Outil gratuit, sans compte
Vérifiez votre composer.lock : fins de support et avis de sécurité connus
Déposez le fichier ci-dessous. En quelques secondes, vous voyez quand votre version de PHP et votre framework cessent de recevoir des correctifs, quelles versions installées font l’objet d’avis de sécurité connus et quels paquets sont abandonnés.
Lock Check fonctionne dans votre navigateur et a besoin de JavaScript. S’il n’apparaît pas, rechargez la page, ou envoyez-nous votre composer.lock et nous le regarderons pour vous.
Ce que lit la vérification
La vérification lit votre composer.lock et, si vous l’ajoutez, votre composer.json. Elle en tire :
- PHP : la version fixée dans les fichiers Composer, la date à laquelle elle cesse de recevoir des correctifs, et la version de PHP la plus récente que vos paquets autorisent. S’ils excluent la version suivante, elle nomme les paquets qui bloquent.
- Framework : Laravel, Symfony, Laminas et Zend Framework, CodeIgniter et CakePHP, avec leurs dates de fin de support.
- Avis de sécurité : les avis connus sur Packagist pour les versions installées, chacun avec un lien vers sa source et l’endroit où se trouve le correctif : une version plus récente de la même branche (
composer update), seulement une nouvelle version majeure, ou aucun correctif publié. - Paquets abandonnés : signalés dans le fichier lock ou sur Packagist.
En haut du rapport, une phrase et un niveau de risque pour qui ne lit pas les fichiers lock. « Copier la synthèse » donne un texte brut sans noms de paquets, pour un ticket ou un e-mail à votre responsable.
Sur nos fichiers lock de test (Laravel 5.8, Laravel 12, Symfony 4.4 et Zend Framework 1), les avis de sécurité correspondent un à un à ceux de composer audit.
Ce qu’un fichier lock ne montre pas : votre code, les extensions PHP et le serveur, la façon dont l’application est déployée et testée, et qui la connaît encore. C’est là que commence le Debt Check.
Confidentialité et données utilisées
Mon composer.lock est-il envoyé quelque part ?
Non. Le fichier est lu dans cet onglet du navigateur, et rien sur cette page ne l’envoie. Vous pouvez le constater dans l’onglet Réseau des outils de développement de votre navigateur pendant la vérification.
Qu’est-ce que mon navigateur envoie, et à qui ?
Pour vérifier les avis de sécurité et les paquets abandonnés, votre navigateur interroge directement packagist.org :
- avec les noms des paquets (par exemple
symfony/console) pour les avis de sécurité, - avec les noms des éditeurs de paquets (par exemple
symfony) pour les paquets abandonnés.
Les versions ne sont pas envoyées : la comparaison se fait dans l’onglet. Les requêtes ne transmettent ni cookies ni adresse de page. Comme tout site, packagist.org voit votre adresse IP et le domaine de ce site.
Les dates de fin de support sont fournies avec la page. Ce n’est que si ces données ne se chargent pas que votre navigateur demande à endoflife.date les dates de PHP, Laravel, Symfony et CakePHP.
Puis-je vérifier sans rien envoyer ?
Oui. Cochez « Vérification hors ligne » et rien ne part vers packagist.org ni endoflife.date. Vous obtenez toujours les fins de support et les marques d’abandon enregistrées dans le fichier lock, mais pas les avis de sécurité. « Essayer avec un exemple » n’envoie rien non plus. La page mémorise le réglage hors ligne dans le stockage local de votre navigateur, sur votre appareil uniquement.
Refberg voit-il mes résultats ?
Non. Le rapport est construit dans votre navigateur, et nous ne recevons ni le fichier, ni les noms de paquets, ni le résultat. Ce site ne tient pas de statistiques de visite. Si vous suivez un lien du rapport vers le formulaire de contact, l’adresse indique seulement que vous venez de Lock Check et le niveau de risque. Détails dans la politique de confidentialité.
Quelle différence avec composer audit ?
composer audit liste les avis de sécurité de vos paquets installés, à partir des mêmes données Packagist. Lock Check y ajoute les fins de support de PHP et du framework, la version de PHP la plus récente que vos paquets autorisent, l’endroit où se trouve chaque correctif et une synthèse lisible par quelqu’un d’extérieur à l’équipe. Rien à installer.
Un risque élevé signifie-t-il que l’application a été piratée ?
Non. Cela signifie que le support est terminé, ou que certains avis n’ont pas de correctif dans la branche que vous utilisez. Un avis listé signifie que la version installée se trouve dans la plage concernée. Le fichier lock ne permet pas de savoir si votre code utilise la partie en cause.
Les dates et les avis sont-ils à jour ?
Les avis de sécurité viennent de Packagist au moment de la vérification. Les dates de fin de support sont fournies avec la page, à partir d’endoflife.date et des pages des projets Zend Framework, Laminas et CodeIgniter ; le rapport indique la date des données. Notre calendrier EOL est vérifié sur les pages des mainteneurs eux-mêmes.