Bandit Python Security

Définition

Bandit est un outil SAST open source spécialisé dans l'analyse statique de code Python, développé initialement par l'OpenStack Security Project puis maintenu sous l'égide de la Python Code Quality Authority (PyCQA). Il fonctionne en parcourant l'arbre syntaxique abstrait (AST) du code source pour repérer des motifs connus de vulnérabilités sans nécessiter d'exécution du programme, ce qui le rend rapide et facilement intégrable dans un pipeline CI/CD via une simple commande bandit -r. Ses règles, organisées par plugins, détectent notamment l'usage de fonctions dangereuses comme eval() ou exec(), les appels subprocess avec shell=True exposant à l'injection de commandes, l'usage de modules de désérialisation non sécurisée comme pickle, les algorithmes cryptographiques faibles (MD5, DES), les secrets codés en dur dans le code source, ou les connexions réseau sans vérification de certificat TLS. Chaque finding est classé par niveau de sévérité et de confiance, ce qui permet de filtrer le bruit selon le contexte du projet. Bandit s'intègre facilement dans pre-commit, tox ou directement dans les workflows GitHub Actions, et complète des outils plus généralistes comme Semgrep en offrant une couverture spécifiquement calibrée sur les idiomes et pièges classiques de l'écosystème Python, notamment dans les projets utilisant Flask, Django ou des scripts d'automatisation manipulant des données sensibles.