SSC

La boîte à outils open-source

Sécurité open source, par tâche.

Scannez votre code, vérifiez les dépendances, trouvez des secrets exposés ou ajoutez des garanties aux agents d'IA. Trouvez un projet ciblé, ses besoins de configuration et ses limites.

Trouver un outil Commencez avec les directives OWASP

La plupart des outils ont besoin d'un développeur ou d'un propriétaire informatique pour les mettre en place et examiner les résultats. Chaque liste de liens vers le projet officiel et le démarrage rapide. Les références OWASP ci-dessous vous aident à décider quoi vérifier.

Voulez-vous que ces outils fonctionnent comme un flux de travail de sécurité?

Choisissez un outil pour une lacune spécifique, nommez quelqu'un pour l'opérer et décidez comment les résultats deviennent vérifiés correctifs. Commencez par votre tracker de problèmes et votre magasin de preuves; comparez le logiciel de coordination ou le support géré seulement si ce travail devient un goulot d'étranglement.

Construisez un workflow autour des outils que vous utilisez déjà

Choisissez le métier

Trouvez votre point de départ

Sources examinées: 2026-10-29

Les projets montrés: 12 / 12

Temps d'équipe hebdomadaire: planification pour les personnes 1–25

Scénario de planification: personnes 1–25, jusqu'aux ordinateurs et appareils 25, dépôts 1–3 et un petit environnement cloud, le cas échéant. Après la configuration initiale, sans incident actif ou arriéré majeur. Le temps est la participation hebdomadaire combinée de toute l'équipe cliente, et non pas le temps par personne ou le temps d'exécution du scanner.

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Il s'agit de budgets de temps de rédaction, et non de demandes de remboursement de fournisseurs, de moyennes observées ou d'engagements de service. Nous ajoutons les quotas affichés pour deux tâches récurrentes. La documentation liée du produit explique les tâches, pas le nombre d'heures. Remplacez l'indemnité par un registre de temps de votre propre pilote; des environnements plus grands ou plus complexes sont en dehors de ce scénario.

Scanner le code source

Semgrep Community Edition

Trouver des modèles suspects et des erreurs courantes dans le code source en utilisant des règles configurables.

Utilisez-le pour: Un développeur qui veut une vérification de code ciblée localement ou dans une demande de tirage.

Implication hebdomadaire de l'équipe client

~1–3 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les nouvelles constatations avec les propriétaires de dépôts: 30–90 min/semaine
  • Maintenir les règles et vérifier la couverture de l'analyse: 30–90 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Choisissez des règles pour votre langue, numérisez un dépôt, puis examinez les résultats avec le propriétaire du code.
Qui le dirige
Configuration du développeur; sélection des règles et examen de la recherche.
Ce qu'il faut savoir
L'analyse CE se limite à une fonction ou un fichier. Le moteur LGPL est open source; les règles maintenues par Semgrep ont une licence distincte limitée à l'utilisation interne. Les fonctionnalités de la plate-forme ont des termes séparés.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Commencez à jouerGitHubPlanifier avec cet outil

Vérifier les dépendances

OSV-Scanner

Correspondez aux paquets que votre projet utilise aux avis de vulnérabilité connus dans OSV.

Utilisez-le pour: Une première vérification de dépendance pour un dépôt, un fichier de verrouillage ou une image de conteneur.

Implication hebdomadaire de l'équipe client

~0,5–2 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les nouveaux avis et les versions touchées: 15–60 min/semaine
  • Vérifier les entrées de balayage et affecter les mises à jour: 15–60 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Scannez votre répertoire source ou les fichiers de paquets pris en charge. Examiner les versions touchées et tester toute mise à niveau proposée.
Qui le dirige
Ligne de commande du développeur ou configuration CI.
Ce qu'il faut savoir
La couverture dépend des écosystèmes soutenus et des données consultatives. Un résultat propre ne couvre pas les bogues de code personnalisés ou tous les composants déployés.

Google & contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Vérifier les dépendances

OWASP Dependency-Check

Signaler les vulnérabilités connues associées aux dépendances de l'application.

Utilisez-le pour: Les équipes qui veulent des rapports de dépendance dans une construction existante, y compris Maven ou Gradle.

Implication hebdomadaire de l'équipe client

~0,5–2 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les nouveaux avis et les versions touchées: 15–60 min/semaine
  • Vérifier les entrées de balayage et affecter les mises à jour: 15–60 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Ajoutez l'intégration de build ou exécutez le CLI. Conservez les données consultatives à jour et examinez les correspondances des paquets.
Qui le dirige
Configuration du développeur, mise en cache de données et examen de suppression.
Ce qu'il faut savoir
L'identification de l'emballage peut produire de fausses correspondances. Les références de source de données et les limites de taux affectent les scans; une clé API NVD est fortement recommandée en amont.

OWASP project contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Vérifier les dépendances

OWASP Dependency-Track

Suivre les risques liés aux composantes des applications en utilisant les factures de matériel logiciel (SBOM).

Utilisez-le pour: Une équipe qui a besoin d'une visibilité continue sur plusieurs projets, au-delà d'une analyse ponctuelle.

Implication hebdomadaire de l'équipe client

~1–3 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les résultats des composantes des projets: 30–90 min/semaine
  • Vérifiez les téléchargements SBOM et la santé des services: 30–90 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Générez des SBOM dans vos constructions, soumettez-les au service et assignez les propriétaires pour examiner les changements.
Qui le dirige
Quelqu'un doit héberger le service et maintenir les téléchargements SBOM.
Ce qu'il faut savoir
Cela dépend des inventaires complets et actuels et des flux consultatifs. Il ne remplace pas les vérifications de révision ou de déploiement du code source.

OWASP project contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Trouver des secrets exposés

Gitleaks

Maintenance: correctifs de sécurité uniquement

Trouvez probablement des mots de passe, des clés API et des jetons dans l'historique ou les fichiers Git.

Utilisez-le pour: Vérifier un dépôt avant de le partager ou empêcher de nouveaux commits secrets.

Implication hebdomadaire de l'équipe client

~0,5–1 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les secrets soupçonnés avec leurs propriétaires: 15–30 min/semaine
  • Vérifier la couverture du dépôt et les exceptions: 15–30 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Scanner le dépôt et ajouter une vérification pré-engagement ou CI. Renverser ou faire pivoter les lettres de créance exposées confirmées.
Qui le dirige
Configuration du développeur et un propriétaire de justificatifs pour les corrections.
Ce qu'il faut savoir
La détection ne révoque pas les pouvoirs. Le mainteneur limite maintenant les libérations de Gitleaks sur les correctifs de sécurité; vérifiez le README avant de l'adopter. L'action séparée GitHub a ses propres termes.

Gitleaks contributors MIT (CLI)

Commencez à jouerGitHubPlanifier avec cet outil

Tester une application web

ZAP

Inspecter une application Web en cours d'exécution et tester des vulnérabilités web communes.

Utilisez-le pour: Tester comment votre application se comporte sur HTTP, en plus des contrôles de code et de dépendance.

Implication hebdomadaire de l'équipe client

~1–3 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les constatations du Web et reproduire les priorités: 30–90 min/semaine
  • Vérifier la portée des tests, l'authentification et la configuration des analyses: 30–90 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Commencez par votre propre environnement de test. Configurez la connexion et la portée afin que le scanner atteigne les fonctionnalités que vous devez vérifier.
Qui le dirige
Configuration du développeur ou du testeur; les scans authentifiés nécessitent plus de configuration.
Ce qu'il faut savoir
Les scanners actifs envoient des attaques de test et peuvent changer l'état de l'application. Analyser seulement les cibles autorisées; la logique d'affaires et les règles d'accès ont encore besoin de tests manuels.

ZAP by Checkmarx & contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Vérifier l'infrastructure

Trivy

Scanner les images de conteneurs, les fichiers et les définitions d'infrastructure pour les vulnérabilités connues, les secrets et les erreurs de configuration.

Utilisez-le pour: Une première vérification pratique pour un dépôt d'image ou de déploiement de conteneur.

Implication hebdomadaire de l'équipe client

~0,5–2 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les nouveaux avis et les versions touchées: 15–60 min/semaine
  • Vérifier les entrées de balayage et affecter les mises à jour: 15–60 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Choisissez la cible et les types de scanner, lancez un scan et assignez les résultats aux personnes qui peuvent modifier l'image ou la configuration.
Qui le dirige
Développeur ou propriétaire de l'infrastructure; mettre à jour les données et les politiques d'écoute.
Ce qu'il faut savoir
Les résultats dépendent des paquets pris en charge et des scanners sélectionnés. Il ne durcit pas automatiquement un service en direct ou ne prouve pas l'exploitabilité.

Aqua Security & contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Vérifier l'infrastructure

Checkov

Vérifiez les fichiers infrastructure-as-code pour une configuration risquée avant le déploiement.

Utilisez-le pour: Équipes utilisant Terraform, CloudFormation, Kubernetes, Helm ou des fichiers de déploiement similaires.

Implication hebdomadaire de l'équipe client

~0,5–2 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les résultats de la configuration avec les propriétaires d'infrastructure: 15–60 min/semaine
  • Maintenir la couverture de l'analyse et les exceptions à la politique: 15–60 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Scanner un répertoire d'infrastructure localement ou dans CI. L'examen a échoué avec la personne responsable de l'environnement.
Qui le dirige
Connaissances en matière d'infrastructure; harmonisation des politiques et exceptions justifiées.
Ce qu'il faut savoir
Un scan de configuration ne peut pas prouver que l'environnement en direct correspond aux fichiers. Les services de plate-forme hébergés et certaines intégrations de données ont des exigences distinctes.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Examen des pratiques de projet

OpenSSF Scorecard

Examiner les pratiques de dépôt telles que l'examen des codes, les mises à jour des dépendances et les protections de construction.

Utilisez-le pour: Choisir une dépendance open-source ou améliorer la façon dont votre propre projet est maintenu.

Implication hebdomadaire de l'équipe client

~0,5–1 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les vérifications des pratiques des projets modifiées: 15–30 min/semaine
  • Attribuer le suivi des paramètres du dépôt: 15–30 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Inspectez les contrôles individuels d'un dépôt et décidez des lacunes qui comptent pour votre cas d'utilisation.
Qui le dirige
Un responsable ou un développeur qui peut interpréter les paramètres du dépôt.
Ce qu'il faut savoir
Les contrôles sont heuristiques avec de faux positifs et négatifs. Un score élevé n'est pas la preuve que le code est sûr ou exempt de vulnérabilités.

OpenSSF & contributors Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Surveiller les systèmes & les avis

Wazuh

Recueillir des événements de sécurité et surveiller les ordinateurs et les appareils pour les problèmes de configuration, les changements de fichiers et les vulnérabilités connues.

Utilisez-le pour: Une équipe avec quelqu'un disponible pour effectuer la surveillance et enquêter sur les alertes.

Implication hebdomadaire de l'équipe client

~3–6 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Triage des événements de sécurité et attribution de la réponse: 120–240 min/semaine
  • Maintenir les agents, les règles et la santé des services: 60–120 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Déployez les composants centraux et les agents de périphériques, alignez les règles et définissez qui répond à chaque alerte.
Qui le dirige
Administration du système et opérations de sécurité en cours.
Ce qu'il faut savoir
L'hébergement, les mises à jour, l'examen des alertes et la réponse restent votre travail. Les licences diffèrent selon les composants : le dépôt actuel comprend le code moteur GPL-2.0 et AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Commencez à jouerGitHubPlanifier avec cet outil

Contrôler les agents d'IA

Par Shielda

Agent Guard

Alpha expérimentale

Les bibliothèques TypeScript qui limitent les outils qu'un agent d'IA peut utiliser, sur quelles ressources et avec quelles approbations.

Utilisez-le pour: Développeurs ajoutant l'exécution d'outils contrôlée ou les intégrations MCP à une application agent.

Implication hebdomadaire de l'équipe client

Pas encore mesuré

Confirmer les responsabilités et le temps d'un pilote

Bibliothèque expérimentale avec des règles d'accès et d'approbation spécifiques aux applications. Mesurez l'examen des subventions, les changements apportés aux politiques et la gestion des incidents dans votre intégration; aucun point de repère hebdomadaire récurrent n'est établi.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Enregistrez les outils, accordez l'accès aux tâches et les appels par l'intermédiaire du gardien. Ajoutez votre propre flux d'approbation authentifié pour les actions sensibles.
Qui le dirige
Intégration de TypeScript et examen du modèle de menace.
Ce qu'il faut savoir
Alpha expérimental. Il contrôle les appels enregistrés au sein d'un même processus; il ne s'agit pas d'un bac à sable OS ou d'un détecteur universel d'injection rapide. L'application durable ou distribuée nécessite une infrastructure supplémentaire.

ShieldaAI Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Surveiller les systèmes & les avis

Par Shielda

Security Watch

Alpha expérimentale

Faites correspondre les avis de sécurité et les nouvelles à un inventaire déclaré, conservez les preuves et envoyez les conclusions à Slack ou par courriel.

Utilisez-le pour: Une petite installation qui a besoin d'un flux de consultation ciblé pour ses bibliothèques et systèmes.

Implication hebdomadaire de l'équipe client

~0,5–2 h/semaine

Allocation de planification éditoriale · Personnes 1–25 · total de l'équipe après la configuration

Qu'est-ce qui est inclus dans cette allocation?
  • Examiner les avis appariés et donner suite: 15–60 min/semaine
  • Mettre à jour l'inventaire et vérifier l'état de santé de la livraison: 15–60 min/semaine

Les fourchettes couvrent l'examen régulier, l'administration et l'affectation des travaux de suivi. Ajouter à bord, les correctifs de mise en oeuvre, les incidents, les mises à niveau majeures, les exercices de restauration et les travaux d'audit/juridiques séparément. Les outils couvrent différents emplois : n'ajoutez pas d'estimations qui se chevauchent ou comparez-les comme un classement de vitesse.

Scénario & exclusions
Configuration, effort et limites
Comment l'utiliser
Fournir les noms de paquets et les versions exactes installées où elles sont connues. Commencez par un essai à sec; les vérifications structurées de la bibliothèque peuvent fonctionner sans IA.
Qui le dirige
Configuration du service Node.js, inventaire actuel et quelqu'un pour examiner les alertes.
Ce qu'il faut savoir
Alpha expérimental. Il ne patch logiciel ou de prouver qu'un système est sûr. Les versions manquantes, les gammes non prises en charge et les correspondances de nom de produit nécessitent un examen.

ShieldaAI Apache-2.0

Commencez à jouerGitHubPlanifier avec cet outil

Conseils & checklists

Savoir quoi rechercher avec OWASP

Ces références expliquent les risques, les exigences de mise en œuvre et de vérification plus sûres. Utilisez-les pour planifier un examen et interpréter les résultats du scanner.

OWASP Top 10

Comprendre les principaux risques d'applications web et les utiliser pour encadrer une conversation avec votre développeur. Il s'agit d'un guide de sensibilisation, et non d'un scanner ou d'un plan de test complet.

Lire le guide

OWASP Cheat Sheet Series

Trouvez des conseils pratiques de mise en œuvre pour l'authentification, le contrôle d'accès, les secrets, les agents d'IA et d'autres sujets de sécurité spécifiques.

Lire le guide

OWASP ASVS

Transformez la sécurité de l'application en un ensemble défini d'exigences et de tâches de vérification. Sélectionnez la portée avec votre développeur ou examinateur et enregistrez les preuves.

Lire le guide

Shielda maintient les projets étiquetés par Shielda et publie ce guide. Les listes décrivent la documentation du projet en amont; elles ne sont pas des certifications de sécurité indépendantes.

Besoin d'une pile complète?