Checkmarx : prix, réalité du SAST d'entreprise
et alternatives

Dans la version 2026.03 de ses conditions de licence, datée du 16 mars 2026, Checkmarx définit l'unité qu'il facture ainsi : "Contributing Developer means any Contributor who has made one or more commits to a private Repository scanned by the Software in the last ninety (90) days". Et le document précise ce qu'est un Contributor : "an AI agent, bot, or individual". Le bot de release et l'agent de code qui pousse des commits comptent donc comme des développeurs facturables, au même titre qu'un humain. Ce n'est pas une bizarrerie juridique : c'est l'éditeur qui prend acte de ce que l'écriture de code est devenue, et qui aligne son compteur dessus.

Voilà le genre de détail qui décide d'un budget et qu'aucune fiche produit ne met en avant. Il y en a d'autres, du périmètre exact de Checkmarx One au plafond de lignes de code enfoui dans les mêmes conditions de licence, en passant par le coût de réglage qu'on découvre trois mois après la signature et par les alternatives à Checkmarx qui tiennent selon le besoin. Toutes les affirmations sur le produit viennent de sources publiques de l'éditeur, datées au relevé du 16 août 2026. Checkmarx est un acteur sérieux de son segment ; l'enjeu ici est de savoir ce qu'on signe avant de le signer.

Checkmarx One, c'est quoi aujourd'hui

Le nom Checkmarx reste associé, dans beaucoup de têtes, au moteur SAST des années 2010 que l'on installait sur site. Ce n'est plus le produit qu'on vous vendra. Sur sa page plateforme, l'éditeur présente Checkmarx One comme une plateforme unifiée de tests de sécurité applicative pilotée par l'IA, organisée en familles de moteurs. Au relevé du 16 août 2026, le catalogue affiché comprend, côté code : NG SAST, détection de secrets, sécurité de l'infrastructure as code et sécurité des API. Côté chaîne d'approvisionnement : SCA, protection contre les paquets malveillants, sécurité des conteneurs et santé des dépôts. S'y ajoutent des briques dédiées à l'IA (inventaire des composants d'IA, scan de LLM), une brique DAST orientée IA, et une couche ASPM de gestion de la posture applicative qui corrèle tout ce petit monde.

La bascule est importante pour un acheteur. On n'achète plus un scanner, on achète un assemblage de moteurs dont chacun a son propre périmètre, sa propre qualité et sa propre courbe d'adoption. Le SAST reste le cœur historique et c'est encore ce qui fait venir la plupart des prospects ; le reste vient avec. Si les frontières entre ces familles d'outils sont floues, le pilier SAST, DAST, IAST et ce que l'IA change remet chaque catégorie à sa place, et le cas particulier du test en cours d'exécution est détaillé dans l'article consacré au DAST.

Sur sa page d'accueil, l'éditeur revendique 800 milliards de lignes de code analysées par mois, plus de 40 % du Fortune 500 en clients, un taux de vrais positifs supérieur de 11 % et un score F1 2,5 fois supérieur à la moyenne des outils SAST. Je cite ces chiffres pour ce qu'ils sont, des déclarations de l'éditeur relevées le 16 août 2026 : le protocole de mesure du F1 n'est pas exposé, et je n'ai aucun banc d'essai à leur opposer. Un chiffre de précision annoncé par un vendeur se vérifie sur votre code, pas sur son site.

Le prix de Checkmarx : sur devis, et rien d'autre

Autant l'écrire tout de suite : Checkmarx ne publie pas ses prix. Sa page packaging n'affiche aucun montant. Elle propose de composer soi-même son assemblage de moteurs, indique que le prix dépend "des développeurs, des applications et de l'usage", et se termine par un bouton "Get Your Custom Quote" avec la promesse qu'un expert rappelle sous un jour ouvré. Relevé le 16 août 2026. Il n'y a donc ni prix d'entrée, ni tarif par module, ni palier gratuit permanent qui permettrait de se faire une idée avant d'appeler.

Je ne vais pas combler ce vide par un ordre de grandeur "constaté sur le marché". Des sites de revente et de comparaison en publient ; ces montants ne viennent pas de l'éditeur, ne sont pas sourcés, et s'en servir comme ancre de négociation revient à négocier contre un chiffre inventé par un tiers. Ce qu'on peut dire honnêtement, c'est ce que la vente sur devis fait à l'acheteur, et ce n'est pas neutre.

• La comparaison devient coûteuse. Mettre trois outils en concurrence suppose trois cycles commerciaux, trois démonstrations et trois proposals. Face à un concurrent qui publie sa grille, le coût de l'évaluation est asymétrique, et ce n'est pas un hasard.
• Le budget se construit à l'envers. On ne peut pas dimensionner une enveloppe avant d'avoir un devis, donc le premier chiffre qui entre dans le dossier est celui du vendeur. C'est une position de négociation défavorable, qui se corrige en préparant ses propres compteurs avant le premier rendez-vous.
• Le périmètre est mouvant. Un assemblage modulaire signifie que le prix bouge à chaque moteur ajouté, et que la deuxième année ne ressemble pas à la première si l'on active le SCA ou la sécurité des API en cours de route.

Ce que l'éditeur publie en revanche, et qui est bien plus utile qu'un montant, ce sont ses conditions de licence. La version 2026.03 y fixe une limite d'usage au niveau du compte : 15 millions de lignes de code scannées sur les quatre-vingt-dix derniers jours, multipliées par le nombre de licences Contributing Developer achetées. Autrement dit, le nombre de développeurs achetés plafonne aussi le volume de code que vous avez le droit d'analyser. Une version antérieure du même document, datée du 19 février 2024, ajoutait des règles de scans concurrents adossées au même compteur, et précisait que l'identification d'un développeur se fait sur l'adresse e-mail configurée localement dans git. Ces documents évoluent, ce sont eux qu'il faut lire, et pas la brochure.

Un mot sur l'unité elle-même, parce qu'elle n'est pas propre à cet éditeur. Le développeur contributeur sur fenêtre glissante de quatre-vingt-dix jours est aussi le compteur de Snyk, avec une définition très proche et les mêmes effets de bord sur les prestataires et les comptes automatiques. La mécanique est décortiquée dans le guide d'achat consacré à Snyk, inutile de la refaire ici : retenez qu'elle est devenue un standard de l'AppSec commerciale, et qu'elle se prépare de la même façon partout.

La réalité d'un SAST d'entreprise, une fois installé

C'est la partie que les fiches produit passent sous silence, tous éditeurs confondus. Un SAST profond n'est pas un service que l'on branche, c'est un chantier qui a un propriétaire, un calendrier et un coût humain récurrent. Le plus honnête, sur ce terrain, est de citer l'éditeur lui-même.

Le périmètre du scan décide de la durée

Checkmarx organise ses analyses autour de presets, définis dans un billet de son blog technique du 22 novembre 2022 comme une "collection de requêtes de vulnérabilité qui définit le périmètre du scan". Le même billet prévient : "Incorrectly setting a scan's scope can cause scans to run long and inefficiently". Traduction opérationnelle : sur un gros dépôt, la durée de scan n'est pas une caractéristique du produit, c'est une conséquence de vos réglages. Un preset trop large sur un monorepo, et l'analyse ne rentre plus dans la fenêtre d'une pull request. Personne ne vous vendra un temps de scan garanti, et à raison : il dépend de votre code autant que du moteur.

Le tuning se budgète en jours-homme

Le même billet décrit un parcours d'onboarding en six étapes qui parle de lui-même : choisir un preset, lancer un premier scan, trier les résultats, modifier les requêtes en fonction de ce qu'on a vu, ajuster le preset, rescanner. Le langage de requête, CxQL, sert précisément à cela : l'éditeur explique qu'il permet aux équipes AppSec de personnaliser les requêtes "pour supprimer les faux positifs et les faux négatifs", et cite l'exemple d'un assainisseur maison non reconnu par la requête XSS livrée par défaut, qu'il faut déclarer à la main. La franchise du billet mérite d'être soulignée : sans cette qualité de résultats, écrit Checkmarx, la solution "runs the risk of becoming shelfware".

Combien de temps coûte ce travail ? L'éditeur répond lui-même, dans son billet du 15 janvier 2026 annonçant la disponibilité générale de son AI Query Builder. Écrire une requête personnalisée à la main, dit-il, "would take hours, even or days, assuming you actually have someone with the expertise available", et le modèle consistant à recruter des experts SAST maîtrisant le langage de requête "doesn't scale". Difficile d'être plus clair sur le coût humain du SAST d'entreprise. Le nouvel outil permet de générer ces requêtes en langage naturel, ce qui est une vraie réponse au problème ; mais la réponse existe parce que le problème existait, et il existe chez tous les concurrents de la même catégorie.

L'enjeu dépasse le confort. Un moteur qui remonte des centaines de constats non triés sur un parc applicatif produit exactement le mécanisme de fatigue d'alerte décrit dans le guide de la gestion des vulnérabilités : passé un certain volume, plus personne ne regarde le tableau de bord, et l'outil le mieux noté du marché ne vaut plus rien. En avant-vente, demandez donc combien de jours-homme sépareront la mise en service du jour où vos développeurs feront confiance aux résultats. C'est la seule réponse qui engage le vendeur.

Le build-breaker est une décision politique déguisée en réglage technique

Checkmarx documente une gestion de politiques avec option Break Build : on définit des règles, on active un interrupteur, et une violation bloque la pull request ou fait échouer le pipeline. Techniquement, c'est une case à cocher. Organisationnellement, c'est le moment où l'outil de sécurité acquiert le pouvoir d'arrêter une livraison, et où la première alerte contestée par une équipe pressée décidera de sa crédibilité pour les deux ans à venir. La séquence saine consiste à laisser le scanner tourner en observation le temps de faire baisser le bruit, puis à bloquer, et seulement sur les règles dont personne ne discute la pertinence. Le câblage complet, du hook au seuil de sévérité, est traité dans intégrer SAST et DAST dans sa CI/CD.

Ce que Checkmarx fait bien

L'éditeur ne s'est pas installé dans les grands comptes par accident, et un guide d'achat qui ne le dirait pas serait malhonnête. Trois forces se distinguent. La profondeur du moteur SAST d'abord, sur les familles techniques bien formalisées : le suivi de données non fiables de la source jusqu'au point d'exécution reste ce que l'analyse statique fait de mieux, et c'est là que se trouvent les injections SQL et leurs cousines. La personnalisation par CxQL ensuite : la capacité à réécrire une requête pour tenir compte d'un assainisseur maison est un vrai levier de précision, que peu d'outils offrent avec ce niveau de contrôle. La couverture de plateforme enfin : intégrations SCM et CI/CD, plugins IDE, corrélation ASPM entre moteurs, gouvernance multi-équipes. Pour une organisation qui doit rendre des comptes sur un parc de plusieurs centaines d'applications, cette dimension pèse plus lourd que la finesse d'une règle isolée.

Les alternatives à Checkmarx, déclencheur par déclencheur

Le mot alternative est trompeur ici. Checkmarx One est un assemblage de moteurs, et un assemblage ne se remplace pas d'un bloc : il se décompose. Tout part donc du déclencheur réel de la recherche, celui qui a fait ouvrir un onglet de comparaison un mardi matin. Dans la moitié des dossiers, on découvre qu'on s'apprêtait à payer sept moteurs pour en utiliser deux.

Semgrep, quand la maîtrise des règles prime

Semgrep prend le contre-pied du moteur profond et opaque : une règle ressemble au code qu'elle inspecte, on la lit en trente secondes, on la corrige soi-même, et le moteur open source tourne en local sans dépendance à un service distant. On y gagne la rapidité et la transparence, on y perd la profondeur d'analyse inter-procédurale des moteurs commerciaux les plus lourds sur les cas tordus. Pour une équipe qui veut commencer par dix règles maison qui correspondent à ses propres accidents passés, c'est le meilleur rapport effort sur résultat du marché.

SonarQube, quand la qualité de code prime

Si le vrai sujet est la maintenabilité, la dette et l'adhésion des développeurs, la comparaison avec Checkmarx est mal posée dès le départ. SonarQube vient de ce terrain-là, et son adoption par les équipes de développement est bien plus naturelle. Attention toutefois au malentendu classique : l'analyse de sécurité par flux de données, celle qui remonte vraiment une injection, vit dans les éditions payantes et non dans la Community. Les paliers, le modèle de facturation à la ligne de code et les limites sont détaillés dans le guide SonarQube prix et alternatives.

Snyk Code, sur l'angle développeur

Snyk aborde la sécurité applicative par le poste de travail : retour dans l'IDE, correctifs proposés, friction minimale. Son histoire est celle du SCA et des dépendances, le SAST étant arrivé ensuite, ce qui reste visible dans le produit. C'est un choix cohérent si votre priorité est que les développeurs se saisissent de l'outil sans passer par une équipe AppSec dédiée, et si votre exposition principale se situe du côté de la chaîne d'approvisionnement. La grille tarifaire et ses pièges sont détaillés dans le guide d'achat Snyk.

GitHub Advanced Security, quand l'écosystème a déjà tranché

Si le code, les pull requests, la CI et les tickets vivent tous sur GitHub, une bonne partie de l'argumentaire "plateforme unifiée" est déjà satisfaite par l'écosystème en place. CodeQL traite le code comme une base de données que l'on interroge, la remontée se fait dans l'onglet Security à côté du reste, et il n'y a ni nouvel outil à exploiter, ni nouveau modèle d'habilitations à maintenir. Cette absence de friction organisationnelle vaut souvent plus, sur deux ans, qu'un écart de couverture sur une famille de vulnérabilités.

Le premier palier, sans budget

Une organisation qui n'a encore aucune analyse statique n'a pas besoin d'un devis pour commencer. Les analyseurs open source par langage, un scanner de dépendances branché sur la base OSV, un scan d'images de conteneurs, et un pre-commit qui attrape les secrets couvrent déjà l'essentiel du volume évident. Ce que vous n'aurez pas : la corrélation entre moteurs, la gouvernance multi-équipes, les rapports de conformité et un interlocuteur contractuel. C'est exactement ce que vous achetez chez un éditeur du segment entreprise, et c'est précisément ce qui a de la valeur quand on doit rendre des comptes. Tant qu'on n'a pas ce besoin, on paie surtout un tableau de bord.

Où se situe own2pwn dans ce paysage

own2pwn développe un SAST augmenté par l'IA dont le pari tient en une ligne : ne remonter que ce qu'un attaquant peut atteindre depuis une entrée réelle. Il est en pré-lancement, en accès anticipé. Le mettre en face d'une plateforme installée depuis quinze ans dans des grands comptes serait un exercice de communication plus qu'une comparaison, et annoncer un pourcentage de bruit en moins que personne n'a mesuré serait précisément la promesse que ce guide vous invite à ne pas croire.

La brique livrable aujourd'hui est ailleurs : la plateforme de gestion de la surface d'attaque externe, qui cartographie ce que votre organisation laisse joignable depuis Internet. Elle ne dit rien du contenu de votre code et ne prétend pas le faire.

Reste la catégorie qu'aucun moteur de cette page ne sortira, quel que soit le montant du devis : la faille de logique, celle qui vit dans l'intention du code et pas dans sa syntaxe. Un analyseur cherche un motif ; un enchaînement métier détournable n'en a pas. On la trouve en lisant les sources et en attaquant l'application, ce qui est le travail d'un pentest web whitebox.

À retenir

• Checkmarx One est une plateforme, plus un scanner. SAST historique, plus secrets, IaC, sécurité des API, SCA, conteneurs et ASPM de corrélation. On achète un assemblage, donc un prix qui bouge à chaque moteur activé.
• Le prix est sur devis, sans exception. Aucun montant sur la page packaging au 16 août 2026, aucun palier gratuit permanent. Les chiffres publiés par des tiers ne viennent pas de l'éditeur et ne valent pas ancre de négociation.
• Les conditions de licence en disent plus que la brochure. Un Contributing Developer couvre "an AI agent, bot, or individual" ayant commité sur un dépôt privé scanné dans les 90 jours, et la version 2026.03 plafonne l'usage à 15 millions de lignes scannées sur 90 jours par licence achetée.
• Le tuning est le vrai poste de coût. L'éditeur écrit lui-même qu'écrire une requête personnalisée prend des heures ou des jours, à condition d'avoir l'expertise disponible, et qu'un SAST mal réglé finit en shelfware. Budgétez des jours-homme, pas seulement une licence.
• Le périmètre du scan décide de sa durée. Un preset mal cadré fait sortir l'analyse de la fenêtre d'une pull request ; aucun éditeur ne garantira un temps de scan sur votre code.
• Les alternatives se choisissent sur le déclencheur : Semgrep pour des règles maîtrisées, SonarQube quand la qualité prime, Snyk Code sur l'angle développeur, GitHub Advanced Security si tout vit déjà sur GitHub, et l'open source pour un premier palier.

Un devis de SAST se juge sur la dépense qui vient après lui : les jours de réglage, puis les jours de tri. Le SAST augmenté par l'IA d'own2pwn cherche à raccourcir le second poste, en accès anticipé et sans chiffre annoncé tant qu'il n'est pas mesuré. Pour arbitrer une licence, cadrer un pilote sur un dépôt réel ou faire relire une application par un humain, la page contact reste le chemin le plus court. Et pour replacer le SAST dans l'ensemble de l'outillage avant de signer quoi que ce soit, le pilier SAST, DAST, IAST et l'IA reste la meilleure porte d'entrée.

Questions fréquentes sur les prix Checkmarx