Dix outils cyber pour développeurs, sans note

L'ordre de cette page n'est pas un score. Elle regarde des outils qu'un développeur pointe vers son dépôt, son image, ou ses dépendances. Elle ne donne pas de commande de scan, ni de correctif à coller. Le guide déjà publié couvre une autre coupe, dont des outils qui n'ont pas été repris ici pour éviter de réécrire la même fiche. Brancher l'un de ces scanners comme outil d'agent élargit ce que le modèle peut lire : les droits se règlent dans le guide des permissions.

Semgrep

Public : quelqu'un qui veut des findings de code ou de dépendances depuis la ligne de commande, puis un tableau.

Le quickstart, relu le 2026-10-18, demande Python 3.10 ou plus, et une connexion GitHub ou GitLab pour semgrep ci. Sans ces comptes, la page renvoie vers semgrep scan. Elle dit que le code n'est pas envoyé : seuls les findings partent vers la plateforme. Windows est en bêta.

Limite : un finding n'est pas un correctif. L'installation citée n'a pas été rejouée. Aucun dépôt n'a été scanné.

Prix : non relevé. Test : non exécuté.

Snyk

Public : une équipe qui veut chercher des vulnérabilités dans le code, les dépendances, les images, et des configurations cloud.

La page d'accueil des docs, relue le 2026-10-18, dit que Snyk scanne, priorise, et corrige des vulnérabilités dans le code, les dépendances ouvertes, les images, et les configurations cloud. Elle liste un CLI, des plugins d'IDE, des intégrations, et un volet pour le développement assisté par IA. Une nouvelle navigation est en cours, selon un encadré.

Limite : la page d'accueil ne dit pas qu'un correctif proposé est sûr. Elle ne dit pas non plus que l'usage est gratuit. Le mot n'est pas ajouté. Aucun dépôt n'a été connecté.

Prix : non relevé. Test : non exécuté.

Code scanning GitHub

Public : un propriétaire de dépôt GitHub qui veut des alertes sur le code du projet, pas un scan d'une URL trouvée ailleurs.

La page About code scanning, relue le 2026-10-18, dit que la fonction analyse le code d'un dépôt GitHub pour trouver des vulnérabilités et des erreurs. Les problèmes s'affichent dans le dépôt. On peut planifier un scan, ou le déclencher sur un push. CodeQL est le moteur maintenu par GitHub. D'autres outils peuvent envoyer du SARIF. Sur un dépôt privé, la page dit qu'une licence Code Security est nécessaire. Elle mentionne aussi une évaluation de risque qu'elle appelle free, avant un achat. Cette fiche ne recopie pas les noms de plans.

Limite : free, ici, qualifie l'évaluation de risque citée, pas l'ensemble du produit. Une alerte n'applique pas le correctif. Aucun dépôt n'a été scanné.

Prix : non relevé. Test : non exécuté.

Dependabot alerts

Public : quelqu'un qui veut être prévenu quand une dépendance du dépôt a une faille déjà publiée dans la base GitHub.

La page About Dependabot alerts, relue le 2026-10-18, dit que les alertes préviennent d'une dépendance vulnérable pour qu'on puisse monter vers une version corrigée, quand elle existe. Dependabot scanne la branche par défaut. Une alerte lie le fichier, la faille, et une version corrigée si elle est connue. La page dit que les alertes ne voient pas tout, que les dépôts archivés ne sont pas scannés, et que seules les advisories revues par GitHub déclenchent une alerte.

Limite : une alerte tardive ne revient pas en arrière sur un paquet déjà installé. Assigner l'alerte à un agent, mentionné sur la page, n'a pas été fait. Le mot gratuit n'est pas dans le texte relu. Il n'est pas ajouté.

Prix : non relevé. Test : non exécuté.

Trivy

Public : quelqu'un qui veut parcourir une image, un dépôt, ou un cluster, à la recherche de vulnérabilités, de secrets, ou de mauvaises configurations.

La page premiers pas, relue le 2026-10-18, décrit la commande comme une cible plus des scanners. Les exemples couvrent une image, un système de fichiers, et un cluster. Des intégrations CI et un opérateur sont listés. Aqua est présenté à part, comme offre commerciale au-dessus de Trivy. Aucun prix n'est recopié.

Limite : la page ne dit pas que la base de vulnérabilités est à jour le jour où on la lance. Ce guide ne l'a pas vérifié. Un rapport n'applique pas le correctif. Aucune image n'a été scannée.

Prix : non relevé. Test : non exécuté.

Gitleaks

Public : quelqu'un qui veut détecter des secrets dans un historique git, des fichiers, ou un flux, avant qu'ils partent plus loin.

Le README, relu le 2026-10-18, décrit un outil de détection de secrets, avec trois modes : git, répertoire, et entrée standard. Il avertit que le projet est considéré comme complet : l'auteur ne fusionne plus de fonctionnalités nouvelles, seulement des correctifs de sécurité, et dit déplacer son travail vers Betterleaks.

Limite : un outil figé détecte encore, mais il ne suivra pas seul les nouveaux formats de clés. Un finding n'est pas une rotation. Ce guide ne montre pas d'exemple de secret, et il n'a pas scanné de dépôt.

Prix : non relevé. Test : non exécuté.

Socket

Public : quelqu'un qui veut regarder les dépendances ouvertes d'un dépôt, surtout au moment d'une pull request, avant qu'un paquet malveillant s'installe.

La page Getting started, relue le 2026-10-18, dit que Socket combat les vulnérabilités et protège la chaîne d'approvisionnement des dépendances ouvertes. Elle décrit une application GitHub, un CLI, une extension VS Code, un pare-feu qui intercepte les installations, et une API. Le pare-feu est dit capable de bloquer un logiciel malveillant avant qu'il arrive sur la machine.

Limite : bloquer à l'installation n'est pas une revue du code métier. La page ne dit pas que l'usage est gratuit. Le mot n'est pas ajouté. Aucun dépôt n'a été connecté.

Prix : non relevé. Test : non exécuté.

OSV-Scanner

Public : quelqu'un qui veut relier la liste de dépendances d'un projet aux failles déjà publiées dans OSV.

La page OSV-Scanner, relue le 2026-10-18, dit que l'outil trouve des vulnérabilités qui touchent les dépendances du projet. C'est un frontal officiellement supporté vers la base OSV, en CLI ou en bibliothèque Go. La page dit que chaque advisory vient d'une source ouverte, et que le format précise les versions touchées.

Limite : une base ouverte n'est pas à jour parce qu'on l'a lue. Un finding n'applique pas la mise à jour. Aucun projet n'a été scanné. Le mot gratuit n'est pas dans le texte relu. Il n'est pas ajouté.

Prix : non relevé. Test : non exécuté.

Checkov

Public : quelqu'un qui écrit de l'infrastructure en code, et qui veut des mauvaises configurations avant le déploiement.

La page Policy-as-code for everyone, relue le 2026-10-18, dit que Checkov scanne des configurations d'infrastructure cloud pour trouver des erreurs avant qu'elles soient déployées. Elle cite Terraform, CloudFormation, Kubernetes, Helm, des modèles ARM, et Serverless. Les politiques peuvent être en Python ou en YAML sur un graphe.

Limite : un scan avant déploiement ne voit pas ce qui a déjà été appliqué à la main. La page ne dit pas que l'outil est gratuit. Le mot n'est pas ajouté. Aucun dossier n'a été scanné.

Prix : non relevé. Test : non exécuté.

SonarQube Server

Public : une équipe qui veut une revue automatique du code sur son propre serveur, dans la chaîne d'intégration.

La page d'accueil SonarQube Server 2026.2, relue le 2026-10-18, le décrit comme un outil d'analyse statique sur site, pour plus de 40 langages, branché à une chaîne d'intégration ou à une plateforme de développement. Il signale des bugs, des vulnérabilités, des hotspots, et des problèmes de maintenabilité, y compris sur du code généré. SonarQube Cloud est le produit hébergé, séparé. Une extension d'IDE existe.

Limite : une porte de qualité qui bloque une fusion n'a pas été configurée ici. La page ne recopie pas un prix. Aucun projet n'a été analysé.

Prix : non relevé. Test : non exécuté.

Sources

Sources officielles recontrôlées le 2026-10-19 : Semgrep, Snyk, GitHub code scanning, Dependabot alerts, Trivy, Gitleaks, Socket, OSV-Scanner, Checkov et SonarQube Server.

Dix outils distincts, ordre non classant, prix non relevés et scans non exécutés.