L'analyse de code gratuite. Ce qui se passe le jour 0 et ce que contient le premier constat.
Sans engagement, sans entretien commercial comme condition. Nous connectons vos dépôts, analysons l'existant et vous disons quels résultats sont réels et critiques, lesquels peuvent attendre et ce qui doit se passer en premier.
Un rapport plein de résultats que personne ne traite n'est pas une protection. C'est pourquoi le premier constat n'est pas une liste brute mais une qualification : une personne vérifie chaque résultat avant qu'il ne vous parvienne et écarte ce qui n'est pas exploitable dans votre cas concret.
Trois étapes, un constat.
Connexion
Tout commence par un contrat, pas par un téléversement : nous convenons des dépôts à vérifier, de la finalité de l'accès et du fait qu'il s'y limite. Ce n'est qu'ensuite que nous connectons. Si le code ne doit pas quitter vos locaux, nous installons l'analyse dans votre environnement.
Analyse de l'existant
L'ensemble de l'existant est vérifié à trois profondeurs : les secrets et les schémas non sécurisés connus, chaque modification dans le contexte de la base de code, et la base de code entière avec ses dépendances, l'historique du dépôt et la configuration.
Constat priorisé
Vous recevez un rapport clair : quels résultats sont réels et critiques, lesquels peuvent attendre et ce qui doit se passer en premier. Trié selon le risque réel, pas selon le volume.
Trois points où commencent la plupart des attaques contre les logiciels.
Identifiants codés en dur
Mots de passe, clés API et jetons dans le code, y compris dans l'historique du dépôt. Une clé validée un jour reste dangereuse tant qu'elle n'a pas été renouvelée.
Dépendances vulnérables
Paquets open source présentant des failles connues. L'analyse compare chaque dépendance aux vulnérabilités connues et repère les bibliothèques obsolètes.
Schémas de code non sécurisés
Entrées non validées, appels système dangereux, contrôles d'accès manquants et réglages par défaut non sécurisés dans la configuration.
Une qualification, pas une liste de résultats.
Tout analyseur signale aussi des résultats qui ne sont pas exploitables dans le cas concret. C'est pourquoi une personne fait le tri avant que vous ne voyiez le rapport.
- Réel et critique
Ce qui doit être corrigé immédiatement
Les résultats réellement exploitables dans le contexte de votre base de code. Avec la justification de leur criticité et la mesure qui s'y rattache.
- Peut attendre
Ce qui est planifié mais pas urgent
Les résultats à faible risque ou sans chemin d'attaque actuel. Ils figurent dans le rapport pour ne pas être perdus, mais ils ne bloquent rien.
- En premier
L'ordre pour la semaine 1
Une priorité claire au lieu d'une liste sans fin : quelles étapes doivent se faire en premier et ce qu'elles présupposent.
- Écarté
Ce qui n'est pas un risque réel
Les faux positifs ne vous parviennent pas. Ils sont écartés avant le rapport pour que la liste reste courte et que chaque entrée compte.
Votre code reste votre code.
Encadré par contrat
L'accès n'a qu'une seule finalité, la recherche de vulnérabilités, et c'est ce qui figure dans le contrat de sous-traitance. Aucune transmission, aucune seconde utilisation.
Traité dans l'UE
L'analyse s'exécute dans l'UE. Le code est traité exclusivement pour la vérification des vulnérabilités.
Sur demande dans votre environnement
Si le code ne doit pas quitter la maison, l'analyse s'exécute chez vous. Le résultat est le même, seul le lieu change.
Le constat marque la fin de l'analyse. Tout le reste, c'est vous qui en décidez.
Traiter vous-mêmes
Le rapport est rédigé pour que votre équipe puisse le mettre en œuvre sans nous. Priorité, mesure et justification accompagnent chaque résultat.
Faire nettoyer
Renouveler les secrets critiques, mettre à jour les bibliothèques vulnérables, neutraliser les schémas dangereux. Nous réalisons la correction et la documentons avec une date.
Continuer à vérifier à chaque commit
Dès lors, chaque modification est vérifiée avant que le code ne poursuive son chemin. Nous traitons immédiatement les nouveaux résultats critiques et vous signalons ce qui est déjà réglé.
Questions sur l'analyse de code
Combien coûte l'analyse de code ?
Rien. La connexion, l'analyse de l'existant et le constat priorisé sont gratuits et sans engagement. Ce qui suit éventuellement, vous en décidez après le rapport.
De quoi avons-nous besoin ?
D'un interlocuteur qui désigne les dépôts, et du contrat de sous-traitance signé. Nous mettons en place tout le reste, dans votre environnement si nécessaire.
Combien de temps jusqu'au constat ?
Le premier constat est disponible après 48 heures : quels résultats sont réels et critiques, lesquels peuvent attendre et ce qui doit se passer en premier.
Qu'est-ce qui est analysé exactement ?
Les trois classes de résultats en haut de cette page : des identifiants que quelqu'un a validés, même il y a des années ; des bibliothèques dont une faille est connue ; et des endroits de votre propre code où entrées, appels système ou autorisations ne sont pas sécurisés. Plus la configuration et ses réglages par défaut.
L'analyse trouve-t-elle toutes les erreurs ?
Non, et aucun autre outil ne le fait. Ce qui ressemble à un schéma fixe est trouvé. Ce qui n'est faux que dans son contexte métier, par exemple qui peut voir quelles données, reste l'affaire d'un test ou d'une revue. Le constat nomme cette limite au lieu de la taire.
Nous ne développons pas nous-mêmes. Est-ce utile pour nous ?
Cela dépend de ce que vous exploitez. Une application que vous avez achetée et que vous hébergez vous-mêmes se compose tout de même de paquets qui vieillissent et de réglages que plus personne ne vérifie. L'analyse voit les deux. Si vous n'avez que des logiciels exploités pour vous par des tiers, il n'y a rien à connecter, et le meilleur point d'entrée est notre surveillance du dark web.
Qu'y a-t-il dans votre code qui ne devrait pas s'y trouver ?
Analyse de code gratuite, résultat clair, sans engagement.