SAST · DAST · SCA · Secrets Detection · Devis sous 48h

Audit Code Source Sécurité

Les vulnérabilités les plus dangereuses se trouvent dans le code métier, pas dans les frameworks. Nous combinons analyse statique (SAST), revue manuelle experte et détection de secrets exposés pour identifier les failles dans votre code source — quel que soit le langage.

Langages couverts : Go, Python, Java, PHP, Node.js/TypeScript, Ruby, C/C++, .NET/C#. Rapport avec exemples de code corrigé. Compatible SDL (Secure Development Lifecycle).

Demander un devis gratuit Voir le périmètre

SAST & Revue Manuelle

Analyse statique (Semgrep, CodeQL, SonarQube Security) + revue manuelle des flux de données sensibles, des fonctions dangereuses et de la logique d'autorisation — ce que les outils automatiques ratent.

Détection de Secrets

Scan de l'historique Git complet (Trufflehog, Gitleaks) pour détecter les clés API, mots de passe, tokens OAuth, certificats et credentials exposés — dans le code actuel ET dans les anciens commits.

SCA & Dépendances

Analyse des dépendances tierces (SCA) : CVE connues, licences à risque, packages abandonnés ou typosquattés. Rapport SBOM (Software Bill of Materials) pour traçabilité supply chain.

Périmètre d'Audit

Vulnérabilités de Code

▸ Injections : SQL, OS command, LDAP, template (SSTI), expression language
▸ Gestion des entrées utilisateur : validation, sanitisation, output encoding
▸ Cryptographie : algorithmes faibles, clés codées en dur, IV statiques
▸ Gestion des erreurs et logs : exposition d'informations sensibles dans les traces
▸ Race conditions et concurrence : TOCTOU, mutex manquants
▸ Désérialisation non sécurisée, chargement dynamique de code

Supply Chain & Secrets

▸ Secrets dans le code source et l'historique Git (tokens, passwords, clés API)
▸ Dépendances : CVE, packages abandonnés, versions fixées vs flottantes
▸ SBOM : inventaire des composants tiers pour traçabilité supply chain
▸ Fichiers de configuration sensibles (.env, config.yaml, Dockerfile)
▸ CI/CD : pipeline sécurisé, variables d'environnement, artefacts signés
▸ Infrastructure as Code : Dockerfile, K8s manifests, variables non chiffrées

Notre Méthodologie en 5 Phases

Accès & Cadrage

Accès en lecture au dépôt Git (GitHub/GitLab/Bitbucket), périmètre du code à auditer (modules, branches), langages et frameworks utilisés.

Scan Automatisé

SAST (Semgrep, CodeQL), détection de secrets (Trufflehog, Gitleaks), SCA (OWASP Dependency-Check, Trivy) + filtrage des faux positifs.

Revue Manuelle

Analyse manuelle des flux de données critiques (authentification, paiement, upload), des logiques d'autorisation et des fonctions dangereuses.

Exploitation Sélective

Pour les vulnérabilités critiques : proof-of-concept dans un environnement de test pour confirmer l'exploitabilité et mesurer l'impact réel.

Rapport & Code Corrigé

Rapport avec extraits de code vulnérable ET exemples de correction dans votre langage. Recommandations d'intégration SAST en CI/CD.

Questions Fréquentes

Absolument. Un accord de non-divulgation (NDA) est signé avant tout accès au code source. Notre accès est limité au temps de la mission, le code n'est pas conservé après livraison du rapport, et nous travaillons dans des environnements isolés. Le rapport lui-même ne contient que des extraits de code minimal pour illustrer les vulnérabilités, pas le code complet.

Oui, avec une approche de priorisation. Pour les grandes bases de code, nous commençons par identifier les surfaces d'attaque à fort risque (authentification, parsing d'entrées, logique financière) et concentrons la revue manuelle sur ces zones. Les outils SAST couvrent l'ensemble du code automatiquement. Cette approche garantit une couverture effective même sur de grandes codebases dans un budget maîtrisé.

Oui. En complément de l'audit ponctuel, nous proposons la configuration de Semgrep, CodeQL (GitHub Actions), Snyk ou SonarQube dans vos pipelines CI/CD pour détecter les nouvelles vulnérabilités à chaque commit. Nous définissons les règles, seuils de blocage et exceptions adaptées à votre codebase pour éviter les faux positifs en excès.

Le pentest web teste l'application depuis l'extérieur (boîte noire ou grise). L'audit de code source analyse l'application de l'intérieur — il trouve des vulnérabilités que le pentest ne peut pas détecter (logique complexe, race conditions, cryptographie défaillante, secrets dans les variables d'environnement). Les deux sont complémentaires et nous recommandons de les combiner pour une couverture maximale.

Nos autres prestations d'audit

Audit API (OWASP Top 10)

REST, GraphQL, gRPC, BOLA

Audit Application Web

OWASP Top 10, ASVS, XSS, SQLi

Audit DevSecOps & CI/CD

GitHub Actions, supply chain

Audit Cloud (AWS/Azure/GCP)

CSPM, IAM, Kubernetes cloud

Audit Infrastructure

Serveurs, réseau, hardening CIS

Audit Kubernetes

Pods, RBAC, évasion de conteneur

Des clés API ou des mots de passe sont-ils exposés dans votre code ?

Des milliers de dépôts exposent des credentials dans leur historique Git sans le savoir. Un scan prend 24 heures et peut révéler des failles critiques avant qu'un attaquant ne les exploite.

Demander un audit de code