Audit de code : ce qu'il révèle avant une reprise, une levée de fonds ou un changement de prestataire

Ce qu'un audit de code regarde

Le code, ce sont les instructions écrites par les développeurs qui font fonctionner votre site ou votre application. Un audit le relit de bout en bout, à la recherche de ce qui coûte cher plus tard.

Les failles et les secrets exposés

Une faille est une erreur qui permet de détourner l'application : lire des données qu'on ne devrait pas voir, prendre la place d'un autre utilisateur. Les secrets exposés sont des mots de passe ou des clés d'accès (paiement, base de données, messagerie) laissés en clair dans le code. C'est une erreur fréquente, et une porte grande ouverte pour quiconque met la main sur le code.

Les dépendances vulnérables

Votre code s'appuie sur des briques écrites par d'autres, les dépendances. C'est normal et souhaitable. Mais quand l'une d'elles a une faille connue, votre application en hérite, même si votre propre code est irréprochable.

Le code inutile et les incohérences

Fonctions jamais utilisées, bibliothèques installées pour rien : ce poids mort rend chaque évolution plus longue et plus chère. Les incohérences, comme un appel à une fonction qui n'existe pas ou une documentation qui affirme autre chose que ce que fait le code, cachent souvent des bugs.

Avant une reprise

Que vous rachetiez une entreprise dont l'activité repose sur un logiciel, ou que vous repreniez une application existante, vous achetez aussi son code. Le vendeur le présente sous son meilleur jour ; l'audit vous en donne une image indépendante.

Vous savez alors si le code cache des failles, s'il dépend de briques abandonnées, et s'il sera facile ou coûteux à faire évoluer. Ce sont des éléments concrets pour discuter des conditions de la reprise, et un premier plan de travail pour le lendemain.

Avant une levée de fonds

Quand votre produit est un logiciel, les investisseurs peuvent poser des questions précises sur sa solidité et sa sécurité. Un état des lieux indépendant vous permet d'y répondre avec des faits plutôt qu'avec des promesses.

Mieux vaut découvrir vous-même un secret exposé ou une dépendance vulnérable que de l'apprendre de la bouche d'un investisseur. Vous avez le temps de corriger les points les plus visibles, et la synthèse du rapport se lit sans être technicien : vous pouvez la partager telle quelle avec vos associés.

Avant ou après un changement de prestataire

Vous quittez une agence ou un freelance pour un autre ? Le nouveau prestataire va découvrir le code au fil de l'eau, et chaque mauvaise surprise risque de devenir un débat : était-ce déjà comme ça ?

Un audit au moment de la passation fixe les choses : ce qui a été livré, ce qui reste à corriger, et les accès à retirer, comme les clés et les comptes de l'ancien prestataire. Le nouveau part d'une base claire, et vous avez un document de référence. L'audit est aussi utile quand vous avez simplement un doute sur la qualité de ce qui vous a été livré.

Comment se passe l'audit

• Vous nous donnez un accès en lecture à votre code : GitHub, GitLab, Bitbucket, ou une archive.
• Votre code est installé et testé dans un environnement isolé, coupé du réseau une fois l'installation faite, puis détruit à la fin de l'audit. Rien ne s'exécute sur vos serveurs.
• Des outils d'analyse automatisée font le gros du travail ; chaque résultat est vérifié par un expert.
• Vous recevez sous 10 jours ouvrés, après réception des accès, un rapport en deux parties : une synthèse pour la direction et une partie technique pour vos développeurs, avec la correction proposée pour chaque problème.
• Nous vous présentons le rapport de vive voix, en 30 minutes, à vous comme à votre équipe.
• En option, nous préparons les corrections sur une branche séparée, une copie de travail de votre code. Votre équipe les relit et n'accepte que ce qu'elle veut.
• À la fin, vous retirez nos accès et nous supprimons notre copie de votre code.

Tous les détails sont sur notre page Audit de code.

Vos questions