SPHIOR Logo
SPHIOR
Sécurité continue en tant que service

Du diagnostic de sécurité aux preuves d'audit, SPHIOR s'en charge chaque mois.

Aligné avec SOC 2, ISO 27001 et OWASP, SPHIOR fournit des preuves mensuelles conçues pour les ingénieurs, les dirigeants et les auditeurs. Intégration Vanta et Drata prise en charge.

Check your site for free

https://
Confiez-le à SPHIORCréer un compte
Le coût de l'inaction

Quand cela fait la une, c'est déjà un événement financier.

Ce qui arrive aux entreprises qui négligent la sécurité. Chaque cas ci-dessous est un fait documenté, pas une mise en garde théorique.

Cas réels de violations de sécurité

Code Spaces2014

Continuité

Arrêt en 12h

12 heures de la brèche à la faillite

Le compte racine AWS n'avait pas de MFA : des identifiants volés suffisaient. Après refus de la rançon, l'attaquant supprima instances, buckets et snapshots. Sans aucune possibilité de récupération, l'entreprise ferma le jour même. L'absence de MFA lors du déploiement cloud anéantit toute l'activité.

Cause

Absence de MFA sur la console d'administration cloud

Yahoo! (US)2013–2014

Comptes touchés

3Md+

Un hachage faible a effacé ~350M$ de valeur

Deux intrusions en 2013 et 2014 ne furent pas divulguées avant 2016. Les mots de passe MD5 étaient facilement déchiffrables, permettant une exploitation continue. 3 milliards de comptes furent affectés. Le prix de cession à Verizon fut réduit de 350M$ pour l'incident dissimulé.

Cause

Hachage MD5 obsolète et divulgation tardive

British Airways2018

Clients touchés

~500K

22 lignes de code qui ont ébranlé une marque mondiale

Magecart injecta 22 lignes de code espion dans un JavaScript tiers chargé en caisse. Les données de carte étaient transmises en temps réel pendant près de deux semaines. ~500K clients touchés ; la proposition initiale d'amende RGPD atteignit £183M.

Cause

Injection de script malveillant (Magecart)

Equifax2017

Dossiers exposés

148M

Un correctif ignoré a exposé 148M de personnes

Un correctif critique pour Apache Struts resta non appliqué deux mois. Les attaquants exploitèrent la faille, restèrent indétectés 76 jours et exfiltrèrent 148M de dossiers avec numéros de sécurité sociale. Les règlements totaux dépassèrent 575M$. Le PDG fut convoqué au Congrès.

Cause

CVE-2017-5638 non corrigé pendant 2 mois

Target2013

Cartes volées

40M

Les identifiants d'un prestataire CVC ont exposé 40M de cartes

Des identifiants volés chez un prestataire CVC fournirent un accès au réseau d'entreprise. L'absence de segmentation permit la propagation de malware vers 4.000+ terminaux POS pendant Noël. 40M de cartes bancaires et 70M de données personnelles furent dérobées.

Cause

Réseau fournisseur non isolé des systèmes POS

SolarWinds2020

Organisations touchées

18.000+

Une mise à jour légitime devenue arme d'État

Les attaquants insérèrent la backdoor SUNBURST dans une mise à jour légitime du logiciel de surveillance. Plus de 18.000 organisations l'installèrent, dont le Trésor et le Département d'État américains. L'intrusion passa inaperçue ~9 mois, redéfinissant les attaques de chaîne d'approvisionnement.

Cause

Pipeline de build compromis avec injection de code

Change Healthcare2024

Pertes totales

~3Md$+

Un MFA manquant a paralysé la santé américaine pendant des semaines

Un compte interne sans MFA sur un système critique fut la seule entrée nécessaire. Un seul mot de passe volé permit aux opérateurs du ransomware d'accéder au cœur du système. Pharmacies et hôpitaux américains ne purent plus traiter ordonnances ni paiements pendant des semaines. Les pertes de UnitedHealth dépassèrent 3Md$.

Cause

MFA absent sur un compte d'accès critique

CrowdStrike2024

Machines en panne

8,5M

La mise à jour d'un éditeur de sécurité causa la plus grande panne IT

Une mise à jour de contenu défectueuse — pas un malware — fit planter 8,5M de machines Windows. Aéroports, banques, hôpitaux et médias s'arrêtèrent simultanément. Les seules entreprises Fortune 500 enregistrèrent des pertes supérieures à 5,4Md$.

Cause

Mise à jour non validée déployée en production

Bybit2025

Montant volé

~1,4Md$

Le phishing a saisi les clés d'un portefeuille multi-signature

Du phishing et de l'exploitation d'accès permirent la prise de contrôle de l'environnement de signature d'un portefeuille multi-sig. Le protocole multisig fonctionnait, mais la couche humaine gérant les clés fut compromise. ~1,4Md$ d'Ethereum disparurent dans le plus grand vol crypto individuel de l'histoire.

Cause

Phishing ciblant les gestionnaires de clés multisig

SPHIOR Recorder

Les domaines d'audit couverts par SPHIOR, conservés comme des faits infalsifiables.

Les résultats de vos analyses de sécurité, les changements de votre infrastructure, l'activité de votre propre IA : tout ce qui parvient à SPHIOR est conservé comme un enregistrement impossible à réécrire. Même SPHIOR, qui l'a créé, ne peut le modifier ensuite.

SPHIOR

Vulnérabilités et erreurs de configuration détectées

CC7 · Gestion des vulnérabilités

Chaque mois, nous analysons réellement votre site et votre environnement cloud et enregistrons les failles et les erreurs de configuration trouvées, avec leur gravité et leur impact. Ce qui a été trouvé, quand, et comment cela a été corrigé reste sous une forme impossible à réécrire ensuite.

Différences de changements de configuration cloud

CC8 · Gestion des changements

Nous enregistrons quand et comment les paramètres de votre cloud et de votre infrastructure ont changé, sous forme de différences. Le contenu lui-même reste chez vous ; seul le fait qu'un changement a eu lieu devient l'enregistrement.

Chiffrement TLS et surfaces de connexion exposées

CC6 · Accès logique (technique)

Nous enregistrons si le trafic est correctement chiffré (TLS, certificats) et l'état de vos surfaces d'authentification et de connexion exposées à l'extérieur. Vos systèmes d'identité internes et le MFA à l'échelle de l'entreprise sont hors périmètre.

Exécutions de votre IA et de vos agents

ISO 42001 / EU AI Act

Nous enregistrons ce qu'ont fait votre IA interne et vos agents IA : quel modèle, quand, et quelle décision. Les invites et les réponses elles-mêmes restent chez vous ; seul le fait qu'une exécution a eu lieu est conservé comme un enregistrement infalsifiable.

Enregistrements de tout outil ou SaaS

Connecté par webhook

Même dans les domaines que SPHIOR n'analyse pas, envoyez des événements depuis n'importe quel outil interne ou SaaS et ils deviennent les mêmes enregistrements infalsifiables. Arrivées et départs, évaluations des fournisseurs, revues d'accès : conservez au même endroit les preuves qui comptent pour vous.

Opérations de sécurité en tant que service

Confiez un mois complet d'opérations de sécurité à SPHIOR.

Évaluations externes continues, résultats priorisés et rapports adaptés aux rôles. Le travail qui nécessite normalement une équipe de sécurité — livré en tant que service, chaque mois.

STL 01

Nous surveillons de l'extérieur, en continu

Pas un scan ponctuel. Une posture externe continue — mois après mois, du même point de vue qu'un attaquant.

STL 02

Uniquement les résultats qui comptent

Nous séparons le signal du bruit pour que ce qui vous parvient soit le travail réellement utile ce mois-ci.

STL 03

Adapté au bon lecteur

L'ingénierie reçoit la solution. La direction reçoit le risque. L'audit reçoit les preuves. Même source — trois livrables optimisés.

STL 04

Livré à l'heure, chaque mois

Les rapports arrivent le même jour chaque mois, pour que 'où en sommes-nous sur la sécurité ?' ait toujours une réponse à jour.

Rapports pour la prise de décision

Une évaluation. Trois audiences. Trois résultats optimisés.

Les rapports de vulnérabilités changent de sens selon qui les lit. SPHIOR génère le bon format pour l'ingénierie, la direction et l'audit — à partir des mêmes preuves.

E.2 · Featured Finding #1
Analyse Approfondie des Findings Phares

SQL Injection in /api/search

NEW
criticalCVSS 9.1· Vulnérabilité externeConfirmé en croisé
api.example.com/api/searchSphior DAST active rule (40018)

1. Risk Summary

Dans l'évaluation automatisée Sphior de ce mois, nous avons observé une vulnérabilité SQL Injection sur votre endpoint API exposé extérieurement /api/search. C'est un exemple typique de CWE-89 (Improper Neutralization of SQL Element), avec des risques d'obtention de contenu BD, de fuite d'identifiants et d'énumération de schéma via des utilisateurs authentifiés. Nous avons observé un schéma où le user-supplied input du paramètre `q` est directement concaténé dans la requête SQL, et blind SQL injection est également possible. Cela affecte directement la qualité des preuves de support d'audit de SOC 2 CC6.1 / ISO 27001 A.8.2 + GDPR Art. 32, avec une portée d'impact observée d'environ 42 000 utilisateurs authentifiés (observed scope). Une réponse dans ce mois est recommandée.

2. Risk Snapshot

Impact Métier
Critique

Possibilité de fuite d'informations à l'échelle de 42 000 utilisateurs authentifiés (observed scope). Les obligations de notification GDPR peuvent être déclenchées, avec un impact critique sur la qualité des preuves de support d'audit SOC 2 CC6.1.

Difficulté d'Exploitation
Élevé

L'attaque s'établit via des utilisateurs authentifiés ; la construction de payload après reconnaissance est techniquement facile. Facilement détecté par active DAST scan, nécessitant seulement des connaissances limitées en scripting.

Urgence Observée
Maximum

Nouvellement détecté ce mois. Classe Critical, une réponse dans ce trimestre est recommandée. Les règles WAF d'urgence permettent une atténuation provisoire ; des mesures préemptives contre la reconnaissance de l'attaquant sont nécessaires.

3. Observed Evidence (extrait)

Evidence complète + sortie brute du scanner dans App-A · #1
HTTP TRACE
GET /api/search?q=test' UNION SELECT NULL,version(),NULL-- HTTP/1.1 Host: api.example.com Authorization: Bearer <REDACTED> Content-Type: application/json Response: 200 OK { "results": [{"id": null, "name": "PostgreSQL 14.5 ← fuite de version BD"}] }

4. Recommended Actions

STEP 01EmergencyMigration vers requêtes paramétrées

Réécrire la requête SQL de /api/search en utilisant des prepared statements, séparant le user input du SQL syntax. Réponse dans ce trimestre recommandée ; atténuer en parallèle via règles WAF pendant la remédiation.

Implementation hintExpress + pg: `client.query('SELECT … WHERE q = $1', [userInput])` / Python + psycopg2: `cur.execute('SELECT … WHERE q = %s', (userInput,))`

STEP 02ContainmentDéploiement de règle WAF d'urgence

Appliquer des règles WAF sur tous les endpoints pour bloquer les payloads contenant des patterns SQL (UNION / SELECT / -- / ; etc.). Atténuation provisoire jusqu'à l'achèvement de la remédiation, opérée en combinaison avec l'intégration SOC.

Implementation hintWAF managed ruleset OWASP CRS (sql-injection) temporary enable / WAF: AWSManagedRulesSQLiRuleSet high-priority adoption

STEP 03VerificationVérification du fix via Sphior re-scan

Après remédiation, vérifiez le fix via Sphior re-scan et confirmez les réponses 400 pour les mêmes patterns de payload. Les résultats de confirmation sont stockés en tant que snapshots tamper-evident (SHA-256 anchored) dans les preuves de support d'audit SOC 2, reflétés dans le prochain rapport mensuel.

Implementation hintBouton Re-scan now du dashboard Sphior (scan terminé en 5 minutes + résultats reflétés)

5. Compliance Standards & References

CWE-89OWASP A03 InjectionNIST SP 800-53 SI-10SOC 2 CC6.1ISO 27001:2022 A.8.2
Related findings#6 (Verbose error sur /login) / #11 (CVE-2024-XXXX lodash) — Observations complémentaires de frontière d'authentification
Affected scopePossibilité du même schéma sur 8 endpoints incluant /api/search ; confirmation de portée via Sphior re-scan recommandée
Full Per-Finding CardFull Per-Finding Card (Critical 2 page Extended) voir App-A · #1 — Request/Response complets + exploitation chain + édition complète de code de remédiation
Audit-support reference  |  Confidential
E.2 · Featured Finding #1  |  Page 19 of 30
E.2 · Featured Finding #2
Analyse Approfondie des Findings Phares

Missing CSRF Token on /api/transfer

NEW
criticalCVSS 8.8· Authenticated (state-changing)Confirmé en croisé
api.example.com/api/transferSphior DAST passive scan (10202)

1. Risk Summary

Cette découverte est une validation de token CSRF (Cross-Site Request Forgery) manquante sur l'endpoint /api/transfer. Sphior Web App Scanner a observé que le middleware de token CSRF n'est pas appliqué sur les endpoints state-changing, permettant des requêtes cross-site utilisant des sessions utilisateur authentifiées. La validation d'Origin / Referer n'a pas non plus été confirmée pour les endpoints POST / PUT / DELETE, et l'attribut SameSite du cookie est configuré sur `None`. Cela affecte la qualité des preuves de support d'audit de SOC 2 CC6.6 / ISO 27001 A.8.8 + A.5.30, et en tant qu'événement observé sur un endpoint de transaction financièrement critique, une réponse dans ce mois est recommandée.

2. Risk Snapshot

Impact Métier
Critique

Possibilité de déclencher des transactions non autorisées par des utilisateurs authentifiés sur des endpoints financièrement critiques. Impact critique sur la qualité des preuves de support d'audit SOC 2 CC6.6 + Processing Integrity (PI1.1).

Difficulté d'Exploitation
Moyen-Élevé

Limité aux endpoints state-changing, mais l'attaque s'établit via redirection induite par phishing vers le site de l'attaquant pendant la navigation par des utilisateurs authentifiés ; techniquement direct.

Urgence Observée
Élevé

Nécessite des victimes utilisateur authentifiées mais facile à obtenir via phishing. Réponse dans ce trimestre recommandée ; atténuation immédiate possible via application de middleware.

3. Observed Evidence (extrait)

Evidence complète + sortie brute du scanner dans App-A · #2
HTTP TRACE
POST /api/transfer HTTP/1.1 Host: api.example.com Cookie: session_id=abc123 (HttpOnly non défini, SameSite=None) Content-Type: application/json Origin: https://attacker.example {"to":"attacker_account","amount":50000} Response: 200 OK ← Traité sans validation de token CSRF (403 attendu)

4. Recommended Actions

STEP 01EmergencyApplication de middleware Double-submit de token CSRF

Installer et appliquer le middleware de token CSRF sur 12 endpoints state-changing (POST / PUT / DELETE). Rejeter avec une réponse 403 en cas d'absence / mismatch de token. Réponse dans ce trimestre recommandée.

Implementation hintExpress: csurf package / Django: built-in {% csrf_token %} / Rails: protect_from_forgery

STEP 02ContainmentRenforcement de l'attribut SameSite du cookie à Strict

Définir SameSite=Strict sur les cookies de session pour restreindre immédiatement la transmission de cookies via requêtes cross-site. Appliquer HttpOnly + Secure conjointement comme mesures provisoires pendant la période de remédiation de middleware.

Implementation hintSet-Cookie: session=…; Secure; HttpOnly; SameSite=Strict (unifié sur tous les endpoints)

STEP 03VerificationVérification du fix via tests de régression + Sphior re-scan

Intégrer des tests CSRF automatisés pour endpoints state-changing dans CI, vérifiant les réponses 403 en cas d'absence / mismatch de token. Confirmer l'adoption sur tous les endpoints via Sphior re-scan.

Implementation hintDétection continue de tests CSRF manquants via l'intégration CI de Sphior Code Scanner

5. Compliance Standards & References

CWE-352OWASP A01 Broken Access ControlNIST SP 800-53 IA-2SOC 2 CC6.6 · PI1.1ISO 27001:2022 A.8.8 · A.5.30
Related findings#8 (Cookie no HttpOnly) — Sur 12 endpoints state-changing, tous sauf cette découverte sont confirmés avec token CSRF appliqué
Affected scopeObservé sur 1 de 12 endpoints state-changing incluant /api/transfer ; les 11 restants l'ont déjà appliqué
Full Per-Finding CardFull Per-Finding Card (Critical 2 page Extended) voir App-A · #2 — échantillons de code d'application de middleware + édition complète du guide d'implémentation par framework
Audit-support reference  |  Confidential
E.2 · Featured Finding #2  |  Page 20 of 30
E.2 · Featured Finding #3
Analyse Approfondie des Findings Phares

Reflected XSS in Search Param

NEW
highCVSS 7.5· Vulnérabilité externeConfirmé en croisé
app.example.com/search?q=Sphior DAST active rule (40012)

1. Risk Summary

Cette découverte est un Reflected Cross-Site Scripting dans le paramètre query (q=) de l'endpoint app.example.com/search. Sphior Web App Scanner a confirmé que le payload `<script>alert(1)</script>` est directement reflété dans le HTML de réponse. Nous avons observé un schéma où HTML escape n'est pas appliqué dans la section d'affichage de search query et l'auto-escape du template engine est également désactivé. Combiné avec l'observation concurrente de cookies sans HttpOnly, cela comporte la possibilité d'une chaîne de vol de session → admin session hijacking. Cela affecte la qualité des preuves de support d'audit SOC 2 CC6.6 / ISO 27001 A.8.8, et une réponse dans ce trimestre est recommandée.

2. Risk Snapshot

Impact Métier
Moyen-Élevé

Vol de cookie de session (combiné avec absence de HttpOnly), chaîne de phishing, possibilité de hijacking de session du panneau admin.

Difficulté d'Exploitation
Élevé

Trivial via URL ; l'attaque s'établit simplement en faisant cliquer une victime sur une URL élaborée. Reconnaissance inutile en raison de la fonctionnalité de recherche publique ; surface d'attaque large.

Urgence Observée
Élevé

Large surface d'attaque sur endpoints publics ; réponse rapide après détection précoce recommandée. Remédiation à la racine possible via output encoding + CSP.

3. Observed Evidence (extrait)

Evidence complète + sortie brute du scanner dans App-A · #3
HTTP TRACE
GET /search?q=<script>alert(document.cookie)</script> HTTP/1.1 Host: app.example.com Response: 200 OK Content-Type: text/html <html><body>Résultats de recherche : <script>alert(document.cookie)</script>… ← payload directement reflété dans le HTML de réponse, exécuté par le navigateur utilisateur (encoding non appliqué)

4. Recommended Actions

STEP 01EmergencyStandardisation d'output encoding

Afficher la section d'affichage de search query avec HTML escape (format &lt; / &gt; / &amp; / &quot;) et ré-activer l'auto-escape du template engine sur toutes les vues. Réponse dans ce trimestre recommandée.

Implementation hintReact: JSX auto-escape default / Vue: {{ }} auto-escape / Django: {% autoescape on %}

STEP 02ContainmentRenforcement de l'en-tête Content-Security-Policy

Ajouter une politique CSP interdisant les scripts inline (script-src 'self', etc.) à toutes les réponses, éliminer complètement unsafe-inline. Déprécier l'en-tête X-XSS-Protection + migrer vers CSP.

Implementation hintAppliquer sur tous les endpoints via Cloudflare Workers / configuration Nginx / middleware Express helmet

STEP 03VerificationHttpOnly + SameSite obligatoires sur cookies de session

Rendre HttpOnly + SameSite=Strict obligatoires sur les cookies de session pour empêcher l'acquisition de cookies depuis JS et minimiser l'impact du vol de cookies via XSS. Confirmer l'adoption complète via Sphior re-scan.

Implementation hintSet-Cookie: session=…; HttpOnly; Secure; SameSite=Strict (unifié sur tous les endpoints)

5. Compliance Standards & References

CWE-79OWASP A03 InjectionNIST SP 800-53 SI-10SOC 2 CC6.6ISO 27001:2022 A.8.8
Related findings#8 (Cookie no HttpOnly) / #6 (Verbose error sur /login) — L'impact augmente quand XSS se combine avec absence de cookies HttpOnly
Affected scopePossibilité du même schéma sur 3 endpoints de fonctionnalité de recherche publique incluant app.example.com/search ; confirmation de portée via Sphior re-scan recommandée
Full Per-Finding CardFull Per-Finding Card (Standard 1 page) voir App-A · #3 — échantillons de code d'output encoding + édition complète des lignes directrices de conception de politique CSP
Audit-support reference  |  Confidential
E.2 · Featured Finding #3  |  Page 21 of 30
Moteur de mise à jour des menaces

Chaque mois, SPHIOR s'adapte aux nouvelles techniques d'attaque.

Les menaces de sécurité évoluent chaque mois. L'équipe sécurité de SPHIOR intègre en continu de nouvelles vulnérabilités, techniques d'attaque et CVE dans le moteur d'analyse — vos critères de diagnostic restent toujours à jour.

Chaque évaluation mensuelle s'exécute sur le moteur le plus récent.

Mises à jour du moteur

Mis à jour en continu

    Engine continuously synced

    Vos preuves, vérifiables de façon indépendante par n'importe qui dans le monde

    Les preuves de chaque mois sont inscrites dans un registre public que personne ne peut altérer. Ainsi, des tiers comme les auditeurs peuvent vérifier eux-mêmes — sans dépendre de SPHIOR — que les preuves n'ont pas été falsifiées.

    Global
    24 Villes
    24/7
    Gouvernance Sans Intervention

    Ref · SPHIOR-RECORDER

    Enregistrement de preuve scellé

    SPHIOR Recorder
    • Chaîne de hachage infalsifiable
    • Horodatage public/qualifié
    • Vérifiable indépendamment
    ContinuAncré

    Ref · SPHIOR-AIGOV

    Enregistrement d'exécution IA

    Gouvernance IA
    • Aligné ISO 42001 / EU AI Act
    • Hachage seul — sans prompts ni sorties
    • Infalsifiable et vérifiable
    Par exécutionInfalsifiable

    Ref · SPHIOR-AUDIT

    Preuve de sécurité mensuelle

    SOC 2 / ISO 27001
    • Évaluation externe réalisée
    • Constatations priorisées et suivies
    • Scellé pour référence de l'auditeur
    MensuelAppui à l'audit
    Gouvernance et preuves

    Une fois enregistrée, votre preuve ne peut être réécrite, pas même par SPHIOR.

    SPHIOR ne se contente pas de rapporter votre posture de sécurité : il la scelle. Constatations, changements d'infrastructure-as-code et exécutions d'IA sont enregistrés de façon infalsifiable et vérifiable indépendamment, pour que vous et votre auditeur prouviez exactement ce qui s'est passé et quand — sans avoir à nous faire confiance.

    • Infalsifiable et vérifiable indépendamment

      Chaque enregistrement est scellé avec des horodatages publics et qualifiés. Votre auditeur le vérifie avec des outils ouverts, sans avoir à faire confiance à SPHIOR.

    • Preuves de gouvernance IA — ISO 42001 / EU AI Act

      Enregistrez les exécutions de votre IA et de vos agents comme preuves infalsifiables pour ISO 42001, l'EU AI Act et SOC 2. Seuls les hachages et métadonnées sont conservés, jamais vos prompts ni sorties.

    • Preuves d'appui pour SOC 2 / ISO 27001

      Enregistrements mensuels d'évaluation externe, périmètre et remédiation — scellés et prêts pour référence de l'auditeur.

    Choisissez votre plan

    Anticipez les pannes de site, les atteintes à la réputation et les risques de vulnérabilités invisibles, et sachez exactement quoi corriger en priorité. Choisissez le plan adapté à votre échelle et au niveau de sécurité dont vous avez besoin.

    Économisez 20%

    Core

    Pour sécuriser un produit principal

    Diagnostic de sécurité complet pour votre produit principal — y compris le DAST authentifié qui analyse derrière la connexion. Prouvez chaque mois que votre produit est sûr, avec des enregistrements infalsifiables et sans ingénieur dédié.

    $199/mois

    Facturé 1,990 par an

    • DAST authentifié — analyse derrière la connexion, panneaux d’administration et API
    • Analyse des vulnérabilités et mauvaises configurations
    • Audit approfondi des en-têtes, HTML et confidentialité
    • Audit de sécurité DNS (SPF / DKIM / DMARC / DNSSEC)
    • Vérification de transparence des certificats TLS
    • Surveillance de la disponibilité et des réponses
    • Preuves infalsifiables + rapport de sécurité mensuel

    Premier mois gratuit

    Scale

    Pour portefeuilles et équipes de sécurité

    Tout ce qui est inclus dans Core, sur l’ensemble de votre portefeuille. La découverte automatique d’actifs trouve toutes vos propriétés et les analyse ensemble, avec suivi mensuel des évolutions et push en un clic vers votre outil GRC.

    $599/mois

    Facturé 5,990 par an

    • Tout Core — pour plusieurs propriétés
    • Découverte automatique d’actifs + couverture des sous-domaines
    • Scan approfondi des CVE et vulnérabilités connues
    • Suivi mensuel des évolutions (détection de nouveaux risques)
    • Scan de sécurité du code (intégration GitHub)
    • Audit d’infrastructure cloud (AWS / GCP / Azure / Cloudflare — optionnel)
    • Push GRC automatique (Drata / Vanta / Secureframe)
    • Sièges d’équipe + rapport mensuel avec priorités de remédiation

    Premier mois gratuit

    Enterprise

    Pour industries réglementées et organisations prêtes pour l’audit

    Tout ce qui est inclus dans Scale, plus SPHIOR Recorder — un enregistrement infalsifiable et vérifiable de façon indépendante de chaque changement de votre infrastructure-as-code, pour prouver exactement ce qui a changé et quand. Inclut des horodatages qualifiés (RFC 3161) et des packs de preuves que votre auditeur peut vérifier de façon indépendante.

    $2,499/mois

    Facturé 24,990 par an

    Le tarif est calculé sur mesure selon le périmètre, la configuration d’authentification et les besoins d’assistance.

    • Tout ce qui est inclus dans Scale
    • SPHIOR Recorder — enregistrement infalsifiable de chaque changement d'infrastructure-as-code
    • Horodatages qualifiés (RFC 3161)
    • Packs de preuves prêts pour l’auditeur (OSCAL · vérifiables indépendamment)
    • IA de gouvernance + chat IA inclus
    • Support prioritaire et SLA

    Prêt à sécuriser votre avenir numérique ?

    Commencer Gratuitement

    ✓ Surveillance 24/7