Pour le CTO et le RSSI
Nous revoyons le backend (la partie du système qui tourne sur le serveur et que personne ne voit) et l'API que votre équipe a créés avec l'IA. Vous recevez ce qu'elle expose, ce qu'elle protège et ce qu'il faut corriger en premier.
Vous recevez l'inventaire des routes et chaque constat avec sa preuve. Le périmètre et le délai sont fixés par écrit avant de commencer.
Mis à jour le
Inutile si votre système ne publie aucune API et ne conserve aucune donnée de tiers. Et aujourd'hui, nous revoyons les API en Python avec FastAPI.
L'écran ne montre que ce que demande la maquette, mais l'API peut livrer bien davantage. Celui qui veut vos données appelle l'API directement, sans passer par votre app. Dans un banc d'essai en laboratoire de Veracode (printemps 2026), 45 % des tâches de code résolues avec l'IA sans consignes de sécurité ont produit un défaut de sécurité connu. Veracode vend de l'analyse de sécurité.
45 %
tâches de code IA avec une faille de sécurité connue
Veracode, 2026Plus de 150 points de contrôle
Marques et logos de leurs propriétaires respectifs. Leur usage ici est purement descriptif et n'implique ni relation commerciale ni parrainage.
En 30 minutes, nous voyons quelle API vous avez et quelles données y passent. Vous recevez ensuite par écrit ce qui est revu, sur quel environnement et le délai.
Nous regardons ce que votre API publie réellement, en plus de ce que dit le code : routes, champs des réponses, contrôle d'accès, en-têtes et logs.
Vous recevez l'inventaire des routes et chaque constat avec sa preuve, et nous le parcourons avec votre équipe. Chaque constat dit comment le vérifier.
Priorité: Haute
La route de profil renvoie l'e-mail et le téléphone d'autres utilisateurs
Exemple du format du rapport, pas d'un client.
Parlons de votre situation ?
Un rendez-vous de 30 minutes pour voir ce que vous avez et ce qu’il vaut mieux revoir en premier.
Les trois sont utiles, chacun pour une chose. L'IA apporte le volume et les personnes le jugement : c'est pourquoi notre revue utilise un outil automatique à base d'IA, supervisé par des développeurs seniors.
La revue est faite par une équipe de développeurs seniors, avec de nombreuses heures de développement et de recherche des erreurs que commettent les IA quand elles programment. Nous connaissons plus de 1 200 points de revue. L'outil automatique à base d'IA les parcourt, et les personnes valident, dirigent et revoient.
Équipe de développeurs seniors
José María Salido, fondateur de Sondeon, en répond
C'est comparer ce que votre API publie avec ce qu'elle devrait publier : routes non protégées, données en trop dans les réponses, en-têtes et logs. Notre health check le fait sur les API en Python avec FastAPI et sur le serveur qui les publie, avec l'app ou le site qui les utilise.
Un pentest tente d'entrer dans votre système comme le ferait quelqu'un de l'extérieur. Cette revue parcourt ce que votre API publie et le compare à ce qu'elle devrait publier : routes, champs, accès, en-têtes et logs. Elle ne remplace pas un pentest.
Il sert de preuve technique de ce qui a été revu et de ce qui a été trouvé, avec sa date. Il n'atteste la conformité à aucune norme et ne remplace pas un conseil juridique.
Il nous faut l'adresse de l'API, un accès en lecture au dépôt du backend et un compte de test par type d'utilisateur. La revue regarde et mesure : nous ne changeons rien en production sans votre accord, et tout est inscrit dans le périmètre.
Oui, si vous nous confiez la correction. Le diagnostic vient d'abord : chaque constat avec sa preuve et sa priorité. La correction est à part, et seulement si vous la demandez ; votre équipe peut aussi s'en charger avec la liste en main.
Le rendez-vous de 30 minutes est gratuit. Le reste dépend du nombre de routes de l'API et du nombre de types d'utilisateur à tester. Nous le voyons lors de ce rendez-vous, et vous recevez par écrit le périmètre et le délai de notre health check avant de commencer.
Apps Flutter créées avec l'IA, testées sur de vrais téléphones iOS et Android, par commande et au toucher, avec leur backend.
Performances, référencement dans les moteurs de recherche et les assistants d'IA (SEO et GEO), accessibilité et sécurité de votre site, mesurés sur la page réelle.
PostgreSQL, Redis, Elasticsearch et RabbitMQ, en lecture seule : structure, index, requêtes lentes, verrous et connexions.
Le serveur où va tourner votre système, revu avant sa mise en ligne : qui y accède, ce qui y tourne et quelles limites cèdent quand il grandit.
Les machines Linux où tourne votre système, mesurées toutes les quelques secondes, pour voir un disque plein ou un conteneur arrêté avant vos utilisateurs.
Chaque appel à votre API mesuré, avec sa latence, son erreur et l'écran qui l'a demandé, pour savoir quel endpoint optimiser avant que le trafic augmente.
Remplissez le formulaire et nous vous écrivons par e-mail pour fixer le jour et l'heure. Ce sont 30 minutes pour voir ce que vous avez et ce qu'il vaut mieux revoir en premier.