Audit de code et de chaîne logicielle
Retrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
Réponse courte
Audit de code : de quoi s’agit-il, pour qui, à quel prix ?
Revue de code orientée sécurité, couplée à l’analyse des dépendances, des secrets et de la chaîne de construction. Public concerné : éditeurs de logiciels avant une mise sur le marché ou un audit client. Durée indicative : 3 à 15 jours selon le volume de code. Prix d’entrée : à partir de 1 900 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Un test d’intrusion dit qu’un endpoint laisse passer un accès. Un audit de code dit pourquoi : parce que la vérification d’autorisation est un décorateur optionnel que trente endpoints ont oublié. Corriger l’un prend dix minutes ; corriger la cause évite les vingt-neuf suivants.
La revue combine l’analyse statique (pour la largeur) et une lecture humaine des zones sensibles : authentification, autorisation, manipulation de données, cryptographie, traitement des entrées, appels système.
La chaîne de construction est traitée au même niveau que le code. Une dépendance compromise, un secret dans l’historique Git, un pipeline qui accepte de déployer depuis n’importe quelle branche : ce sont des portes d’entrée à part entière, et souvent les moins surveillées.
Un cas récurrent : la logique d’autorisation copiée à plusieurs endroits. Quand la même règle est réécrite dans chaque contrôleur, un correctif appliqué à un seul laisse les autres intacts. La revue cherche ces duplications et propose de centraliser la vérification, afin que la règle ait un seul point d’application et un seul endroit à tester.
En résumé
- Durée indicative
- 3 à 15 jours selon le volume de code
- Prix
- à partir de 1 900 € HT
- Référentiels appliqués
- OWASP ASVSOWASP SAMMCWE Top 25SLSA (niveaux de référence)
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Audit de code : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Zones sensibles du code
Authentification, autorisation, gestion de session, accès aux données, cryptographie, validation des entrées, appels système et de processus.
Analyse statique outillée
Passes SAST sur l’ensemble du dépôt, puis tri humain : chaque alerte est confirmée ou écartée, le rapport ne contient pas de bruit.
Dépendances
Composants vulnérables atteignables, dépendances abandonnées, risque de confusion de paquets, licences à signaler.
Secrets
Recherche dans le code et dans tout l’historique Git : clés d’API, jetons, certificats, identifiants de base de données.
Chaîne de construction et de déploiement
Droits des pipelines, intégrité des artefacts, verrouillage des versions, règles de protection des branches, revue obligatoire.
Audit de code : que livre la mission ?
- Rapport par classe de défaut, avec les occurrences et la cause commune
- Correctifs proposés sous forme de diff ou de motif à appliquer
- Inventaire des secrets exposés, avec procédure de rotation
- Avis sur la chaîne de construction et les règles de dépôt
- Règles d’analyse statique à intégrer à votre intégration continue
Qu’est-ce que cela change pour vous ?
- Des classes de vulnérabilité supprimées à la source plutôt que corrigées une par une
- Une intégration continue qui refuse les régressions suivantes
- Des secrets exposés identifiés et mis en rotation
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Audit de code : pour qui est-ce utile ?
- Éditeurs de logiciels avant une mise sur le marché ou un audit client
- Projets avec une forte dette technique sur les parties sensibles
- Équipes qui veulent intégrer la sécurité au cycle de développement
- Produits manipulant paiements, santé, identité ou cryptographie
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Audit de code : combien de temps dure la mission ?
Durée indicative : 3 à 15 jours selon le volume de code. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (1 900 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Audit de code : ce qu’on nous demande
Devons-nous vous donner accès à notre dépôt ?
Soit un accès en lecture limité dans le temps, soit une archive du dépôt avec son historique. L’historique Git compte : c’est souvent là que dorment les secrets. Nous signons l’accord de confidentialité que vous souhaitez, et le code est détruit à la fin de la mission selon un délai écrit dans la convention.
Quels langages et frameworks couvrez-vous ?
TypeScript et JavaScript, Python, Go, Java et Kotlin, PHP, C#, Ruby, Rust, ainsi que l’infrastructure as code (Terraform, Kubernetes, Dockerfile). Pour un langage ou un cadre très spécifique, nous le disons au cadrage plutôt que de l’apprendre à vos frais.
L’audit de code est-il utile si nous avons déjà fait un test d’intrusion ?
Oui, car les deux missions voient des choses différentes. Le test d’intrusion n’observe que ce qui est atteignable de l’extérieur pendant sa durée : il peut passer à côté d’une branche de code rarement exécutée, d’une route désactivée par configuration mais présente, ou d’un défaut qui ne se déclenche qu’avec des données précises. La lecture du code les trouve sans avoir à deviner la bonne requête. À l’inverse, le test d’intrusion confirme ce qui est exploitable en production, ce que la lecture seule ne prouve pas. Les deux se complètent, et un rapport d’intrusion antérieur guide la revue vers les zones où des défauts ont déjà été démontrés.
Pour comprendre avant de décider
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- ArticleIDOR et BOLA : une faille coûteuse pour les plateformes SaaSPourquoi un simple identifiant modifiable figure en tête de l’OWASP API Security Top 10, pourquoi aucun scanner ne la trouve, et comment la supprimer par conception.
- ArticleAudit de sécurité informatique : déroulé, livrables et prixCe qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
- ArticleOWASP Top 10 : les dix risques expliqués pour décideurs et développeursLes dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
Quelles prestations s’y associent ?
Pentest web
Savoir ce qu’un attaquant obtiendrait sur votre application.
2 à 15 jours selon le périmètredès 1 490 €
Pentest API
Les API portent les données et moins de garde-fous que les interfaces.
2 à 10 joursdès 1 290 €
Audit cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
2 à 12 joursdès 1 290 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Audit de code » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse