Technologies

Des outils open source de référence, réglés par nous

Les mesures de smartplatform.cloud reposent sur des outils reconnus, ouverts et utilisés dans le monde entier. Nous les choisissons, les réglons et les complétons, pour en tirer des rapports que vous pouvez lire et croire.

Pourquoi l'open source

La sécurité ne se joue pas dans une boîte noire

Sur un sujet aussi critique que la sécurité, nous préférons des outils que chacun peut examiner, et des connaissances partagées par toute la communauté.

Un code lisible par tous
Chacun peut vérifier ce que fait l'outil et comment il le fait. Rien ne repose sur la parole d'un éditeur.
Une collaboration mondiale
Les failles sont publiées dans des bases ouvertes, enrichies chaque jour par les chercheurs et les éditeurs du monde entier.
Des outils de référence
Ils sont utilisés et éprouvés par des milliers d'équipes : leurs défauts sont connus, leurs corrections rapides.
Aucune dépendance à un éditeur
Vos mesures ne disparaissent pas avec un abonnement ou un changement de licence : les outils restent ouverts.

Ce que nous y ajoutons

Les outils sont gratuits, le travail est ailleurs

Lancer un scanner est à la portée de tous. En tirer une mesure fiable, sans bruit, et la suivre dans le temps demande un savoir-faire que nous améliorons en continu.

Le choix et le réglage
Chaque outil est sélectionné pour sa mesure, puis réglé : ce qu'il analyse, ce qu'il ignore, comment il s'arrête.
Nos règles spécifiques
Là où les outils s'arrêtent, nous écrivons nos propres règles, et nous les complétons à chaque cas rencontré.
Moins de bruit
Les simples observations et les faux positifs sont écartés : il reste ce qui demande une décision.
Les échecs détectés
Un outil qui s'arrête sans rien dire est repéré : un silence ne passe jamais pour « rien à corriger ».
Un rapport lisible
Les résultats sont traduits, triés et expliqués pour vous, plutôt que livrés tels que l'outil les produit.
Un suivi dans le temps
Chaque correction est constatée par un nouveau scan, et l'historique montre le travail fait.

Les outils

Les technologies derrière chaque mesure

Dépendances
Composer
Le gestionnaire de dépendances de PHP. Son audit compare les versions exactes du fichier de verrouillage aux avis de sécurité publiés et relève les paquets abandonnés.
Dépendances
npm, Yarn, pnpm
Les gestionnaires de paquets de JavaScript. Leurs audits relèvent les failles connues, le registre npm signale les paquets dépréciés par leur mainteneur.
Dépendances
OSV-Scanner
Le scanner de Google, adossé à la base ouverte OSV. Il relève les failles connues des images Docker qui font tourner votre application, système compris.
Fin de support
endoflife.date
Le calendrier public et collaboratif des fins de support. Notre référentiel des versions est contrôlé contre lui.
Scan DAST
ZAP
Le scanner de sécurité web open source de référence. Il observe puis éprouve chaque site de votre application, comme le ferait un attaquant.
Scan DAST
Nos règles et notre catalogue
Des règles maison ajoutées à celles de ZAP, et un catalogue qui nomme chaque point en français, complété à chaque nouvelle règle.
Environnements
Docker
Les analyses tournent dans des environnements isolés et jetables : chaque scan part d'un état propre, sans rien toucher à votre application.
Vos dépôts
GitLab
La plateforme où vit votre code. smartplatform.cloud lit vos dépôts par son API : rien n'est installé ni exécuté sur votre code.