Dependency-Track : notre avis en 2026

Dependency-Track est une plateforme open source de l'OWASP, publiée sous licence Apache 2.0, construite autour de la nomenclature logicielle (SBOM). Elle ingère des SBOM au format CycloneDX, produits dans la CI/CD ou fournis par les fournisseurs, puis suit bibliothèques, conteneurs, systèmes, firmwares et services de chaque version de chaque projet. Les composants sont confrontés à plusieurs sources de vulnérabilités, dont la NVD, GitHub Advisories et OSV, avec priorisation EPSS.

Des politiques de sécurité, d'exploitation et de licences peuvent faire échouer un build et envoyer des alertes. La version 5, nom de code Hyades, apporte la montée en charge horizontale et n'utilise plus que PostgreSQL. Au 12 novembre 2026, Dependency-Track est gratuit ; il s'installe sur ses serveurs, par exemple avec Docker Compose.