Sécurité du code
Vauban, c’est la sécurité applicative pour le code des PME, en France et en Europe. Il analyse vos dépôts sur GitHub, GitLab et Azure DevOps, attribue à chacun une note de A à F, en établit le plan d’action et contrôle chaque demande de fusion dans votre intégration continue. Vauban est en phase pilote.
Sécurité du code
Vauban analyse le code des dépôts que vous connectez et montre ce qui est exposé : les failles de votre propre code, les secrets divulgués, les dépendances vulnérables et les configurations à risque. Pour chaque dépôt, il traduit les constats en une note de A à F et en un plan d’action, et les décisions que votre équipe enregistre s’appliquent aux analyses suivantes comme au contrôle de chaque demande de fusion.
Une petite équipe sait ce que son code expose et ce qu’il faut corriger en priorité, garde la main sur chaque décision, et arrête une nouvelle faille à la demande de fusion plutôt qu’en production.
Dans toutes les formules
Solo et Team effectuent les mêmes contrôles à chaque analyse. La formule Team ajoute la revue agentique par l’IA et des quotas plus élevés.
L’analyse statique de votre code (SAST) et les secrets divulgués, signalés par leur emplacement et par la règle qui les a détectés, avec la valeur masquée en tout ou en partie. Considérez comme exposé tout secret que Vauban signale : révoquez-le et remplacez-le.
Les Dockerfiles, les fichiers Terraform et la configuration de votre intégration continue sont analysés avec le code.
Les vulnérabilités connues de vos dépendances, chacune avec la version corrigée, l’indicateur d’exploitation avérée et la probabilité EPSS. L’atteignabilité indique si votre code atteint réellement une dépendance vulnérable. Les images que le dépôt construit et les images de base qu’il déclare sont également contrôlées.
Les composants regroupés par famille de licences, et votre décision enregistrée pour chaque licence qu’ils portent. Le SBOM s’exporte aux formats CycloneDX 1.6 et SPDX 2.3. L’identification d’une licence par Vauban ne constitue pas un avis juridique : la décision vous appartient.
Une note de sécurité de A à F pour chaque dépôt, un plan d’action, la comparaison avec l’analyse précédente et l’évolution dans le temps. Chaque dépôt suivi est analysé tous les jours, et ces analyses ne sont pas décomptées de votre quota. Les constats de performance et de protection des données personnelles sont également listés, en dehors de la note.
Lors des analyses complètes d’un dépôt, les faux positifs probables sont triés automatiquement. La décision d’une personne l’emporte sur ce tri, et les décisions et exceptions que votre équipe enregistre sont partagées par tous ceux qui justifient d’un accès au dépôt, et appliquées au contrôle des demandes de fusion.
L’IA explique chaque constat, et l’assistant répond à vos questions et propose une correction. Chaque utilisateur peut faire servir l’un et l’autre par son propre fournisseur d’IA, configuré dans Vauban.
Des dépôts sur GitHub, GitLab et Azure DevOps. Des jetons d’API pour votre intégration continue, un contrôle des demandes de fusion et des branches, et l’export SARIF vers les outils que vous utilisez déjà.
La formule Team
Tout ce que comprend la formule Solo, une revue de sécurité par des modèles d’IA, et davantage de marge chaque mois.
Des modèles d’IA recherchent les contournements d’authentification, les défauts d’autorisation, les failles de cloisonnement entre clients, l’injection de prompt, l’exécution de code à distance, l’évaluation dynamique non sûre et les failles cryptographiques. Chaque constat s’appuie sur un fichier cité et sur ses preuves. Dix revues par mois dans la formule Team.
500 analyses, 1 000 analyses de demandes de fusion et de branches et 300 explications par l’IA par mois, contre 100, 400 et 50 dans la formule Solo.
Phase pilote
Vauban est en phase pilote. La plupart de ses fonctionnalités sont disponibles. Voici celles qui le sont avec une limite, celle qui est à venir, et ce qui n’existe pas encore.
Les commandes shell des étapes d’une chaîne d’intégration continue sont contrôlées. Ses autres règles de bonne pratique ne sont pas encore signalées.
Disponible pour JavaScript et TypeScript, Python et Go.
Seules les images que le dépôt construit et les images de base qu’il déclare sont contrôlées.
Uniquement lors des analyses complètes d’un dépôt. La décision d’une personne l’emporte sur ce tri.
Le verdict est le code de sortie de l’étape d’intégration continue. Rien n’est publié dans la demande de fusion.
Développé, mais pas encore publié pour l’installation.
L’authentification unique (SSO) des utilisateurs de votre entreprise, la gestion d’une équipe et de ses utilisateurs, ainsi que les commentaires et les attributions sur les constats ne font pas encore partie de Vauban.
Formules et tarifs
Quatre formules, réservées aux professionnels et aux entreprises. Les prix s’entendent par mois et hors taxes. La souscription en ligne n’est pas encore ouverte : chaque formule commence donc par un échange avec notre équipe.
Solo
39 €HT par mois
Pour un développeur ou un consultant. Toutes les fonctionnalités de Vauban, sauf la revue agentique par l’IA.
Team
149 €HT par mois
Pour la personne qui veille sur le code d’une équipe : tout ce que comprend la formule Solo, des quotas plus élevés et la revue agentique par l’IA.
Business
À partir de 590 € HT par mois
Pour une entreprise qui a davantage de code et de personnes. Formule vendue uniquement sur devis, jamais en ligne.
Enterprise
Sur devis
Pour une entreprise dont les quotas, les utilisateurs et les conditions sont fixés dans un contrat qui lui est propre.
Les quotas sont mensuels et ne se reportent pas d’un mois sur l’autre. Aucun dépassement n’est facturé : lorsqu’une formule ne suffit plus, vous passez à la formule supérieure. Les analyses sont décomptées de la formule de la personne qui les lance, et une analyse lancée avec un jeton d’API, de celle de la personne qui a créé ce jeton.
Fonctionnement
Quatre étapes, et la quatrième s’exécute à chaque demande de fusion.
Ajoutez un dépôt GitHub, GitLab ou Azure DevOps avec un jeton d’accès. Donnez à ce jeton les droits les plus restreints que demandent les fonctionnalités que vous utilisez et, lorsque votre fournisseur le permet, une date d’expiration.
Démarrez-la depuis Vauban. Le code est lu dans un environnement isolé, supprimé à la fin de l’exécution, et chaque dépôt suivi est de nouveau analysé tous les jours.
Chaque dépôt reçoit une note de A à F et un plan d’action. L’IA explique chaque constat, la comparaison avec l’analyse précédente montre ce qui a changé, et les décisions de votre équipe sont reprises aux analyses suivantes.
Créez un jeton d’API dans Vauban et ajoutez à votre intégration continue l’étape que décrit son guide. Chaque demande de fusion ou branche est contrôlée au regard de vos décisions et exceptions, et le verdict est le code de sortie de cette étape.
Vauban ne publie rien dans vos demandes de fusion. Votre chaîne d’intégration continue lit le verdict, et les règles de vos branches décident si la fusion a lieu.
Conçu pour
Une personne et les dépôts dont elle s’occupe : une note, la liste de ce qu’il faut corriger en priorité, et un contrôle à chaque demande de fusion.
Une entreprise sans équipe de sécurité dédiée voit ce que son code expose et ce qu’il faut corriger en priorité, expliqué simplement.
Les décisions et exceptions enregistrées une seule fois s’appliquent à tous ceux qui justifient d’un accès au dépôt, ainsi qu’au contrôle dans l’intégration continue.
Pourquoi Vauban
Le nom vient de Vauban, l’ingénieur militaire de Louis XIV, qui fortifia les frontières de la France et dirigea nombre des sièges de son temps. Il savait où un rempart cède, parce qu’il en avait pris beaucoup. La sécurité applicative suit la même logique : on défend mieux un code en le lisant comme le lirait un attaquant.
Vauban s’adresse d’abord aux PME qui ont besoin de savoir ce que leur code expose, sans monter une équipe de sécurité pour le découvrir.
Ses constats aident votre équipe à décider ; ils ne constituent ni un audit ni une certification. Une analyse peut signaler un problème qui n’existe pas, ou passer à côté d’un problème réel : c’est pourquoi la décision revient toujours à une personne.
Votre propre code, vos dépendances, votre configuration et les secrets qui y traînent sont lus ensemble, pour qu’aucun point faible ne se cache derrière un autre.
Les faux positifs probables sont mis de côté, et chaque décision de votre équipe est reprise à l’analyse suivante comme au contrôle des demandes de fusion.
Vos données sont traitées dans l’Union européenne, et les modèles d’IA utilisés par défaut fonctionnent dans la zone de données de l’UE.
Ni votre code ni les résultats ne servent à entraîner des modèles d’IA. Les résultats, avec les extraits de code qu’ils citent, sont conservés tant que vous suivez le dépôt.
La souscription en ligne n’est pas encore ouverte. Rencontrez un expert : nous répondons à vos questions et vous ouvrons la formule qui vous convient.
Rencontrer un expert