Aller au contenu du rapport de sécurité

Rapports de sécurité open source

Vous avez trouvé un outil sur GitHub ?
Vérifiez-le avant de l’installer.

Voyez ce que l’analyse de sécurité Plexicus a signalé dans des projets open source populaires, des secrets exposés au code risqué, et ce qui mérite encore un examen. Gratuit, sans inscription.

Trouver un projet Comment vérifier n’importe quel dépôt

Nous montrons ce qu’une analyse a trouvé et ce qu’elle n’a pas vérifié. Aucune analyse ne peut garantir qu’un projet est sûr.

Projets listés
39
Avec résultats d’analyse
39
En attente d’analyse
0

Comment ça marche

Trois étapes avant d’installer

  1. Cherchez le projet

    Recherchez par nom de projet ou de propriétaire.

  2. Voyez ce que l’analyse a signalé

    Les alertes par type et par gravité issues de la dernière analyse Plexicus.

  3. Décidez comment l’utiliser

    Des étapes concrètes, et ce que l’analyse n’a pas couvert.

Rapports de sécurité

Cherchez un projet

Les projets avec résultats d’analyse apparaissent en premier.

Les étoiles indiquent la popularité, pas la sécurité. Les résultats peuvent inclure des alertes issues d’analyses précédentes du même dépôt.

Pas dans la liste ?

Analysez vous-même n’importe quel dépôt GitHub avec l’outil SAST gratuit de Plexicus.

Analyser un dépôt gratuitement

Liste de contrôle

Comment savoir si un dépôt GitHub est sûr

Les étoiles montrent qu’un projet est populaire, pas qu’il est sûr. Passez en revue ces points avant d’installer quoi que ce soit depuis GitHub.

  1. Vérifiez qui le maintient

    Cherchez des mainteneurs actifs, des commits récents et des réponses rapides aux issues. Un projet abandonné ne recevra pas de correctifs de sécurité.

  2. Lisez les issues et les avis de sécurité

    Les onglets Issues et Security montrent les vulnérabilités signalées et la rapidité avec laquelle elles ont été corrigées.

  3. Cherchez les secrets exposés

    Des clés d’API ou des mots de passe dans le code en disent long sur la façon dont tout le projet traite la sécurité.

    Inclus dans les rapports Plexicus

  4. Analysez le code à la recherche de schémas risqués

    L’analyse statique repère les injections, les accès non sécurisés aux fichiers, la cryptographie faible et d’autres failles avant que vous exécutiez quoi que ce soit.

    Inclus dans les rapports Plexicus

  5. Vérifiez ses dépendances

    Repérez dans la liste des dépendances les paquets aux vulnérabilités connues et les noms trompeurs qui imitent d’autres paquets (typosquatting).

  6. Limitez les autorisations que vous accordez

    Les agents d’IA et les serveurs MCP demandent souvent l’accès à vos fichiers, votre shell, vos e-mails ou vos jetons. N’accordez que ce dont la tâche a besoin.

  7. Essayez-le d’abord en isolation

    Exécutez les nouveaux outils dans un conteneur ou une machine virtuelle avec des identifiants jetables, et fixez une version précise.

FAQ

Questions sur la sécurité open source

Comment savoir si un dépôt GitHub est sûr ?

Aucune vérification ne le prouve à elle seule. Regardez qui le maintient, lisez ses issues et ses avis de sécurité, analysez le code à la recherche de secrets et de schémas risqués, et essayez-le d’abord en isolation. Les rapports Plexicus couvrent la partie analyse pour les projets populaires.

Un dépôt populaire avec beaucoup d’étoiles est-il sûr ?

Non. Les étoiles mesurent la popularité. Les projets populaires peuvent aussi contenir des secrets exposés, du code vulnérable ou des paramètres par défaut risqués.

Que montre un rapport de sécurité Plexicus ?

Chaque rapport montre les alertes automatiques des analyses Plexicus, regroupées par type (par exemple secrets ou sécurité du code) et par gravité, ainsi que les vérifications effectuées. Les alertes sont des pistes à examiner, pas des vulnérabilités confirmées.

Zéro alerte signifie-t-il qu’un projet est sûr ?

Non. Cela signifie que les vérifications effectuées n’ont rien signalé. Les zones que l’analyse n’a pas couvertes, et le code ajouté ensuite, peuvent changer la donne.

Je maintiens un projet listé. Comment faire corriger un rapport ?

Ouvrez le rapport de votre projet et utilisez le lien de correction pour envoyer le commit concerné ou une preuve du correctif. Plexicus examine la demande et peut programmer une nouvelle analyse.

Pouvez-vous analyser un dépôt qui n’est pas listé ?

Oui. Utilisez l’outil SAST gratuit de Plexicus pour analyser n’importe quel dépôt GitHub auquel vous avez accès.

Votre propre code

Analysez votre dépôt
gratuitement.

Connectez GitHub et voyez ce que Plexicus signale dans votre propre code.

Analysez votre dépôt gratuitement
Qualification

Vérifiez si l'AI Swarm Pentest convient à votre environnement.

Partagez le contexte minimum. Nous vérifierons le périmètre et indiquerons la prochaine étape commerciale.

Avant d'envoyer — vérifiez que vous correspondez

0 / 280

Sans engagement. Si vous ne correspondez pas, nous vous le dirons.
SAMPLE HANDOVER · ILLUSTRATIVE

Sample evidence handover

A trimmed view of what your team receives at the end of an AI Swarm Pentest engagement. Real engagements include full technical evidence, executive narrative, and a remediation plan.

VALIDATED FINDING Evidence attached

Server-Side Request Forgery in webhooks/receiver

demo-project/sample-app · src/webhooks/receiver.py:42

SeverityHigh CVSS 3.18.6 Priority79 Confirmedvia replay

Untrusted caller-supplied URLs reach an internal egress without an allowlist. Replayed in a sandbox against a fresh authorized target — the same control was validated to fail twice.

REVIEWER-READY REMEDIATION Merge-ready PR

Validate the target URL against an allowlist of permitted hostnames. Reject private/internal IP ranges. Enforce HTTPS only.

plexicus/remediation/webhooks-ssrf 3 changed · 0 new files
42resp = requests.get(target_url)
42+if not is_allowed_host(target_url):
43+  raise WebhookRejected(target_url)
44+resp = requests.get(target_url, timeout=5)
Every engagement hands over:
  • Executive briefing
  • Validated findings list
  • Merge-ready PRs
  • Compliance mapping (NIS2 · DORA · CRA)
 Tour privé Pour les investisseurs