TECHSCAN · Diagnostic des risques du code en environnement isolé

Savez-vous vraiment ce que contient
le code de votre entreprise ?

Conflits de licences open source, mots de passe codĂ©s en dur, vulnĂ©rabilitĂ©s non corrigĂ©es : la plupart apparaissent lors d’un vĂ©ritable audit de code. Et la plupart du temps, le dirigeant n’en savait rien.

Lors d’audits de code rĂ©els : conflits de licences dĂ©tectĂ©s dans 94% des cas, vulnĂ©rabilitĂ©s non corrigĂ©es dans 97% · donnĂ©es d’audit Black Duck

Lancer le diagnostic de mon code · dÚs 119 $USVoir un exemple de rapport
  • 0 transfert de code vers l’extĂ©rieur
  • Analyse en environnement isolĂ©
  • Rapport sous 24 heures
  • Suppression des sources aprĂšs analyse

WHEN IT MATTERS

TĂŽt ou tard, votre code sera ouvert, dans des moments comme ceux-ci

  • PrĂ©paration d’une due diligence d’investissementAvant que l’autre partie ne l’ouvre
  • Recette d’un dĂ©veloppement sous-traitĂ©Le code livrĂ© est-il conforme ?
  • ContrĂŽle avant la mise en productionAvant l’incident
  • Cession ou rĂ©fĂ©rencement chez un grand compteAnticiper les motifs de refus
  • Juste aprĂšs un incident de sĂ©curitĂ©Y en a-t-il d’autres ?

— Si vous l’ouvrez pour la premiĂšre fois Ă  ce moment-lĂ , il est dĂ©jĂ  trop tard.

01 — SECURITY RISK

Des mots de passe dans le code, des portes dérobées oubliées

Ces Ă©lĂ©ments apparaissent naturellement au fil du dĂ©veloppement et restent invisibles tant qu’on ne les cherche pas dĂ©libĂ©rĂ©ment.

Identifiants restés dans le code

ClĂ©s d’API et mots de passe de base de donnĂ©es Ă©crits en clair dans le code. MĂȘme supprimĂ©s, ils restent dans l’historique git.

Preuve · arbre de travail + historique git complet

Vulnérabilités déjà publiques

Nous vĂ©rifions si vous utilisez des versions de bibliothĂšques dont les mĂ©thodes d’attaque sont dĂ©jĂ  publiĂ©es sur Internet. En cas d’incident, on vous dira que « vous pouviez le savoir ».

Preuve · vérification croisée par 2 scanners (Trivy, Grype)

Flux de code dangereux et portes dérobées

Nous recherchons les accĂšs dĂ©tournĂ©s laissĂ©s par d’anciens collaborateurs et les points qui traitent des entrĂ©es externes sans validation.

Preuve · localisation au fichier et à la ligne (semgrep)

02 — LICENSE RISK

Une seule bibliothĂšque open source peut rendre publiable tout le code de votre entreprise

Du GPL ou de l’AGPL mĂȘlĂ© Ă  un module central entraĂźne une obligation de publier les sources, voire une rĂ©Ă©criture complĂšte. En exploitation, c’est une mise en demeure pour violation de licence ; lors d’un rĂ©fĂ©rencement grand compte, un motif de refus ; lors d’une due diligence d’investissement ou de cession, un deal breaker.

Personne n’a commis de faute : c’est simplement invisible par nature. Tout part d’une ligne important une bibliothĂšque dont on avait besoin, et rien n’apparaĂźt tant qu’on ne le cherche pas dĂ©libĂ©rĂ©ment.

Pass · Licence permissiveFail · Copyleft fortPreuve · composant / licence / chemin du fichier

03 — AI CODING BLIND SPOT

Personne ne sait d’oĂč vient le code Ă©crit par l’IA

Le code gĂ©nĂ©rĂ© n’est accompagnĂ© d’aucune mention de licence ni d’aucune liste de dĂ©pendances. Les contrĂŽles classiques, qui se limitent Ă  la liste des paquets, le jugent donc souvent « propre ». Le dĂ©veloppement va plus vite, mais il y a aussi davantage Ă  vĂ©rifier.

16%Part des composants open source identifiĂ©s lors d’audits rĂ©els qui sont entrĂ©s par des voies absentes de la liste des paquets (copie directe de code, Stack Overflow, extraits gĂ©nĂ©rĂ©s par IA) · donnĂ©es d’audit Black Duck

04 — WHAT YOU GET

Voici le document que vous recevez

Une synthĂšse d’une page pour le dirigeant, et une liste au fichier et Ă  la ligne que l’équipe de dĂ©veloppement peut reprendre telle quelle pour corriger. Les deux langages rĂ©unis dans un mĂȘme document.

Couverture — note de risque globale · date d’émission · pĂ©rimĂštre d’analyse
SynthĂšse dirigeant — rĂ©partition par gravitĂ© · couverture par axe d’analyse · top 3 des actions prioritaires
DĂ©tail — dĂ©cision par critĂšre, preuves au fichier et Ă  la ligne, guide de correction

05 — HOW IT WORKS

Du dépÎt des sources au guide de correction, en trois étapes

01Environ 5 minutes

DĂ©pĂŽt des sources

Déposez un fichier ZIP ou un dépÎt git ou svn en lecture seule.

02

Analyse exhaustive en environnement isolé

Sans aucun transfert externe, nous analysons intégralement SBOM, licences, identifiants, vulnérabilités et flux de code. (Personne ne peut voir votre code source. En cas de fuite du code source via notre systÚme, nous vous indemnisons à hauteur de 100 fois le montant payé.)

03Sous 24 heures

Rapport de décision

Une synthĂšse d’une page pour le dirigeant, et une liste au fichier et Ă  la ligne directement exploitable par l’équipe de dĂ©veloppement, rĂ©unies dans un mĂȘme document.

06 — DATA SOVEREIGNTY

« Vous voulez que je vous confie tout notre code source ? »

Un NDA inscrit dans l’architecture

Nous ne nous contentons pas de promesses : c’est la structure qui protĂšge. Les sources ne sont analysĂ©es que dans un environnement coupĂ© de l’extĂ©rieur, supprimĂ©es automatiquement Ă  la fin de l’analyse selon la politique en vigueur, et la suppression laisse une trace probante.

0 envoi vers un LLM externe

Suppression automatique des sources aprĂšs analyse + preuve de suppression

AccĂšs cloisonnĂ© par organisation · journaux d’audit

07 — WHY TECHSCAN

Pour contrĂŽler son code, il existe en gros cinq options

  • Ne rien faire

    C’est le choix le plus courant. Les problĂšmes apparaissent en gĂ©nĂ©ral le jour oĂč quelqu’un d’autre ouvre le code.

  • Faire tourner des scanners gratuits par l’équipe de dĂ©veloppement

    Chaque outil donne des rĂ©sultats diffĂ©rents, et la sortie est une liste destinĂ©e aux dĂ©veloppeurs. Ce n’est pas un document que le dirigeant peut lire pour dĂ©cider.

  • Demander une vĂ©rification publique gratuite

    Il existe des dispositifs publics qui vérifient gratuitement licences et vulnérabilités open source. Mais il faut remettre son code source à un organisme, compter plusieurs semaines entre demande, examen et attente des résultats, et le nombre de demandes comme les bénéficiaires sont limités.

  • DĂ©ployer un outil de sĂ©curitĂ© commercial

    Abonnement annuel, facturation par utilisateur, intégration CI et paramétrage des rÚgles sont des prérequis. Idéal pour un usage continu, mais trop lourd quand on veut « juste vérifier une fois maintenant ».

  • TechScan

    Choisissez le périmÚtre et payez à chaque évaluation.

Pas seulement les licences : tout le code

En plus des licences open source, nous examinons en une seule fois les identifiants restĂ©s dans le code, l’historique git et les flux de code dangereux.

Pas un seul outil : une vérification croisée

Nous corrigeons faux positifs et oublis d’un scanner unique en confrontant les rĂ©sultats de plusieurs outils.

Pas le seul langage des développeurs : deux niveaux de lecture

La synthĂšse pour le dirigeant et les preuves pour l’équipe de dĂ©veloppement sont rĂ©unies dans un mĂȘme document.

Pas un tableau de bord : un document à transmettre

Chaque dĂ©cision s’accompagne de preuves au fichier et Ă  la ligne, et le rapport porte une empreinte de vĂ©rification d’authenticitĂ©.

08 — TECHSCAN PLANS

Catalogue des analyses

Choisissez le périmÚtre et payez à chaque évaluation.

Triple contrÎle de sécurité

À la carte

Triple contrÎle de sécurité

Risque éliminé

Détecte et bloque le risque que des clés secrÚtes exposées, des composants libres vulnérables et des failles de sécurité arrivent en production et provoquent une intrusion ou une fuite de données.

  • Secrets exposĂ©s
  • VulnĂ©rabilitĂ©s des dĂ©pendances
  • Analyse statique de sĂ©curitĂ©
Tarif de lancement 149 $US 119 $US

Jusqu’au 4 dĂ©c. 2026 (heure de CorĂ©e)

Prix final en USD. Les taxes locales sont Ă  votre charge.

Commander une analyse

Diagnostic gratuit de préparation

Le contenu des fichiers n’est pas transmis. Le serveur compare uniquement les noms et conserve les rĂ©sultats par catĂ©gorie.

Une auto-Ă©valuation gratuite rĂ©duit le risque de dĂ©penser d’abord pour des vĂ©rifications inadaptĂ©es.

Diagnostic gratuit de préparation

Surveillance de sécurité mensuelle

39 $US

Prix final en USD. Les taxes locales sont Ă  votre charge.

Ne vous arrĂȘtez pas Ă  un seul diagnostic : recevez chaque mois des alertes sur les nouveaux secrets et vulnĂ©rabilitĂ©s.

Une vĂ©rification automatique mensuelle Ă©vite de manquer les nouvelles vulnĂ©rabilitĂ©s et fuites, mĂȘme si tout est sĂ»r aujourd’hui.

S'abonner Ă  la surveillance

Credit Pack

400 $US

Prix final en USD. Les taxes locales sont Ă  votre charge.

Vous prĂ©voyez d’analyser plusieurs dĂ©pĂŽts ? Rechargez un pack de crĂ©dits Ă  l’avance et profitez d’un bonus.

Remplace les paiements rĂ©pĂ©tĂ©s par des crĂ©dits prĂ©chargĂ©s avec un bonus, pour regrouper le budget au mĂȘme endroit.

Recharger des crédits

09 — FAQ

Questions fréquentes

Quelle différence avec les outils gratuits ou les outils de sécurité commerciaux ?

Vous l’utilisez une fois, quand vous en avez besoin, sans dĂ©ployer d’outil ni souscrire d’abonnement. Le rĂ©sultat n’est pas un tableau de bord, mais un rapport unique rĂ©unissant une synthĂšse pour le dirigeant et les preuves au fichier et Ă  la ligne directement exploitables par l’équipe de dĂ©veloppement. L’analyse est rĂ©alisĂ©e dans un environnement isolĂ©, sans que les sources ne sortent. Cela ne signifie pas que la couverture ou la prĂ©cision de dĂ©tection dĂ©passent celles des outils spĂ©cialisĂ©s : ce qui diffĂšre, c’est le mode d’utilisation.

Mon code source risque-t-il de fuiter ?

Les sources sont traitĂ©es uniquement dans un environnement d’analyse isolĂ© et ne sont jamais envoyĂ©es Ă  une IA externe. L’analyse est entiĂšrement automatisĂ©e, sans consultation humaine ; Ă  la fin du diagnostic, les sources sont supprimĂ©es et une trace d’audit est conservĂ©e. S’il est techniquement Ă©tabli que votre code source a fuitĂ© vers l’extĂ©rieur depuis notre systĂšme, nous vous indemnisons Ă  hauteur de 100 fois le montant payĂ© (conditions et exclusions Ă  l’article 9-2 des conditions d’utilisation).

Faut-il ĂȘtre dĂ©veloppeur pour comprendre le rapport ?

La synthĂšse d’une page destinĂ©e au dirigeant prĂ©sente l’impact business et les actions prioritaires ; le dĂ©tail destinĂ© Ă  l’équipe de dĂ©veloppement fournit sĂ©parĂ©ment SBOM, fichiers, lignes et guide de correction.

Puis-je faire diagnostiquer du code livré par un prestataire ?

Oui, si la livraison est terminĂ©e et que votre entreprise en dĂ©tient la propriĂ©tĂ©. TechScan est toutefois rĂ©servĂ© Ă  l’autodiagnostic de votre propre code : vous ne pouvez pas dĂ©poser le code d’une entreprise tierce (engagement obligatoire lors de la demande). Pour vĂ©rifier le code d’une entreprise visĂ©e par un investissement ou une acquisition, utilisez l’offre entreprise TechDD Pro.

Il existe aussi des vĂ©rifications gratuites proposĂ©es par l’État, non ?

Oui. Des programmes publics vĂ©rifient gratuitement les licences et vulnĂ©rabilitĂ©s open source, et c’est un bon choix si vous remplissez les conditions. TechScan diffĂšre sur trois points : ① vous ne remettez pas votre code source Ă  un organisme externe ; ② vous recevez le rĂ©sultat sous 24 heures, sans demande ni examen ; ⑱ au-delĂ  des licences, nous examinons aussi les identifiants restĂ©s dans le code, l’historique git et les flux de code dangereux.

Combien de temps faut-il ?

Le rapport est émis dans les 24 heures suivant le dépÎt des sources.

Puis-je ĂȘtre remboursé ?

Le remboursement intĂ©gral est possible tant que l’analyse n’a pas Ă©tĂ© lancĂ©e. Une fois l’analyse dĂ©marrĂ©e, le remboursement est limitĂ©.

10 — FOR INVESTORS & ACQUIRERS

Vous ĂȘtes investisseur ou acquĂ©reur ?

Pour les opĂ©rations qui exigent une analyse de tous les critĂšres ainsi que la revue et la signature d’un expert de niveau CTO, nous proposons TechDD Pro.

DĂ©couvrir la due diligence technique pour entreprises