Sites et applications web
Parcours du site puis analyses passives et actives : fichiers sensibles exposés, en-têtes de sécurité, TLS, cookies, CORS, redirections ouvertes, injections SQL et XSS.
Détectez vos failles
avant de vous faire attaquer.
Lancez un audit sur votre site, votre infrastructure, votre code ou votre application mobile. Vous recevez des vulnérabilités priorisées et les étapes de correction — pas une liste brute à trier vous-même.
Trouver des vulnérabilités est facile.
Savoir lesquelles traiter, beaucoup moins.
Les scanners produisent du volume. La vraie difficulté commence après : hiérarchiser, corriger, et pouvoir démontrer que le risque baisse.
Aujourd’hui
- Un outil différent pour chaque surface à auditer
- Des rapports dans des formats qui ne se recoupent pas
- Des centaines de findings bruts, sans priorisation
- Aucune vision de l’évolution du risque dans le temps
Avec SecAudit
- Un seul endroit pour lancer et suivre vos audits
- Un rapport unifié, prêt à transmettre
- Findings triés par sévérité et score CVSS
- Score de risque suivi scan après scan
Du premier scan au rapport transmissible,
en trois étapes.
01
Déclarez votre cible
URL, adresse IP, dépôt Git ou fichier APK. SecAudit choisit le moteur d’analyse adapté — vous n’avez pas à savoir quel outil lancer.
02
Prouvez que la cible vous appartient
Un fichier de vérification doit être déposé à la racine du domaine avant tout scan distant. Sans cette preuve, rien ne démarre — c’est ce qui sépare un outil d’audit d’un outil d’attaque.
03
Traitez ce qui compte d’abord
Chaque vulnérabilité arrive avec sa sévérité, son score CVSS, la preuve technique et les étapes de correction. Exportable pour votre direction comme pour vos outils.
Quatre surfaces d'attaque, un seul endroit.
Chaque moteur produit ses résultats au même format : même échelle de sévérité, même scoring, même structure de remédiation.
Infrastructure et réseau
Reconnaissance WHOIS et DNS, énumération des sous-domaines, cartographie des ports ouverts, corrélation avec les CVE connues et audit TLS.
Code source
Analyse statique sans exécution, sur dépôt Git ou archive : règles Semgrep, secrets codés en dur et audit des dépendances déclarées.
Applications mobiles
Analyse d’un APK ou d’un IPA : permissions abusives, stockage non sécurisé, communications non chiffrées et configuration réseau.
Le même audit ne sert pas
à convaincre, à corriger et à facturer.
SecAudit restitue les mêmes résultats sous la forme attendue par chacun.
DSI et RSSI
Un score de risque suivi dans le temps et un rapport prêt à présenter. De quoi répondre à votre direction ou à un auditeur sans reconstruire un dossier à chaque fois.
Développeurs
Chaque vulnérabilité arrive avec sa preuve et ses étapes de correction. Vous corrigez sans avoir à devenir expert en sécurité.
Consultants
La reconnaissance et les vérifications systématiques sont automatisées. Vous gardez votre temps pour les tests à forte valeur ajoutée.
Ce que vous devez savoir avant de lancer un scan.
Puis-je scanner n’importe quel site ?
Non, et c’est volontaire. Pour un scan web ou réseau, vous devez prouver que la cible vous appartient en déposant un fichier de vérification à sa racine. Sans cette preuve, le scan ne démarre pas. Auditer un système sans autorisation est illégal — la plateforme est conçue pour ne pas le permettre.
Mon token d’accès Git est-il conservé ?
Non. Pour cloner un dépôt privé, le token est stocké de façon transitoire, utilisé pour le clonage, puis effacé. Il n’est jamais écrit en base de données ni réaffiché, et il est masqué dans les messages d’erreur.
Le scan peut-il perturber mon service ?
Les sondes actives (injection SQL, XSS, redirections ouvertes) envoient des requêtes construites et peuvent être désactivées scan par scan. Les analyses de code et mobile sont entièrement statiques : elles n’exécutent jamais votre application.
Combien de temps dure un scan ?
Cela dépend de la surface : nombre de pages à parcourir, de ports à sonder ou de volume de code. Le scan s’exécute en arrière-plan avec une progression en temps réel — vous n’avez pas à garder la page ouverte.
Que contient le rapport ?
Un résumé exécutif avec le score de risque et la répartition par sévérité, puis le détail de chaque finding : description, score CVSS, preuve technique et étapes de remédiation. Export PDF pour la transmission, JSON pour l’intégration outillée.
Que se passe-t-il si aucune faille n’est trouvée ?
Le rapport le documente explicitement, avec le périmètre réellement couvert : chemins testés, ports sondés, sous-domaines énumérés. Un audit sans finding n’a de valeur que si l’on sait ce qui a été vérifié.
Lancez votre premier audit aujourd'hui.
Créez un compte, déclarez une cible qui vous appartient, obtenez un rapport exploitable.