StaticCodeAudit — Résumé produit

Outil autonome d'audit de conformité, de sécurité et de qualité du code. Zéro dépendance. 100 % hors-ligne. Rapports de qualité entreprise.

Par CodeFixture | Préfixe : SCA

Sommaire

1. Points clés
2. Ce qu'il fait
3. Règles de détection
4. Langages pris en charge
5. Fonctionnalités du rapport
6. Conformité et standards
7. Internationalisation
8. Référence CLI
9. Configuration
10. Performance

Points clés

• Binaire autonome unique — aucune installation, aucune dépendance externe à installer
• 100 % hors-ligne — aucun appel d'API, aucun accès réseau, aucune dépendance cloud
• Plus de 465 règles de détection réparties sur 7 catégories d'audit avec correspondance OWASP/CWE/WCAG/ASVS (Python, JS/TS, Java, C#, PHP, YAML)
• Rapports HTML interactifs — fichier unique autonome avec plus de 12 visualisations Chart.js
• Prise en charge de 4 langues — français, anglais, espagnol, allemand (rapport et console)
• Comparaison historique — suivi automatique de la baseline sur 10 audits
• Analyse CVE — intégration optionnelle de pip-audit et npm audit (locale, hors-ligne)
• Personnalisation marque blanche — nom d'outil, société et logo configurables par projet
• Matrice de conformité ISO 27001 — mappe les findings vers les 93 contrôles de l'Annexe A sur 4 thèmes
• Rétention des rapports — nettoyage configurable par nombre, jours ou les deux modes
• Intégration git blame — résolution du committeur par finding pour la traçabilité
• Configuration interactive — modes init et configure guidés pour une mise en place facile
• Mode démo — --demo génère des rapports anonymisés (chemins, code, solutions masqués) pour les prospects et le partage public
• Wizard de règles personnalisées — --create-rule wizard unifié en 7 étapes : création ou édition, vérification de doublons (nom + pattern), DSL complet (risk/solution/benefit/fix), 4 langues
• Filtre de sévérité — --severity CRITICAL,HIGH filtre les règles avant le scan ; bandeau orange dans le rapport quand actif
• Badge de langage — chaque finding affiche son langage détecté (Python, JavaScript, YAML…) sous forme de badge neutre
• Graphique langage × sévérité — diagramme à barres empilées croisant le langage détecté et le niveau de sévérité
• Architecture des règles personnalisées — répertoire custom-rules/ séparé, jamais écrasé par les mises à jour
• Progression détaillée — numérotation dynamique [n/N] calculée après le chargement des règles, messages par langage et par étape de taint

Ce qu'il fait

StaticCodeAudit (SCA) est un outil d'analyse statique qui scanne le code source d'un projet à la recherche de vulnérabilités de sécurité, d'anti-patterns architecturaux, de problèmes d'accessibilité UI/UX et de dette de maintenance. Il produit un rapport HTML autonome avec des findings groupés par sévérité, des graphiques interactifs, un score de santé et une analyse historique des tendances.

Workflow

1. ./staticcodeaudit-<plateforme> /chemin/vers/projet --init   # Initialise le projet (génère UUID + config)
2. ./staticcodeaudit-<plateforme> /chemin/vers/projet          # Lance l'audit complet
3. Ouvrez SCA-REPORT-*.html                                    # Consultez le rapport interactif

Chaque audit génère :

• Rapport HTML (SCA-REPORT-{timestamp}.html) — autonome, imprimable, interactif
• Rapport démo (SCA-REPORT-{timestamp}-demo.html) — version anonymisée à partager (activable via --demo)
• Données JSON (SCA-DATA-{timestamp}.json) — lisible par machine, versionné (v3.4)
• Baseline — stockée pour la comparaison du prochain audit (problèmes nouveaux/résolus/persistants)

Règles de détection

Plus de 465 règles réparties sur 7 catégories, chacune avec évaluation du risque, conseils de remédiation et description du bénéfice.

Security (~430 règles) — Poids : 3

Interface / UI (5 règles) — Poids : 1

Expérience utilisateur / Accessibilité (18 règles) — Poids : 1

Maintenance (22 règles) — Poids : 1

Dependencies (3 règles) — Poids : 2

CI/CD (18 règles) — Poids : 2

Langages pris en charge

Fonctionnalités du rapport

Sections (17 au total)

1. En-tête — Nom du projet, version, UUID, drapeau de langue, horodatage
2. Sommaire — Grille cliquable avec icônes emoji
3. Paramètres d'audit — Langages, extensions scannées, chemins, motifs d'exclusion, catégories, mode
4. Options CLI utilisées — Checklist de 16 options avec statut et descriptions
5. Visualisations — 9 graphiques de métriques + 4 graphiques de tendances historiques (incl. barres empilées langage × sévérité)
6. Statistiques de synthèse — Cartes : compteurs HIGH/MEDIUM/LOW, validations, taux de tests, durée
7. Score de santé — Score de sécurité logarithmique normalisé par LOC, avec pénalités par sévérité et barre de progression colorée
8. Top 10 des fichiers problématiques — Classement en heatmap
9. Tests unitaires — Compteurs pass/fail/error/skip avec détails
10. Validation des fixtures — Résultats de précision de détection
11. Dépendances — Résultats du scan CVE, paquets non figés (optionnel)
12. Conformité SLA — Délais de résolution et règles d'escalade par sévérité
13. Matrice de conformité ISO 27001 — Mapping des findings vers les contrôles de l'Annexe A ISO/IEC 27001:2022 (93 contrôles, 4 thèmes)
14. Findings par sévérité — Groupés CRITICAL/HIGH/MEDIUM/LOW/INFO avec extraits de code, badges de catégorie, liens glossaire
15. Validations par catégorie — Messages de succès (aucun problème détecté)
16. Glossaire — 36 acronymes avec définitions (OWASP, ASVS, WCAG, CVE, CVSS, CWE, CSRF, XSS, SQL, SARIF, SBOM, ISO 27001, etc.)

Fonctionnalités interactives

• Sidebar redimensionnable — Sommaire collant avec poignée de redimensionnement et persistance localStorage
• Raccourcis clavier — Navigation j/k, Ctrl+Home
• Sections repliables — Cliquez pour déplier/replier les findings
• Mode impression — Mise en page imprimable en un clic
• Visualisations Chart.js — Plus de 12 graphiques interactifs avec tooltips
• Comparaison à la baseline — Problèmes nouveaux/résolus/persistants mis en évidence
• Liens croisés du glossaire — Tous les acronymes du rapport sont des liens cliquables vers le glossaire avec aperçu en tooltip

Autonomie du rapport

Chaque rapport est un fichier HTML unique autonome :

• Tous les CSS, JavaScript et Chart.js intégrés en inline
• Favicon et logo encodés en base64
• Aucun fichier externe, aucun CDN, aucun réseau requis
• Peut être ouvert dans n'importe quel navigateur, partagé par e-mail, archivé

Conformité et standards

Internationalisation

Chaque chaîne de l'outil est localisée :

• Messages console (locales/script/{lang}.json)
• Messages de log de debug (niveaux info, detail, trace)
• Texte, libellés et titres du rapport (locales/report/{lang}.json)
• Noms des règles, descriptions de risque, solutions, bénéfices
• Noms de catégories, libellés de sévérité, libellés de graphiques
• Termes du glossaire, définitions d'acronymes

Référence CLI

La CLI est organisée en 3 groupes d'arguments principaux.

Scan Options (communs à toutes les cibles)

Output Options

Client Features

Configuration

Toute la configuration vit dans audit.config.json à la racine du projet. Généré par --init.

Sections clés

Personnalisation marque blanche

{
  "brand": {
    "tool_name": "MyCompanyAudit",
    "company_name": "My Company",
    "prefix": "MCA",
    "logo": "assets/my-logo.svg"
  }
}

Personnalise : titre du rapport, pied de page, noms des fichiers de sortie, favicon, logo de l'en-tête.

Identifiant unique du projet

Chaque projet reçoit un identifiant unique (UUID) au premier --init. Cet identifiant permet :

• De distinguer plusieurs projets portant le même nom à des emplacements différents
• D'isoler les règles et fixtures spécifiques au projet
• De suivre l'historique des audits (compteur, date du dernier audit)

L'identifiant est stocké dans le fichier audit.config.json du projet (clé project.id).

Performance

StaticCodeAudit met en cache l'analyse pour accélérer drastiquement les exécutions répétées :

• Cache des règles compilées — réutilisation entre runs
• Analyse incrémentale par hash — seuls les fichiers modifiés sont ré-analysés
• Gain mesuré : -71 % en mode warm sur un projet de référence (332 fichiers : 15 s → 4,3 s)
• Cache sécurisé — HMAC-SHA256 anti-falsification, écriture atomique, purge des entrées orphelines
• Désactivable par variables d'environnement (SCA_NO_CACHE, SCA_NO_INCREMENTAL, SCA_NO_PARALLEL) si nécessaire