Segurança de código
Vauban é segurança de aplicação para o código de pequenas e médias empresas na França e na Europa. Ele lê seu repositories no GitHub, GitLab e Azure DevOps, avalia cada um de A a F, escreve seu plano de ação e verifica cada solicitação pull em seu CI. Vauban está em fase piloto.
Segurança de código
Vauban lê o código do repositories que você conecta e mostra o que está exposto: falhas em seu próprio código, segredos vazados, dependências vulneráveis e configuração arriscada. Para cada repository ele transforma as descobertas em uma nota de A a F e um plano de ação, e as decisões que sua equipe registra se aplicam às próximas varreduras e à verificação de cada solicitação pull.
Uma equipe pequena sabe o que seu código expõe e o que corrigir primeiro, mantém o controle de cada decisão e detecta uma nova falha na solicitação pull, e não na produção.
Em cada plano
Solo e Team executam as mesmas análises em cada varredura. O plano de equipe adiciona a revisão de IA da agência e quotas superiores.
Análise estática do seu código (SAST) e segredos vazados relatados por onde estão e pela regra que os encontrou, com o valor mascarado total ou parcialmente. Trate quaisquer relatórios secretos Vauban como expostos: revogue-os e substitua-os.
Dockerfiles, arquivos Terraform e a configuração do seu CI são analisados com o código.
Vulnerabilidades conhecidas em suas dependências, cada uma com a versão corrigida, o marcador explorado conhecido e a probabilidade EPSS. A acessibilidade mostra se o seu código realmente atinge uma dependência vulnerável. As imagens que repository constrói e as imagens base que ele declara também são verificadas.
Componentes agrupados por família de licenças e sua decisão registrada em cada licença que eles possuem. O SBOM exporta em CycloneDX 1.6 e SPDX 2.3. Uma licença identificada por Vauban não é um aconselhamento jurídico: a decisão é sua.
Uma nota de segurança de A a F para cada repository, um plano de ação, a comparação com a verificação anterior e tendências ao longo do tempo. Cada repository que você segue é verificado todos os dias e essas verificações não contam para o seu quota. As descobertas de desempenho e privacidade também são listadas, fora da nota.
Nas verificações completas do repository, prováveis falsos positivos são resolvidos automaticamente. A decisão de uma pessoa supera a triagem, e as decisões e exceções que sua equipe registra são compartilhadas por todos que comprovam acesso ao repository e aplicadas à verificação de pull-request.
A IA explica cada descoberta e o assistente responde às suas perguntas e sugere uma solução. Cada usuário pode ter ambos atendidos por seu próprio provedor de IA, configurado em Vauban.
Repositórios no GitHub, GitLab e Azure DevOps. API tokens para seu CI, verificação de pull requests e ramificações e exportação SARIF para as ferramentas que você já usa.
O plano da equipe
Tudo no plano Solo, uma revisão de segurança por modelos de IA e mais espaço a cada mês.
Os modelos de IA procuram desvio de autenticação, falhas de autorização, isolamento quebrado de locatário, injeção prompt, execução remota de código, avaliação insegura e falhas de criptografia. Cada descoberta é apoiada por um arquivo citado e suas evidências. Dez avaliações por mês no plano Equipe.
500 scans, 1.000 pull-request e branch checks e 300 explicações de IA por mês, contra 100, 400 e 50 no plano Solo.
Estágio piloto
Vauban está em fase piloto. A maioria de seus recursos está ativa. São os que vivem com limite, o que está chegando e o que ainda não chegou.
As etapas do shell de pipeline são verificadas. As demais regras de higiene de um pipeline ainda não foram informadas.
Disponível para JavaScript e TypeScript, Python e Go.
Somente as imagens que repository constrói e as imagens base que ele declara são verificadas.
Somente em varreduras completas do repository. A decisão de uma pessoa é superior a ela.
O veredicto é o código de saída da etapa de CI. Nada é postado na solicitação pull.
Construído e ainda não publicado para instalação.
O logon único para os usuários da sua empresa, o gerenciamento de equipes e usuários e os comentários ou atribuições sobre as descobertas não fazem parte do Vauban hoje.
Planos e preços
Quatro planos, apenas para profissionais e empresas. Os preços são por mês e não incluem IVA. A assinatura online ainda não está aberta, então todo plano começa com uma conversa com nossa equipe.
Solo
€39por mês, sem IVA
Para um desenvolvedor ou consultor. Todos os recursos do Vauban, exceto a revisão de IA da agência.
Team
€149por mês, sem IVA
Para quem cuida do código de uma equipe: tudo no plano Solo, quotas superiores e revisão de IA agente.
Business
A partir de 590€ por mês, sem IVA
Para uma empresa com mais código e mais gente. Vendido apenas sob cotação, nunca online.
Enterprise
Na cotação
Para uma empresa cujos quotas, usuários e termos estão definidos em contrato próprio.
As cotas são mensais e não transitam. Nada é cobrado além de um quota: quando um plano acaba, você passa para o próximo. As varreduras contam em relação ao plano da pessoa que as inicia, e uma varredura iniciada com uma API token em relação ao plano da pessoa que criou esse token.
Como funciona
Quatro etapas, e a quarta é executada em cada solicitação pull.
Adicione um repository do GitHub, GitLab ou Azure DevOps com um acesso token. Dê ao token os direitos mais restritos necessários aos recursos que você usa e uma data de validade onde seu provedor permitir.
Inicie uma varredura em Vauban. O código é lido em um ambiente isolado que é excluído no final da execução, e cada repository que você segue é verificado novamente a cada dia.
Cada repository recebe uma nota de A a F e um plano de ação. A IA explica cada descoberta, a comparação com a verificação anterior mostra o que mudou e as decisões da sua equipe são transferidas para as próximas verificações.
Crie uma API token em Vauban e adicione a etapa de CI que seu guia descreve. Cada pull request ou branch é verificado em relação às suas decisões e exceções, e o veredicto é o código de saída dessa etapa.
Vauban não publica nada em suas solicitações pull. Seu pipeline lê o veredicto e as regras da sua filial decidem se a fusão será realizada.
Construído para
Uma pessoa e o repositories que eles cuidam: uma nota, a lista do que corrigir primeiro e uma verificação em cada pull request.
Uma empresa sem uma equipe de segurança própria vê o que seu código expõe e o que corrigir primeiro, explicado em palavras simples.
As decisões e exceções registradas uma vez aplicam-se a todos que comprovarem acesso ao repository, e à verificação no IC.
Por que Vauban
Nomeado em homenagem a Vauban, o engenheiro militar de Luís XIV, que fortificou as fronteiras da França e liderou muitos dos cercos de seu tempo. Ele sabia onde uma parede cede porque já havia derrubado muitas. A segurança de aplicativos funciona da mesma maneira: o código é melhor defendido lendo-o da mesma forma que um invasor faria.
Vauban foi escrito primeiro para pequenas e médias empresas que precisam saber o que seu código expõe sem criar uma equipe de segurança para descobrir.
Suas descobertas ajudam sua equipe a decidir; eles não são uma auditoria ou uma certificação. Uma análise pode relatar um problema que não existe, ou ignorar um que existe, e é por isso que a decisão sempre fica com a pessoa.
Seu próprio código, suas dependências, sua configuração e os segredos neles deixados são lidos juntos, para que um ponto fraco não se esconda atrás de outro.
Os prováveis falsos positivos são deixados de lado e cada decisão tomada por sua equipe é transferida para a próxima varredura e para a verificação de solicitação pull.
Os seus dados são processados na UE e os modelos de IA padrão são executados na zona de dados da UE.
Nem o seu código nem os resultados são usados para treinar modelos de IA. Os resultados, com os trechos de código citados, são mantidos enquanto você segue o repository.
A assinatura online ainda não está aberta. Conheça um especialista: respondemos às suas dúvidas e configuramos o plano adequado.
Conheça um especialista