Code Analysis Tool

Cet outil répertorie les fichiers sources, les dépendances, les licences et les métadonnées liées à la politique dans plusieurs langages, et génère des findings structurés avec des scores de risque et des conseils de remédiation.

Il prend en charge plusieurs écosystèmes (npm/Yarn, Maven/Gradle, PyPI, Go modules, NuGet, RubyGems, et autres) et peut fonctionner localement ou dans CI. Il identifie les défauts dans les motifs de code, les dépendances obsolètes, les ambiguïtés de licences et les licences non conformes, et fournit des recommandations exploitables pour la remédiation et l’application des politiques.

Il capture également l’attribution par fichier, la lignée des dépendances et les identifiants SPDX pour faciliter les audits.

Conceptuellement, il analyse les manifests de paquets (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, etc.) et scanne les fichiers sources pour construire un graphe de dépendances. Il applique un ensemble de règles qui définit les contrôles de politique, les seuils de qualité et les contraintes de licence, puis calcule un score de risque pour chaque constat en fonction de la gravité, de la portée et de l’exposition. L’outil peut émettre des sorties structurées, notamment des rapports JSON et SARIF, pour l’intégration avec des tableaux de bord de sécurité et des systèmes de tickets. Il prend en charge les analyses incrémentielles et la mise en cache pour gérer les grands dépôts.

Les utilisateurs incluent les développeurs, ingénieurs sécurité, bureaux du programme OSS et les équipes juridiques/compliance qui nécessitent des informations auditable et prioritaires en temps utile. Sa valeur réside dans la détection précoce des risques, des recommandations fondées sur des preuves et des rapports de gouvernance reproductibles. Il permet aux équipes de quantifier l’exposition open source, de suivre la remédiation dans le temps et de démontrer la conformité lors des revues de fournisseurs et des audits externes. Fonctions clés: analyse de dépôts, parsing de manifestes indépendants du langage, reconnaissance des licences alignée SPDX, scoring par fichier, génération de graphe de dépendances et options d’export (JSON, SARIF, CSV). Cas d’utilisation: vérifications de conformité des licences pour de nouvelles dépendances, évaluations de surface d’attaque dans les Pull Requests et rapports de gouvernance pour les programmes OSS. Les équipes peuvent personnaliser les bundles de règles, les listes d’ignorés et les canaux de notification, et planifier des analyses automatisées pour maintenir une visibilité continue.