Code et flux de données
Injections, exécution de commandes, désérialisation non sécurisée, XSS, chemins et autres schémas vulnérables. Règles et suivi des données dans un fichier, avec emplacement et contexte pour examiner chaque résultat.
Code Security
Votre code avance. Votre sécurité aussi.
De votre éditeur à toute votre équipe. Identifiez les risques, comprenez leur impact et préparez des corrections assistées par l’IA sans interrompre votre travail.
DISPONIBLE DÈS MAINTENANT
ORYON CODE SECURITY
Détectez plus tôt. Décidez avec plus de contexte.
Code, dépendances et configuration réunis avec le contexte dont votre équipe a besoin pour corriger, examiner et avancer.
- Code
- Paquets
- Configuration
Oryon Code
- Constats contextualisés
- Modifications assistées par IA
- Historique et rapports
Tout ce qui entoure une ligne de code.
Du premier résultat au correctif. Une même analyse relie les risques du code, des paquets, des identifiants et de la configuration au travail de votre équipe.
Dépendances et mises à jour
Inventaire des paquets, vulnérabilités connues, identifiants CVE/GHSA et versions corrigées. Distingue les changements patch, minor et major et prépare des indications pour examiner la migration.
Secrets et infrastructure
Identifiants exposés et paramètres non sécurisés dans Terraform, Bicep, Kubernetes, Docker et les pipelines. Examinez les déclarations du dépôt avant leur mise en production.
Applications IA et MCP
Règles pour les schémas de prompt injection, les sorties de modèles menant à une exécution, les outils dangereux, les clés exposées et les permissions des agents. Examine aussi les configurations MCP, les hooks et les fichiers d'instructions.
Qualité et compatibilité
Schémas de correction, de maintenabilité, de performance et d'API obsolètes. Notes de compatibilité pour les cibles configurées et indications supplémentaires lorsqu'une dépendance change de version majeure.
Du contexte au changement
Explications et propositions de correctifs assistées par IA, exclusions partagées, brouillons d'issues et rapports. Votre équipe examine le changement et décide quand l'appliquer.
Langages et formats
La couverture dépend du langage, des règles et du profil. Les templates et la configuration peuvent utiliser des règles génériques ; l'analyse indique les limites et les résultats partiels.
- Code
- JavaScript / JSX · TypeScript / TSX · Python · Java · C# / .NET · Go · PHP · Ruby · Rust · Kotlin · Swift · Scala · C / C++ · Apex · Solidity · Bash · Elixir · Clojure · OCaml
- Templates
- Vue · ERB / RHTML · EJS · Handlebars / HBS · Mustache · Nunjucks / NJK · Pug / Jade · Jinja / Jinja2 / J2 · FreeMarker · Velocity · Liquid · Twig · JSP / JSPX · PHP / Blade · EEx / HEEx
- Configuration
- Terraform (AWS / Azure / GCP) · Azure Bicep · AWS JSON · Kubernetes · Dockerfile / Containerfile · Compose · GitHub Actions · GitLab CI · Azure Pipelines · Bitbucket Pipelines · CircleCI · CI / Jenkins · Argo · OpenAPI / Swagger · Nginx · Gradle · Visualforce
- Écosystèmes de paquets
- npm / Yarn / pnpm · Python / pip / Pipenv / Poetry / uv · Ruby / Bundler · PHP / Composer · Rust / Cargo · Go · JVM / Maven / Gradle / Leiningen · .NET / NuGet · Dart / Pub · Elixir / Mix
Ce qui est analysé. Par quel moteur.
OpenGrep et OSV assurent la détection. Les couches Oryon ajoutent contexte, compatibilité, assistance et vue partagée des résultats.
Des moteurs spécialisés. Une puissance partagée.
-
OpenGrep
-
OSV-Scanner
-
MDN
Oryon
Code, secrets et configuration
Détection locale dans les fichiers du projet.
-
OpenGrep + règles Oryon
- Analyse statique du code, des secrets, de l'infrastructure, des pipelines et de la sécurité IA/MCP. Associe des schémas au suivi des données dans chaque fichier. Les profils et exclusions adaptent le scan au dépôt.
Paquets et versions
De l'inventaire aux versions affectées et aux alternatives corrigées.
-
OSV-Scanner / OSV-Scalibr
- Étend l'inventaire des paquets et de leurs relations depuis le dépôt, y compris pour les projets Maven. Tenté automatiquement dans l'extension et la CI ; les analyseurs natifs prennent le relais s'il est indisponible.
-
Analyseurs Oryon + OSV API
- Extraient les paquets et versions et les comparent aux avis de sécurité OSV. Relient identifiants CVE/GHSA, gravité, descriptions et versions corrigées à une prochaine action concrète pour chaque résultat.
-
Analyse des mises à jour Oryon
- Classe les versions corrigées des avis en mises à jour patch, minor ou major. Signale les grands écarts de version et prépare les étapes de revue de migration, sans modifier automatiquement les fichiers de dépendances.
Contexte et décisions
Une aide pour comprendre, examiner et communiquer le travail à venir.
-
OpenAI · aide à la correction
- Explique les causes, le risque et l'impact et propose des changements, des diffs, un effort estimé et des vérifications. Disponible selon l'offre et la configuration ; l'utilisateur examine et applique la proposition dans l'éditeur.
-
Triage IA Oryon · double revue
- Facultatif et désactivé par défaut. Une première revue propose d'écarter les faux positifs et une seconde vérifie les preuves. Les résultats sont conservés en cas de doute ou d'échec. Utilise les modèles OpenAI.
-
MDN Browser Compat Data + catalogue Oryon
- Consulte la prise en charge de String.replaceAll par les navigateurs et fournit des notes de revue pour les API, runtimes, frameworks et outils selon les cibles configurées. Les vérifications sont propres à chaque règle.
-
Synthèse des rapports Pro · OpenAI
- Transforme les résultats enregistrés en priorités de direction, exposition métier et plan d'action dans le PDF Pro. Résume les preuves et les limites de l'évaluation ; ne lance pas de nouveau scan.
L'analyse statique s'exécute localement. Les inventaires et recherches de dépendances peuvent utiliser des services externes ; les fonctions IA envoient le contexte de code demandé au fournisseur configuré.
Oryon Dashboard
Une vision partagée. Des décisions plus claires.
Développement et sécurité travaillent avec le même contexte. Comparez les analyses, suivez les risques dans le temps et partagez les rapports d’audit depuis une seule plateforme.
0:00
La vidéo n’a pas pu être chargée. Rechargez la page pour réessayer.
Explorer la plateforme en détail
Traçabilité d'audit
Historique des scans, exclusions avec auteur et date et journaux des opérations API pour examiner l'activité du projet.
Accès à l'espace de travail
Flux Google, Magic Link et SSO associés à des rôles définis au niveau de l'entreprise.
Isolation multi-tenant
Les projets, scans et résultats restent cloisonnés par entreprise dès la conception.
API d'ingestion en masse
Créez des projets et des scans ou synchronisez les résultats et les données de dépendances depuis l'IDE ou le CI.
Éditeur, CI et plateforme. Un contexte partagé.
Un même flux pour la personne qui corrige le code, celle qui examine une livraison et celle qui suit les progrès de sécurité de l'équipe.
Dans l'éditeur
- Analyser pendant la modification ou à l’enregistrement, ou lancer un scan de fichier ou de dépôt ; configurer les profils et exclusions.
- Filtrer les résultats, ouvrir leurs emplacements et examiner la gravité, le contexte et les références CWE/OWASP lorsqu'elles sont fournies par la règle.
- Examiner les explications et propositions de correctifs IA et appliquer explicitement le changement.
- Marquer ou rétablir les faux positifs partagés ; exporter en JSON/CSV et préparer des issues GitHub ou GitLab.
- Lier le dépôt à un projet et changer d'organisation ou d'espace de travail.
À chaque livraison
- Exécuter le même cœur d’analyse depuis GitHub Actions et Azure Pipelines, avec OIDC et un jeton de projet.
- Publier les résultats JSON et un résumé Markdown ; exporter les résultats de code en SARIF.
- Configurer un seuil de gravité pour arrêter le pipeline lorsque votre équipe le décide ; il est désactivé par défaut.
- Réutiliser les exclusions du projet et contrôler l'envoi des résultats et l'usage de l'IA.
Pour toute l'équipe
- Organiser les projets et examiner les résultats par gravité, technologie et statut.
- Comparer les scans pour distinguer les résultats introduits, résolus et persistants, ainsi que les changements de gravité ou de version.
- Consulter l'historique, les faux positifs et les états de couverture complète, partielle, échouée ou non vérifiée.
- Télécharger les rapports d'audit PDF et les exports CSV des résultats de code et de dépendances.
- Gérer les invitations, les rôles d'administrateur, de manager, de développeur ou de lecteur et les options SSO/OIDC selon la configuration.
Dans les outils que vous utilisez déjà.
Éditeur, dépôt et plateforme connectés à votre travail.
VS CodeCursorAntigravityVSCodiumWindsurf
GitHub
GitLab
Chaque intégration à sa place.
Extension pour les éditeurs compatibles VS Code. GitHub et GitLab permettent d'ouvrir des brouillons d'issues avec le contexte du résultat.
GitHub Actions et Azure Pipelines exécutent l'analyse en CI. Docker, Kubernetes, Terraform et les autres fichiers de pipeline sont analysés comme éléments du dépôt.
