Kasandro, contrôles de sécurité : ce qui tourne à chaque changement
Chaque changement du code de Kasandro passe par des contrôles de sécurité automatiques, et les nouveaux résultats arrêtent le build : une faille dans les dépendances, un secret divulgué, un motif de code risqué, une alerte sur le site construit. Cet article les liste et donne les résultats de leurs premiers passages le 13 octobre 2026. La connexion bancaire de Kasandro n’est pas encore ouverte ; les contrôles couvrent le code et le site public qui existent aujourd’hui.
Les contrôles à chaque changement
| Contrôle | Ce qu’il regarde | Nouveaux résultats |
|---|---|---|
| npm audit (niveau critique) | failles connues dans les dépendances | arrêtent le build |
| gitleaks | clés et mots de passe dans le code | arrêtent le build |
| Semgrep SAST | motifs de code risqués, jeu de règles ouvert | arrêtent le build |
| TruffleHog | secrets réellement valides dans tout l’historique git (vérifiés auprès de l’émetteur) | arrêtent le build |
| OWASP ZAP baseline | le site construit, en passif : en-têtes, cookies, bibliothèques | arrêtent le build |
| OSV-Scanner | dépendances face à une base de vulnérabilités (à chaque changement et chaque semaine) | arrêtent le build |
| Dependabot | dépendances et GitHub Actions obsolètes | propose des mises à jour (ci-dessous) |
« Arrête le build » veut dire que le contrôle devient rouge et que la pull request échoue. Le baseline ZAP n’attaque jamais : il parcourt le site et lit les réponses (ce que cela signifie est expliqué dans notre article sur ZAP).
Chaque semaine, Dependabot ouvre des pull requests groupées avec les mises à jour de dépendances qu’il a trouvées (dependabot.yml) ; une routine hebdomadaire fusionne toutes les ouvertes en une seule pull request et y travaille jusqu’à ce que chaque contrôle bloquant passe ; un humain la fusionne.
Premiers passages, 13 octobre 2026
- Semgrep : 0 résultat.
- OWASP ZAP baseline : 63 contrôles réussis, 0 échoué.
- TruffleHog : tout l’historique git, 0 secret.
- Analyse des dépendances (OSV-Scanner) : elle a signalé des failles connues, et nous avons mis à jour les paquets pour lesquels un correctif existait (le SDK Anthropic et des dépendances des outils Prisma).
- gitleaks et npm audit au niveau critique : réussis.
FAQ
Ces contrôles veulent-ils dire que Kasandro est sûr ?
C’est un plancher automatique : il repère des classes d’erreurs connues à chaque changement et complète la relecture par des personnes.
Quels contrôles arrêtent le build ?
Les nouveaux résultats de npm audit (critique), gitleaks, Semgrep (ERROR), TruffleHog (secrets vérifiés), du baseline ZAP et d’OSV-Scanner arrêtent le build. Dependabot propose des mises à jour.
Où signaler une faille ?
Écrivez à support@kasandro.com, notre seule adresse, et consultez la page sécurité ainsi que le fichier security.txt.
Sources
- Semgrep, documentation : https://semgrep.dev/docs/, au 13 octobre 2026
- ZAP, scan baseline : https://www.zaproxy.org/docs/docker/baseline-scan/, au 13 octobre 2026
- TruffleHog, projet : https://github.com/trufflesecurity/trufflehog, au 13 octobre 2026
- OSV-Scanner, documentation : https://google.github.io/osv-scanner/, au 13 octobre 2026
- gitleaks, projet : https://github.com/gitleaks/gitleaks, au 13 octobre 2026
- Kasandro, page sécurité : https://kasandro.com/fr/security, au 13 octobre 2026
À lire ensuite
Kasandro est un outil de visibilité sur vos finances, pas un conseil en investissement ni un conseil financier. Les chiffres de Marek, Ania et Tomek sont des données d’exemple.
RSS · Cet article en polonais · Blog en anglais
Une question à laquelle cet article ne répond pas ? Écrivez à support@kasandro.com.