> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/fr/helm/match-unmatched-components.md).

# Faire correspondre les composants

## Présentation

Après avoir téléversé votre SBOM (Software Bill of Materials) ou ajouté manuellement un composant, il se peut que vous rencontriez différents statuts indiquant que la combinaison de composant logiciel, de version et de fournisseur n’a pas été automatiquement associée à une entrée unique existante dans la NVD (National Vulnerability Database).

**Pour consulter les vulnérabilités de vos composants, vous devez résoudre tous les statuts autres que « Matched NVD ».** En suivant ces étapes pour résoudre ces statuts, vous pouvez garantir une association précise de vos composants logiciels à

### Comprendre le contexte de l’espace de travail pour la résolution des composants

Lors de la résolution des correspondances de composants :

* **Contexte de l’espace de travail actuel**: vous résolvez les correspondances des composants dans votre espace de travail actuel
* **Alias à l’échelle de l’organisation**: les alias que vous créez aideront à identifier des composants similaires dans tous les espaces de travail
* **Suggestions de correspondance**: toutes les sources de correspondance (NVD, gestionnaires de paquets) sont des ressources à l’échelle de l’organisation
* **Avantages liés aux vulnérabilités**: les composants correctement associés disposent de données sur les vulnérabilités, quel que soit l’espace de travail

## Statuts de correspondance

### Résoudre les statuts Select match, Matched to package manager et Not found

* Un statut **Select match** signifie que plusieurs correspondances sont possibles pour la combinaison de composant logiciel, de version et de fournisseur, et qu’il est donc difficile de déterminer laquelle est correcte.
* Un statut **Matched** accompagné d’un badge de gestionnaire de paquets (mais sans badge NVD) indique que le composant ne présente aucune vulnérabilité connue ou qu’il porte un autre nom dans la NVD.
* Un statut **Not found** signifie que la combinaison de composant logiciel, de version et de fournisseur n’a pas pu être automatiquement associée à une entrée existante dans la NVD. Cela peut signifier que ce composant ne présente aucune vulnérabilité ou qu’il porte un autre nom dans la NVD.

## **Examiner les correspondances possibles (uniquement pour les statuts Select match ou Not found)**

1. Cliquez sur le badge **Match status** pour ouvrir la fenêtre modale **Resolution options** puis cliquez sur le bouton **View suggestions** dans la zone **Select match** . La fenêtre modale **Multiple matches** s’affiche. Vous pouvez y évaluer les options en fonction des informations suivantes :
   * **Fournisseur :** Nom du fournisseur associé à la correspondance possible.
   * **Nom :** Nom du composant logiciel.
   * **Exemples de versions :** Versions extraites des données de vulnérabilité CVE.
   * **Type de correspondance :** Indique les sources utilisées pour déterminer une correspondance possible, telles qu’un alias, un nom, un CPE (Common Platform Enumeration), un PURL (Package URL) ou une correspondance issue d’un gestionnaire de paquets donné.
2. Si vous avez besoin de plus d’informations pour prendre une décision, cliquez sur l’icône des détails. La fenêtre modale **Match details** s’ouvre et vous permet de consulter davantage de versions du composant ainsi que l’évolution des vulnérabilités signalées. Une tendance des vulnérabilités signalées qui concorde avec les versions de votre composant est un indice de forte correspondance.
3. **Créer un alias :** Après avoir déterminé la correspondance correcte, vous pouvez créer un alias qui la lie à votre composant. Ainsi, lors des prochains téléversements d’un SBOM contenant cette combinaison de composant logiciel, de version et de fournisseur, cet alias sera automatiquement utilisé.
4. **Ajouter une note de révision :** Cliquez sur **Actions > Ajouter une note d’examen** pour tenir votre équipe informée de l’état de l’évaluation, suggérer un examen complémentaire ou signaler tout risque critique associé au composant logiciel.

### Champs des suggestions de correspondance

Pour sélectionner un élément déplaçable, appuyez sur la barre d’espace. Pendant le déplacement, utilisez les touches fléchées pour déplacer l’élément. Appuyez de nouveau sur la barre d’espace pour déposer l’élément à sa nouvelle position, ou appuyez sur Échap pour annuler.

<table><thead><tr><th width="152.9791259765625">Nom</th><th>Description</th></tr></thead><tbody><tr><td>Fournisseur</td><td>Il s’agit de l’organisation qui a fourni le composant. Le fournisseur est souvent le fabricant, mais il peut également s’agir d’un distributeur ou d’un reconditionneur (par exemple, Microsoft pour Windows).</td></tr><tr><td>Icône des détails</td><td>Cliquez sur cette icône pour afficher davantage de détails sur cette correspondance possible, notamment les vulnérabilités signalées au fil du temps et les versions connues associées au CVE. Si ces versions correspondent à celles de votre composant et que des vulnérabilités ont été signalées, il s’agit probablement de la bonne correspondance.</td></tr><tr><td>Nom du produit</td><td>Il s’agit de ce que d’autres systèmes peuvent désigner comme un composant. C’est le micrologiciel, le logiciel, les correctifs ou le système d’exploitation installé sur les représentations physiques de votre dispositif (par exemple, Windows ou OpenSSL).</td></tr><tr><td>Critères de correspondance</td><td>Cette indication reflète la force de la correspondance. Consultez la rubrique Sources de correspondance pour en savoir plus.</td></tr><tr><td>Type</td><td><p>Cette indication reflète la fiabilité de la correspondance.</p><ul><li>Correspondance exacte : une correspondance exacte figure dans la NVD. Il peut s’agir d’une chaîne PURL (gestionnaire de paquets Cargo, NPM, Nuget ou Pypi), d’une chaîne CPE ou d’une correspondance de nom.</li><li>Correspondance par alias : ce composant correspond à un alias existant.</li><li>Correspondance possible : ce composant correspond à une ou plusieurs sources. Vérifiez la colonne Critères de correspondance, puis survolez les jetons correspondants pour obtenir plus d’informations.</li></ul></td></tr></tbody></table>

Vous pouvez évaluer la probabilité qu’il s’agisse de la bonne correspondance en examinant l’évolution des vulnérabilités signalées au fil du temps et les versions connues associées à cette suggestion. Plusieurs correspondances présentant une tendance de vulnérabilités signalées et correspondant aux versions de votre composant (ou au moins à leur format) constituent des correspondances plus fiables.

#### Champs des détails de correspondance

Pour sélectionner un élément déplaçable, appuyez sur la barre d’espace. Pendant le déplacement, utilisez les touches fléchées pour déplacer l’élément. Appuyez de nouveau sur la barre d’espace pour déposer l’élément à sa nouvelle position, ou appuyez sur Échap pour annuler.

<table><thead><tr><th width="194.2447509765625">Nom</th><th>Description</th></tr></thead><tbody><tr><td>Vulnérabilités signalées au fil du temps</td><td>Plusieurs correspondances présentant une tendance de vulnérabilités signalées indiquent qu’il s’agit d’un composant fréquemment utilisé. Si peu de vulnérabilités sont signalées au fil du temps, il est probable que ce ne soit pas la bonne correspondance. Vérifiez que les versions du composant (ou au moins leur format) constituent des correspondances fiables.</td></tr><tr><td>Versions connues</td><td>Il s’agit des versions connues pour cette correspondance suggérée, extraites de l’identifiant de vulnérabilité CVE. Vérifiez que les versions de votre composant (ou au moins leur format) correspondent à celles-ci.</td></tr></tbody></table>

## Résoudre l’état « Correspondance de version du correctif »

Après avoir téléversé votre SBOM ou ajouté manuellement un composant, une icône d’avertissement peut s’afficher à côté de la version du composant, ainsi qu’un état de correspondance de version du correctif. Cela indique que le format de version ne correspond pas au format de version attendu du fournisseur.

1. Cliquez sur le badge d’état **Version du correctif** du composant portant l’icône d’avertissement. Vous pouvez également sélectionner **Actions > Version du correctif** pour le composant portant l’icône d’avertissement.
2. Vérifiez le format de version pour vous assurer qu’il correspond au numéro de version connu, apportez les modifications nécessaires, puis enregistrez.
3. Si le problème persiste, [contactez-nous](mailto:support@medcrypt.com) pour obtenir de l’aide.

## Résoudre l’état « Contactez-nous »

Après avoir téléversé votre SBOM ou ajouté manuellement un composant, une icône d’erreur peut s’afficher à côté de la version du composant, ainsi qu’un état de correspondance **Contactez-nous** . Cela indique que nous ne disposons pas d’un analyseur de versions pour ce format de version précis.

* Si cette icône s’affiche, nous sommes au courant du problème. Toutefois, si vous souhaitez qu’il soit résolu plus rapidement, veuillez [nous contacter](mailto:support@medcrypt.com) pour obtenir une assistance accélérée.
* **Que se passe-t-il lorsque nous ajoutons cet analyseur de versions ?** Lorsque nous ajoutons la prise en charge d’un nouveau format d’analyseur de versions, nous rechargeons automatiquement les SBOM concernés et leurs composants afin d’essayer de les associer aux logiciels connus dans la NVD. Vous serez informé lorsque le problème sera résolu.
* **Quelles sont les conséquences pour vous ?**
  * **Correspondance exacte :** Toutes les vulnérabilités connues dans la NVD seront prises en compte.
  * **Écart concernant les vulnérabilités :** Si vous constatez un écart dans le nombre de vulnérabilités, ne vous inquiétez pas : cette procédure contribue à garantir l’exactitude du suivi et des rapports.
  * **Correspondances multiples :** Examinez ces suggestions pour déterminer la bonne correspondance.
  * **Aucune correspondance :** Si aucune correspondance exacte n’est trouvée dans la NVD, cela peut signifier que le composant n’y figure pas (et qu’aucune vulnérabilité n’est donc connue) ou qu’il y est répertorié sous un autre nom. Dans ce cas, vérifiez la NVD ou créez une règle d’alias pour associer votre composant dans tous les SBOM.

### Résoudre l’état « Correspondance de version du correctif »

Après avoir téléversé votre SBOM ou ajouté manuellement un composant, vous pouvez voir une icône d’avertissement à côté de la version du composant, ainsi qu’un statut de correspondance **Fix version** . Cela indique que le format de version ou la valeur PURL ne correspond pas aux valeurs attendues.

1. Cliquez sur le statut de correspondance **Fix version** ou cliquez sur **Actions > ... > Fix version** pour le composant marqué d’une icône d’avertissement. Le panneau **Manage component** s’ouvrira.
2. Les avertissements concernant les versions sont généralement dus à une PURL ou à un format de version incorrect. Vérifiez la PURL et la version du composant pour voir si cela résout le problème. Assurez-vous que le format de version correspond au numéro de version et à la PURL connus.
3. Si le problème persiste, [contactez le support](mailto:support@medcrypt.com).

### Résoudre l’état « Contactez-nous »

Après avoir téléversé votre SBOM ou ajouté manuellement un composant, vous pouvez voir une icône d’erreur à côté de la version du composant, ainsi qu’un statut de correspondance **Contact us** . Cela indique qu’aucun analyseur de version n’est disponible pour ce format de version spécifique. Si cette icône apparaît, nous sommes au courant du problème. Toutefois, si vous souhaitez qu’il soit résolu plus rapidement, veuillez [contacter le support](mailto:support@medcrypt.com).

**Que se passe-t-il lorsque nous ajoutons cet analyseur de version ?**

Lorsque nous ajoutons la prise en charge d’un nouveau format d’analyseur de version, nous rechargeons automatiquement les SBOM et leurs composants concernés afin de tenter de les faire correspondre aux logiciels connus dans la NVD. Vous serez averti une fois le problème résolu.

**Quel est l’impact pour vous ?**

* **Correspondance exacte trouvée :** Toutes les vulnérabilités connues de la NVD seront associées au composant. Si le nombre de vulnérabilités diffère, ne vous inquiétez pas : ce processus contribue à garantir l’exactitude du suivi et des rapports.
* **Sélectionnez une correspondance :** Vous devrez examiner ces suggestions pour déterminer la correspondance correcte.
* **Aucune correspondance trouvée :** Cela peut signifier que le composant ne figure pas dans la NVD (et qu’aucune vulnérabilité n’est donc connue) ou qu’il y est répertorié sous un autre nom. Dans ce cas, vérifiez la NVD pour trouver la correspondance correcte, puis [créez un alias](/fr/helm/match-unmatched-components/create-and-manage-alias-rules-to-match-and-rematch-components-across-all-products.md) afin d’associer correctement votre composant logiciel à l’avenir.

## Contrôler la précision des correspondances

Avant de résoudre les correspondances de composants une par une, vous pouvez ajuster la façon dont Helm traite les correspondances CPE et PURL. Par défaut, Helm enrichit automatiquement les CPE et les PURL pour améliorer la précision des correspondances. Vous pouvez toutefois désactiver ce comportement si vous souhaitez exiger des correspondances exactes avec les CPE et les PURL que vous avez fournis. Ces paramètres sont activés automatiquement pour toute nouvelle version de produit.

**Quand utiliser les correspondances exactes**

* Vous avez défini manuellement des valeurs CPE ou PURL spécifiques pour répondre à des exigences de conformité.
* Votre SBOM contient des données CPE/PURL précises qui ne doivent pas être modifiées.

**Configurer le comportement des correspondances**

1. Dans le tableau **components** , cliquez sur le menu déroulant **Settings** .
2. Désactivez **Override auto-matching for SBOM CPEs** pour exiger des correspondances CPE exactes lorsque vous avez fourni des valeurs.
3. Désactivez **Override auto-matching for SBOM PURLs** pour exiger des correspondances PURL exactes lorsque vous avez fourni des valeurs.

{% hint style="success" %}
Important : ces paramètres ne concernent que les composants pour lesquels vous avez ajouté ou téléversé manuellement des données CPE/PURL. Les composants sans CPE ni PURL préexistants continueront d’être enrichis automatiquement afin de garantir une couverture complète des vulnérabilités.
{% endhint %}

**Comprendre l’impact**

* Enrichissement automatique activé (par défaut — interrupteurs désactivés) : taux de correspondance plus élevé grâce à une portée de correspondance plus large.
* Correspondance exacte activée (interrupteurs activés) : correspondances plus précises, mais potentiellement moins nombreuses.
* Lorsque vous faites ce choix, prenez en compte le compromis entre la précision des correspondances et la couverture des vulnérabilités.

## Contrôler la précision des correspondances

Avant de résoudre les correspondances des composants individuels, vous pouvez ajuster la manière dont Helm traite les correspondances CPE et PURL. Par défaut, Helm enrichit automatiquement les CPE et les PURL afin d’améliorer la précision des correspondances, mais vous pouvez désactiver ce comportement si vous devez exiger des correspondances exactes avec les CPE et les PURL que vous avez fournis.

**Quand utiliser les correspondances exactes**

* Vous avez sélectionné manuellement des valeurs CPE ou PURL spécifiques pour répondre à des exigences de conformité
* Votre SBOM contient des données CPE/PURL précises qui ne doivent pas être modifiées
* Vous avez besoin de correspondances exactes à des fins réglementaires ou d’audit

#### Configurer le comportement des correspondances

1. Dans le tableau **Components** , cliquez sur le menu **Settings** déroulant
2. Activez **Override auto-matching for SBOM CPEs** pour exiger des correspondances CPE exactes lorsque vous avez fourni des valeurs.
3. Activez **Override auto-matching for SBOM PURLs** pour exiger des correspondances PURL exactes lorsque vous avez fourni des valeurs.

{% hint style="success" %}
**Important :** Ces paramètres ne concernent que les composants pour lesquels vous avez ajouté manuellement ou téléversé des données CPE/PURL. Les composants sans CPE ni PURL existants continueront d’être enrichis automatiquement afin de garantir une couverture complète des vulnérabilités.
{% endhint %}

#### Comprendre l’impact

* **Enrichissement automatique activé** (par défaut, interrupteurs désactivés) : meilleurs taux de correspondance grâce à une recherche plus large
* **Correspondance exacte activée** (interrupteurs activés) : correspondances plus précises, mais potentiellement moins nombreuses
* Lorsque vous faites ce choix, prenez en compte le compromis entre la précision des correspondances et la couverture des vulnérabilités.

## Ajouter une note de revue pour un composant

Après avoir établi ou évalué une correspondance potentielle, ou effectué d’autres recherches, vous pouvez ajouter une note à l’intention de votre équipe afin d’éviter les efforts en double.

1. Cliquez sur **Actions > ... > Add review**. Le volet **Review component** s’affiche.
2. Si le composant n’a pas déjà le statut **Reviewed** , ce statut lui sera automatiquement attribué. **Reviewed**.
3. Ajoutez une note de revue, puis enregistrez. Cela mettra à jour le champ **Review status** de ce composant et ajoutera une icône de note. [Assurez-vous que cette colonne est visible dans votre vue](/fr/helm/get-started-with-helm/get-familiar-with-the-helm-ui.md#why-cant-i-see-some-columns).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.medcrypt.com/fr/helm/match-unmatched-components.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.