publiccode.yml

# SPDX-FileCopyrightText: 2023-2026 L3montree Cybersecurity GmbH
# SPDX-License-Identifier: AGPL-3.0-or-later
#
# This repository adheres to the publiccode.yml standard by including this
# metadata file that makes public software easily discoverable.
# More info at https://github.com/italia/publiccode.yml
---
publiccodeYmlVersion: "0.4"
categories:
  - "it-security"
  - "compliance-management"
  - "application-development"
name: "DevGuard"
platforms:
  - "web"
  - "linux"
developmentStatus: "stable"
softwareVersion: "1.13.2"
releaseDate: "2026-08-24"
softwareType: "standalone/web"
url: "https://devguard.org/"
landingURL: "https://devguard.org"
logo: "logo.svg"
maintenance:
  type: "internal"

  contacts:
    - name: "L3montree GmbH"
      email: "info@l3montree.com"
      affiliation: "L3montree GmbH"

legal:
  license: "AGPL-3.0-or-later"
  mainCopyrightOwner: >-
    2023-2026 L3montree GmbH
intendedAudience:
  scope:
    - "manufacturing"
    - "government"
    - "research"
localisation:
  availableLanguages:
    - "en"
  localisationReady: true
roadmap: "https://devguard.org"
dependsOn:
  open:
    - name: "PostgreSQL"
    - name: "Kratos"
description:
  de:
    screenshots:
      - "docs/screenshots/dependency-risks.png"
      - "docs/screenshots/vex-rules.png"
      - "docs/screenshots/dependency-insights.png"
      - "docs/screenshots/code-risks.png"
      - "docs/screenshots/org-overview.png"
      - "docs/screenshots/compliance-posture.png"
    features:
      - "Automatische SBOM- und VEX-Generierung"
      - "Software Composition Analysis (SCA)"
      - "Static Application Security Testing (SAST)"
      - "Secret Scanning"
      - "IaC-Scanning"
      - "Container-Scanning"
      - "License-Compliance"
      - "Risikobasierte Priorisierung"
      - "Integration in GitLab und GitHub"
      - "Attestierungsbasierte Compliance as Code"
    genericName: "Developer-Security-Plattform"
    longDescription: >
      DevGuard ist eine Open-Source-Plattform für Schwachstellen- und
      Lieferkettensicherheit, die Sicherheitsprüfungen in den bestehenden
      Entwicklungsworkflow einbindet. Ergebnisse erscheinen dort, wo
      Entwicklerinnen und Entwickler ohnehin arbeiten: in Merge Requests,
      der CI/CD-Pipeline und im Issue-Tracker, statt in separaten Tools
      oder Excel-Tabellen.

      Auf openCode bildet DevGuard den technischen Kern der
      Security-Suite der Plattform und steht allen Nutzenden unter 
      ([devguard.opencode.de](https://devguard.opencode.de/)) kostenfrei 
      zur Verfügung. Über die direkt in openCode integrierte
      Anbindung führt DevGuard automatisierte Sicherheitsanalysen 
      und wird für Projekte mit professioneller Software-Security eingesetzt.
      Dazu zählt auch [openDesk](https://opencode.de/de/software/open-desk-1317), die Office- und
      Kollaborations-Suite für die Öffentliche Verwaltung, deren
      Software-Lieferkette mit DevGuard abgesichert und dokumentiert wird.


      Statt jede Meldung mit ihrem reinen CVSS-Wert zu behandeln, gewichtet
      DevGuard Befunde mehrdimensional: nach Ausnutzbarkeit (EPSS), Tiefe der
      betroffenen Abhängigkeit im Dependency-Baum und der Schutzbedarfs-
      einschätzung des jeweiligen Projekts. So lassen sich die tatsächlich
      relevanten Risiken zuerst bearbeiten und der Prüfaufwand für unkritische
      Meldungen reduzieren.


      Über eine einzige CLI und CI-Integration deckt DevGuard Software
      Composition Analysis (SCA), Static Application Security Testing (SAST),
      Secret Scanning, Infrastructure-as-Code-Scanning, Container-Scanning und
      License-Compliance ab. SBOMs und VEX-Reports werden automatisch erzeugt
      und aktuell gehalten. Die Plattform integriert sich in GitLab und GitHub
      und unterstützt eine attestierungsbasierte, nachvollziehbare
      Dokumentation im Sinne gängiger Sicherheitsframeworks wie ISO 27001 und
      BSI IT-Grundschutz.


      DevGuard ist ein OWASP Incubating Project und kann als SaaS oder
      selbstgehostet betrieben werden. Entwicklung und Wartung verantwortet die
      L3montree Cybersecurity GmbH mit Sitz in Bonn.
    shortDescription: >
      Open-Source-Plattform für Schwachstellenmanagement und
      Lieferkettensicherheit - mit risikobasierter Priorisierung, integriert in
      GitLab und GitHub.
    documentation: "https://docs.devguard.org"
  en:
    features:
      - "Automated SBOM and VEX generation"
      - "Software Composition Analysis (SCA)"
      - "Static Application Security Testing (SAST)"
      - "Secret scanning"
      - "IaC scanning"
      - "Container scanning"
      - "License compliance"
      - "Risk-based prioritization"
      - "GitLab and GitHub integration"
      - "Attestation-based compliance as code"
    genericName: "developer security platform"
    shortDescription: >
      The open-source developer security platform for vulnerability management
      and securing the software supply chain.
    longDescription: >
      DevGuard is an open-source platform for vulnerability and
      supply chain security that integrates security checks into the existing
      development workflow. Results appear right where
      developers work anyway: in merge requests,
      the CI/CD pipeline, and the issue tracker—rather than in separate tools
      or Excel spreadsheets.

      On openCode, DevGuard forms the technical core of the
      platform’s security suite and is available to all users
      ([devguard.opencode.de](https://devguard.opencode.de/)) free of charge
      . Through the integration directly built into openCode,
      DevGuard performs automated security analyses
      and is used for projects requiring professional software security.
      This includes [openDesk](https://opencode.de/de/software/open-desk-1317), the office and
      collaboration suite for public administration, whose
      software supply chain is secured and documented using DevGuard.


      Instead of treating each finding based solely on its CVSS score,
      DevGuard weights findings multidimensionally: based on exploitability (EPSS), the depth of
      the affected dependency in the dependency tree, and the risk assessment
      for the respective project. This allows the truly
      relevant risks to be addressed first and reduces the testing effort for non-critical
      findings.


      Through a single CLI and CI integration, DevGuard covers Software
      Composition Analysis (SCA), Static Application Security Testing (SAST),
      secret scanning, Infrastructure-as-Code scanning, container scanning, and
      license compliance. SBOMs and VEX reports are automatically generated
      and kept up to date. The platform integrates with GitLab and GitHub
      and supports attestation-based, traceable
      documentation in accordance with common security frameworks such as ISO 27001 and
      BSI IT-Grundschutz.


      DevGuard is an OWASP Incubating Project and can be operated as SaaS or
      self-hosted. Development and maintenance are handled by
      L3montree Cybersecurity GmbH, based in Bonn.
    documentation: "https://docs.devguard.org"
...