Securitatea codului
Vauban înseamnă securitatea aplicațiilor pentru codul IMM-urilor din Franța și din Europa. Citește repository-urile dumneavoastră de pe GitHub, GitLab și Azure DevOps, dă fiecăruia o notă de la A la F, îi scrie planul de acțiune și verifică fiecare pull request în CI. Vauban este în faza pilot.
Securitatea codului
Vauban citește codul repository-urilor pe care le conectați și arată ce este expus: vulnerabilitățile din propriul cod, secretele scurse, dependențele vulnerabile și configurațiile riscante. Pentru fiecare repository transformă constatările într-o notă de la A la F și într-un plan de acțiune, iar deciziile înregistrate de echipa dumneavoastră se aplică la scanările următoare și la verificarea fiecărui pull request.
O echipă mică știe ce expune codul ei și ce trebuie corectat mai întâi, păstrează controlul asupra fiecărei decizii și oprește o vulnerabilitate nouă la pull request, nu în producție.
În toate planurile
Solo și Team rulează aceleași analize la fiecare scanare. Planul Team adaugă revizuirea agentică cu AI și limite lunare mai mari.
Analiza statică a codului dumneavoastră (SAST) și secretele scurse, raportate după locul în care se află și după regula care le-a găsit, cu valoarea mascată integral sau parțial. Considerați expus orice secret raportat de Vauban: revocați-l și înlocuiți-l.
Fișierele Dockerfile, fișierele Terraform și configurația CI sunt analizate odată cu codul.
Vulnerabilitățile cunoscute din dependențele dumneavoastră, fiecare cu versiunea care o corectează, indicatorul de exploatare cunoscută și probabilitatea EPSS. Reachability arată dacă propriul cod ajunge efectiv la o dependență vulnerabilă. Sunt verificate și imaginile pe care le construiește repository-ul și imaginile de bază pe care le declară.
Componentele grupate pe familii de licențe și decizia dumneavoastră înregistrată pentru fiecare licență pe care o poartă. SBOM-ul se exportă în formatele CycloneDX 1.6 și SPDX 2.3. Identificarea unei licențe de către Vauban nu este o consultanță juridică: decizia vă aparține.
O notă de securitate de la A la F pentru fiecare repository, un plan de acțiune, comparația cu scanarea anterioară și evoluția în timp. Fiecare repository urmărit este scanat zilnic, iar aceste scanări nu se scad din cota dumneavoastră. Constatările de performanță și de confidențialitate sunt și ele listate, în afara notei.
La scanările complete ale unui repository, rezultatele probabil fals pozitive sunt triate automat. Decizia unei persoane are întâietate față de această triere, iar deciziile și excepțiile înregistrate de echipa dumneavoastră sunt comune tuturor celor care dovedesc accesul la repository și se aplică verificării pull request-urilor.
AI explică fiecare constatare, iar asistentul răspunde la întrebările dumneavoastră despre ea și propune o corecție. Fiecare utilizator poate folosi pentru amândouă propriul furnizor de AI, configurat în Vauban.
Repository-uri pe GitHub, GitLab și Azure DevOps. Token-uri API pentru CI, o verificare a pull request-urilor și a branch-urilor și export SARIF pentru instrumentele pe care le folosiți deja.
Planul Team
Tot ce include planul Solo, o revizuire de securitate făcută de modele AI și mai mult spațiu în fiecare lună.
Modele AI caută ocolirea autentificării, defectele de autorizare, izolarea defectuoasă între tenanți, prompt injection, execuția de cod la distanță, evaluarea nesigură și defectele de criptografie. Fiecare constatare se sprijină pe un fișier citat și pe dovezile lui. Zece revizuiri pe lună în planul Team.
500 de scanări, 1.000 de verificări de pull request și branch și 300 de explicații AI pe lună, față de 100, 400 și 50 în planul Solo.
Faza pilot
Vauban este în faza pilot. Majoritatea funcționalităților sale sunt disponibile. Iată-le pe cele disponibile cu o limită, pe cea care urmează și ce nu există încă.
Pașii shell ai unui pipeline sunt verificați. Celelalte reguli de igienă ale unui pipeline nu sunt încă raportate.
Funcționează pentru JavaScript și TypeScript, Python și Go.
Sunt verificate doar imaginile pe care le construiește repository-ul și imaginile de bază pe care le declară.
Doar la scanările complete ale unui repository. Decizia unei persoane are întâietate.
Verdictul este codul de ieșire al pasului CI. Nu se publică nimic în pull request.
Este construit, dar nu a fost încă publicat pentru instalare.
Autentificarea unică (SSO) pentru utilizatorii companiei dumneavoastră, gestionarea echipei și a utilizatorilor și comentariile sau atribuirile pe constatări nu fac încă parte din Vauban.
Planuri și prețuri
Patru planuri, exclusiv pentru profesioniști și companii. Prețurile sunt pe lună și nu includ TVA. Abonarea online nu este încă deschisă, așa că fiecare plan începe cu o discuție cu echipa noastră.
Solo
39 €pe lună, fără TVA
Pentru un dezvoltator sau un consultant. Toate funcționalitățile Vauban, cu excepția revizuirii agentice cu AI.
Team
149 €pe lună, fără TVA
Pentru persoana care are grijă de codul unei echipe: tot ce include planul Solo, limite mai mari și revizuirea agentică cu AI.
Business
De la 590 € pe lună, fără TVA
Pentru o companie cu mai mult cod și mai mulți oameni. Disponibil doar pe bază de ofertă, niciodată online.
Enterprise
Pe bază de ofertă
Pentru o companie ale cărei limite, utilizatori și condiții sunt stabilite într-un contract propriu.
Limitele sunt lunare și nu se reportează de la o lună la alta. Nu se facturează nimic peste limită: când un plan nu mai ajunge, treceți la planul următor. Scanările se scad din planul persoanei care le pornește, iar o scanare pornită cu un token API, din planul persoanei care a creat acel token.
Cum funcționează
Patru pași, iar al patrulea rulează la fiecare pull request.
Adăugați un repository de pe GitHub, GitLab sau Azure DevOps cu un token de acces. Dați token-ului cele mai restrânse drepturi de care au nevoie funcționalitățile pe care le folosiți și o dată de expirare, acolo unde furnizorul o permite.
Porniți scanarea din Vauban. Codul este citit într-un mediu izolat, șters la sfârșitul rulării, iar fiecare repository urmărit este scanat din nou în fiecare zi.
Fiecare repository primește o notă de la A la F și un plan de acțiune. AI explică fiecare constatare, comparația cu scanarea anterioară arată ce s-a schimbat, iar deciziile echipei dumneavoastră se păstrează la scanările următoare.
Creați un token API în Vauban și adăugați în CI pasul descris în ghidul său. Fiecare pull request sau branch este verificat în raport cu deciziile și excepțiile dumneavoastră, iar verdictul este codul de ieșire al acelui pas.
Vauban nu publică nimic în pull request-urile dumneavoastră. Pipeline-ul citește verdictul, iar regulile branch-urilor decid dacă merge-ul are loc.
Construit pentru
O persoană și repository-urile de care se ocupă: o notă, lista cu ce trebuie corectat mai întâi și o verificare la fiecare pull request.
O companie fără o echipă de securitate proprie vede ce expune codul ei și ce trebuie corectat mai întâi, explicat pe înțelesul tuturor.
Deciziile și excepțiile înregistrate o singură dată se aplică tuturor celor care dovedesc accesul la repository, precum și verificării din CI.
De ce Vauban
Numele vine de la Vauban, inginerul militar al lui Ludovic al XIV-lea, care a fortificat granițele Franței și a condus multe dintre asediile vremii sale. Știa unde cedează un zid, pentru că cucerise multe cetăți. Securitatea aplicațiilor funcționează la fel: codul se apără cel mai bine citindu-l așa cum l-ar citi un atacator.
Vauban este gândit în primul rând pentru IMM-urile care trebuie să știe ce expune codul lor, fără să își construiască o echipă de securitate ca să afle.
Constatările lui vă ajută echipa să decidă; nu sunt un audit și nici o certificare. O analiză poate raporta o problemă care nu există sau poate rata una care există, de aceea decizia rămâne întotdeauna la un om.
Propriul cod, dependențele, configurația și secretele rămase în ele sunt citite împreună, ca un punct slab să nu se ascundă în spatele altuia.
Rezultatele probabil fals pozitive sunt puse deoparte, iar fiecare decizie a echipei se păstrează la scanarea următoare și la verificarea pull request-urilor.
Datele dumneavoastră sunt procesate în UE, iar modelele AI implicite rulează în zona de date a UE.
Nici codul, nici rezultatele nu sunt folosite pentru antrenarea modelelor AI. Rezultatele, cu fragmentele de cod pe care le citează, se păstrează cât timp urmăriți repository-ul.
Abonarea online nu este încă deschisă. Întâlniți un expert: vă răspundem la întrebări și vă pregătim planul potrivit.
Întâlnește un expert