Aller au contenu principal
own2pwn
Toutes les catégories

DevSecOps

La sécurité dans le cycle de développement, vue à travers des scanners qu'on a fait tourner sur les mêmes cibles plutôt qu'à travers leurs fiches commerciales. Le comparatif SAST, DAST et IAST pose les différences entre les approches, et l'article sur la CI/CD montre ensuite où les brancher et combien de bruit attendre. Le threat modeling se lit avant d'écrire le code, le SBOM après, et les guides sur Snyk, Checkmarx et SonarQube au moment d'acheter.

10 articles
Revue de code sécurité : le meilleur SAST du banc signale 38 % des cas sains
Appsec·15 min

Revue de code sécurité : le meilleur SAST du banc signale 38 % des cas sains

J'ai passé sept configurations SAST sur les 2 740 cas de l'OWASP Benchmark. CodeQL trouve les 1 415 failles, mais signale aussi 207 requêtes SQL sûres sur 232. Ce qui reste à relire à la main.

MMaxime J
Checkmarx : prix, réalité du SAST d'entreprise et alternatives
Appsec·17 min

Checkmarx : prix, réalité du SAST d'entreprise et alternatives

Checkmarx prix relevés le 7 octobre 2026 : cinq offres, toutes sur devis, quand 5 concurrents AppSec sur 11 publient un prix complet. La licence, le coût de tuning, les alternatives.

MMaxime J
Snyk : prix, unité de facturation et alternatives (guide d'achat)
Appsec·17 min

Snyk : prix, unité de facturation et alternatives (guide d'achat)

Snyk prix relevés le 7 octobre 2026 : Ignite a disparu, Team démarre à 25 $ sans unité écrite, Enterprise se vend en crédits. Le compteur, le tri, et les alternatives chiffrées.

MMaxime J
SonarQube : prix, limites et alternatives pour l'analyse de code
Appsec·14 min

SonarQube : prix, limites et alternatives pour l'analyse de code

SonarQube prix relevés le 7 octobre 2026 : Cloud Team dès 34 $ par mois, gratuit jusqu'à 50 000 lignes privées, Server sans montant affiché. Éditions, limites et alternatives.

MMaxime J
Threat modeling : anticiper les attaques avant d'écrire une ligne de code
Appsec·13 min

Threat modeling : anticiper les attaques avant d'écrire une ligne de code

Le threat modeling, ou modélisation des menaces, consiste à débusquer les attaques dès la conception. Méthodes STRIDE, DREAD, PASTA, attack trees, et la pratique concrète.

MMaxime J
SBOM (Software Bill of Materials) : quatre générateurs, quatre inventaires de la même image
Appsec·14 min

SBOM (Software Bill of Materials) : quatre générateurs, quatre inventaires de la même image

SBOM (Software Bill of Materials) : syft, trivy, osv-scanner et cdxgen sur quatre images Docker. Des totaux proches, mais sur WebGoat 220 composants sur 438 vus par les quatre.

MMaxime J
DAST : ce que cinq scanners prouvent vraiment sur une même application
Appsec·14 min

DAST : ce que cinq scanners prouvent vraiment sur une même application

Le DAST attaque une application qui tourne, sans lire son code. Cinq scanners en sept configurations, notés par l'application : 12 failles prouvées sur 27 au mieux.

MMaxime J
SAST vs DAST vs IAST : comparatif, sept configurations SAST mesurées, et ce que l'IA change
Featured
Appsec·13 min

SAST vs DAST vs IAST : comparatif, sept configurations SAST mesurées, et ce que l'IA change

SAST, DAST, IAST : trois façons de chasser les failles, trois angles morts. Sept configurations SAST mesurées sur 2 740 cas (CodeQL 62,0 de Youden, SonarQube Community 31,4), et ce que l'IA change au tri.

MMaxime J
Pentest automatisé : ce que les outils prouvent vraiment, sur deux de nos bancs
Appsec·15 min

Pentest automatisé : ce que les outils prouvent vraiment, sur deux de nos bancs

Deux bancs, même règle pour tous, notre moteur compris : Juice Shop en septembre, puis une application qui note elle-même les exploitations, où notre moteur finit derrière ZAP et Wapiti.

MMaxime J
DevSecOps : intégrer SAST et DAST dans sa CI/CD, et le bruit mesuré d'un SAST
Appsec·11 min

DevSecOps : intégrer SAST et DAST dans sa CI/CD, et le bruit mesuré d'un SAST

Où placer le SAST et le DAST, brancher SARIF sur GitHub et GitLab, et régler un security gate. Mesuré sur 2 740 cas : même le meilleur SAST signale 38 % des cas sains, et le pack de règles pèse 18,2 points.

MMaxime J
EASM29Pentest25Conformité20NIS213Fuite de données7Vulnerability Management7