ESP-IDF
ESP-IDF ist die am besten gestellte der gängigen Plattformen: esp-idf-sbom liest aus jeder Komponente eine Datei sbom.yml und schreibt die gefundenen Kennungen. Für Komponenten, die eine mitliefern, etwa mbedTLS, lwIP und FreeRTOS, erhalten Sie schon eine brauchbare Kennung.
Die Lücke sind die Komponenten ohne sbom.yml. Sie erscheinen unter einem erfundenen Ersatznamen ohne Kennung, sodass eine Datenbank sie nicht zuordnen kann. Die geschlossenen Funkbibliotheken von Espressif (Bluetooth, WLAN, PHY und Koexistenz) tragen gar nichts, weil sie vorkompilierte Binärdateien sind.
Eine ist die Liste, die Ihr Build schreibt. Dateien werden in Ihrem Browser gelesen.
Aus einem gebauten Projekt:
idf.py build
idf.py sbom-createdie SPDX- oder CycloneDX-Datei, die esp-idf-sbom schreibt — beide Formate funktionierendependencies.lock (optional, neben der SBOM, nie allein) — ergänzt die aufgelösten Versionen Ihrer verwalteten Komponenten, die die SBOM allein weglässtsbom.yml mitbringen. Die anderen erscheinen ohne. Declarable füllt diese aus seinen Zuordnungszeilen und lässt den Rest als unbekannt markiert.Angaben auf dieser Seite geprüft am 14. Oktober 2026.
Declarable bereitet Unterlagen vor, die Sie prüfen sollen. Das ist keine Rechtsberatung und keine Zertifizierung. Ihre Konformitätserklärung unterschreiben Sie selbst.