Vérificateur de vulnérabilités

Cet outil analyse un dépôt GitHub pour détecter des vulnérabilités dans les dépendances, l’exposition des secrets et les mauvaises configurations. Il couvre les principaux écosystèmes (npm/yarn, Maven/Gradle, PyPI, RubyGems) et peut analyser les dépôts privés avec un token d’accès. L’analyse s’appuie sur des bases de données de vulnérabilités et des détecteurs de secrets basés sur des motifs pour faire émerger des problèmes exploitables. La logique centrale d’évaluation recense les composants du projet, vérifie les CVE et les avis, signale les versions non sécurisées et examine les workflows et les configurations de conteneurs pour des motifs risqués. Des vérifications avancées optionnelles incluent la génération SBOM, les surcharges pilotées par des politiques et des seuils de gravité configurables pour adapter les résultats au niveau de risque de l’organisation. La valeur réside dans la production d’un ensemble de constatations priorisées et prêtes à être remédiées, utilisables par les ingénieurs sécurité, les équipes DevOps et les pipelines CI/CD, avec des emplacements et des preuves clairs dans le code, les dépendances et les fichiers de configuration. Les différenciateurs incluent une couverture d’écosystèmes, des sorties prêtes pour l’intégration et une attribution de score personnalisable alignée sur les politiques internes. Les cas d’usage couvrent la vérification pré-merge, les audits post-commit et la surveillance continue pour de grands dépôts.