler från 60 vanliga bibliotek (zlib, OpenSSL, mbedTLS, wolfSSL, SQLite, lwIP, FreeRTOS, cJSON, curl, fmt, littlefs, ...) som känns igen på sina versionsmakron; .gitmodules |
| Byggfiler (utan låsfil) | CMake (find_package, pkg_check_modules, target_link_libraries, FetchContent, CPM), -l-flaggor i Makefile, qmake, meson, autoconf; välkända #include-huvudfiler. Listas utan versioner. |
| Webbsidor | CDN-länkar (unpkg, jsDelivr, cdnjs, esm.sh, code.jquery.com, ...) och medföljande jQuery, Bootstrap, Vue, pdf.js och andra bibliotek som känns igen på sin bannerkommentar |
| Containrar | Basavbildningar i Dockerfile (FROM) |

Bibliotek som kopierats in i projektet hittas också: varje mapp i third_party/, vendor/, external/ och deps/ och varje mapp med namnet namn-1.2.3, med namn och version från mappens egna filer. Mappar som node_modules, .git, target, byggträd och virtuella miljöer hoppas över, och test-, dokumentations- och exempelprojekt räknas som utvecklingsberoenden. Inget körs och inget paketregister kontaktas, så resultatet beror bara på filerna i mappen.

## Skrivbords- och CI-verktyg

Samma generator som ett enda program för Windows, macOS och Linux - för stora repon, skript och byggpipelines. Det ger samma resultat som den här sidan.

## Frågor

### Laddas min källkod upp?

Nej. I webbläsaren läses filerna av JavaScript i din egen flik, och sidans Content-Security-Policy förbjuder den att skicka data. Skrivbordsverktyget fungerar offline; det ansluter bara till nätverket när du ber det ladda upp SBOM:en till Kernwatch.

### Vilka SBOM-format skapar den?

CycloneDX 1.6 JSON och SPDX 2.3 JSON, de två mest använda maskinläsbara formaten. Båda validerar mot de officiella schemana och kan importeras av Kernwatch och andra SBOM-verktyg.

### Räcker den här SBOM:en för cyberresiliensakten?

CRA kräver en SBOM i ett allmänt använt, maskinläsbart format som åtminstone omfattar de översta beroendena och förvaras med den tekniska dokumentationen. En SBOM baserad på låsfiler täcker det och mer. CRA kräver också att du hanterar de sårbarheter som senare dyker upp i komponenterna - det är det som Kernwatch bevakar.

### Varför saknar vissa komponenter exakt version?

Eftersom mappen bara har ett manifest (som package.json, pom.xml eller en .csproj) utan låsfil. Generatorn gissar aldrig: den registrerar det deklarerade intervallet och säger det. Checka in din låsfil, eller aktivera Gradle dependency locking, för att få exakta versioner och transitiva beroenden.

### Skannar den binärer eller firmware-avbilder?

Nej. Den läser källkodsträd: låsfiler, manifest och headerfiler från medföljande C/C++-bibliotek. Bibliotek som du bara levererar som binärer deklarerar du för hand i din Kernwatch-release.