Code généré par Codex : vérifier la sécurité automatiquement
Codex travaille en tâche de fond et propose des modifications complètes, prêtes à fusionner. Plus les changements sont gros, moins ils sont relus en détail. C’est là que se glissent les failles : une entrée non validée, une dépendance ajoutée, un secret de test oublié.
Avec l’analyse à chaque push, Citadel relit automatiquement chaque branche principale mise à jour et vous prévient dès qu’une faille apparaît, avec la correction à appliquer.
Dix analyses offertes chaque mois, sans carte bancaire. Premier rapport en quelques minutes.
Analyser mon application gratuitementLes failles les plus fréquentes
Entrées utilisateur non validées
Chemins de fichiers, requêtes, commandes construits à partir de la requête : injections et traversée de répertoires.
Secrets de test oubliés
Clés et jetons utilisés pendant le développement qui restent dans le code ou la configuration.
JWT et sessions mal configurés
Jeton vérifié sans liste d’algorithmes, secret faible, cookies sans protection : l’authentification devient contournable.
Dépendances vulnérables
Paquets npm ou Composer touchés par une CVE ou un avis de sécurité publié.
Ce que Citadel vérifie (24 contrôles actifs)
Analyse du code, des dépendances et des secrets selon OWASP et CWE. Chaque faille arrive avec son explication et le prompt de correction à coller dans votre assistant.
- Version de Next.js vulnérable au contournement du middleware (CVE-2025-29927) A06 · CVE
- Secret exposé dans une variable NEXT_PUBLIC_ CWE-200 · A02
- dangerouslySetInnerHTML alimenté par une donnée externe CWE-79 · A03
- Redirection construite à partir des paramètres de l’URL CWE-601 · A01
- images.remotePatterns ouvert à tous les domaines CWE-918 · A10
- Source maps publiées en production CWE-540 · A05
- child_process.exec ou spawn avec une entrée utilisateur CWE-78 · A03
- eval, new Function ou vm sur des données externes CWE-95 · A03
- Chemin de fichier construit depuis la requête (path traversal) CWE-22 · A01
- JWT vérifié sans liste d’algorithmes ou avec un secret faible CWE-347 · API2
- Cookies de session sans HttpOnly, Secure ou SameSite CWE-1004 · CWE-614
- CORS : origine * combinée aux cookies d’authentification CWE-942 · A05
- Secrets dans le code et les fichiers de configuration (plus de 100 types de clés) CWE-798 · A07
- Dépendances npm et Composer avec CVE ou avis GHSA publiés A06 · CVSS
- Mots de passe hachés en MD5, SHA-1 ou sans sel CWE-916 · A02
- L’adresse http:// redirige vers https:// CWE-319 · A02
- HSTS présent et de durée suffisante CWE-319 · A05
- Politique CSP présente, sans unsafe-inline ni unsafe-eval CWE-693 · A05
- Protection contre l’intégration dans une autre page (clickjacking) CWE-1021 · A05
- Cookies Secure, HttpOnly et SameSite CWE-614 · CWE-1004
- CORS ouvert à tous les sites avec les cookies CWE-942 · A05
- En-têtes nosniff et Referrer-Policy, version du serveur masquée CWE-693 · CWE-200
- Formulaires envoyés en clair, ou mot de passe passé dans l’adresse CWE-319 · CWE-598
- Formulaires sans jeton anti-CSRF, ou envoyés à un autre domaine CWE-352 · CWE-201
Questions fréquentes
Mon code est-il conservé ?
Non. Il est analysé dans un conteneur isolé, sans accès à Internet, puis supprimé dès la fin de l’analyse. Seuls les résultats sont conservés, secrets masqués.
Combien ça coûte ?
L’offre Gratuite comprend dix analyses par mois, sans carte bancaire. Les offres payantes ajoutent Citadel IA, l’analyse à chaque push et le travail en équipe.
Les autres guides
Sécurité du vibe coding : la checklist avant de mettre votre app en ligne