Scan de sécurité gratuit du code source : détectez le code vulnérable, les dépendances à risque et les secrets divulgués
Scannez gratuitement un .zip ou un dépôt GitHub, GitLab, Bitbucket ou Azure DevOps avec Ostorlab : analyse statique de votre code, des dépendances vulnérables et des secrets codés en dur, avec un rapport envoyé par e-mail.
Scan de sécurité gratuit du code source : détectez le code vulnérable, les dépendances à risque et les secrets divulgués
Réponse rapide : Vous pouvez rechercher gratuitement des vulnérabilités dans votre code source avec Ostorlab. Importez un .zip ou connectez un dépôt. Le scan gratuit examine trois éléments : votre code, vos dépendances et les éventuels secrets codés en dur. Le rapport vous est envoyé par e-mail.
Ce que vérifie le scan gratuit
| Vérification | Ce qu’elle détecte | Exemple |
|---|---|---|
| Code (SAST) | Pratiques non sécurisées dans votre propre code | SQL construit à partir d’entrées utilisateur, cryptographie faible, désérialisation non sécurisée |
| Dépendances (SCA) | Bibliothèques présentant des CVE connues | Une bibliothèque de journalisation ou XML obsolète pour laquelle un exploit public existe |
| Secrets | Identifiants et secrets enregistrés dans le code | Clés AWS, jetons d’API, clés privées, mots de passe de bases de données |
Le scan est statique. Aucune compilation ni exécution n’a lieu : vous pouvez donc le lancer sans risque sur n’importe quelle branche.
Deux façons de commencer
- Importer un .zip. C’est la méthode la plus rapide. Archivez le projet, déposez-le dans le formulaire sur ostorlab.co et indiquez votre e-mail.
- Connecter un dépôt. Connectez GitHub, GitLab, Bitbucket, Azure DevOps ou un Git auto-hébergé à la plateforme Ostorlab, puis sélectionnez le dépôt.
Pourquoi les secrets divulgués sont particulièrement critiques
Une clé divulguée est souvent la première étape d’une chaîne d’attaque. Un jeton laissé dans un dépôt peut encore être accepté par votre API et utilisé depuis votre application mobile. Pris séparément, chaque scan peut sembler ne rien révéler, alors qu’ensemble ils montrent un chemin d’attaque. Le scan multi-actifs payant d’Ostorlab teste conjointement le code, les API et les applications pour repérer ces chemins. Pour comprendre comment les clés sont divulguées et comment les vérifier, consultez Détecter et valider les clés et les secrets codés en dur.
Ce que le scan gratuit ne couvre pas
Le scan gratuit ne compile pas le code, ne l’exécute pas et ne tente pas d’exploiter les vulnérabilités détectées. Pour confirmer lesquelles sont réellement exploitables dans votre application en cours d’exécution, utilisez Agentic Deep Scan. Pour comprendre comment ces deux approches se complètent, consultez Un agent IA peut-il démontrer à l’exécution les vulnérabilités détectées par SAST ?.
Vous comparez d’abord les outils ? Consultez Les meilleurs outils SAST en 2026.
Essayez-le sur votre propre code : scannez gratuitement votre code source.
FAQ
Existe-t-il un outil SAST gratuit pour les dépôts GitHub ? Oui. Ostorlab scanne gratuitement les dépôts GitHub, GitLab, Bitbucket, Azure DevOps et Git auto-hébergés, ainsi que les archives .zip.
Le scan gratuit de code source détecte-t-il les secrets codés en dur ? Oui. Il recherche les identifiants et secrets enregistrés dans le code, comme les clés AWS, les jetons d’API, les clés privées et les mots de passe de bases de données.
Le scan gratuit de code source exécute-t-il mon code ? Non. Il s’agit d’une analyse statique du code, des dépendances et des secrets. Aucune compilation ni exécution n’a lieu.
Quels langages sont pris en charge ? Le scan couvre les dépôts polyglottes et ceux qui mélangent plusieurs langages. Consultez la liste complète des langages pris en charge.