Livrez du code écrit par l'IA
sans livrer une faille de sécurité.
Les PR écrites par IA peuvent introduire des requêtes sans filtre d'organisation, des injections SQL, des secrets en dur et du SSRF. slopGrade Firewall bloque les fuites cross-tenant et les XSS par echo/print PHP affichant sans échappement des données de requête ; les repos payants bloquent aussi les comparaisons de HMAC ou de signature avec == accessibles depuis une requête. Les autres constats sont signalés sans bloquer, avant le merge — déterministe, 0 $, et seule une empreinte {fichier · ligne · classe} est envoyée par défaut sur un repo privé. Les repos publics lancent le deep scan (heisen-slop) par défaut ; sur un repo privé, c'est une option payante.
Conçu pour les équipes dont le code privé reste sur le runner par défaut. L'offre Entreprise peut faire tourner heisen-slop dans votre réseau.
Par défaut, le scan de sécurité ne voit jamais votre code privé.
Les reviewers IA hébergés et les scanners SaaS ingèrent votre code source sur leur plateforme. Pour beaucoup d'équipes — fintech, santé, secteur public — c'est rédhibitoire. slopGrade Firewall exécute les détecteurs dans votre runner et, sur un repo privé, ne publie par défaut qu'une empreinte structurelle. Le deep scan (heisen-slop) y est une option payante ; il est actif par défaut sur les repos publics.
Scanner SaaS classique
Tout votre dépôt — chaque ligne, chaque secret — copié dans une plateforme tierce.
slopGrade Firewall
Une empreinte structurelle — chemin, ligne, classe. Sur un repo privé, le contenu du fichier reste sur le runner par défaut ; le deep scan (heisen-slop) est une option payante. Sur un repo public, le deep scan tourne par défaut. Auditez le payload par défaut avec --print-payload.
Détecte → adapte → vérifie. Sur un repo privé, rien d'autre ne sort par défaut.
En local, dans votre runner
Le client open source parcourt le diff et construit une empreinte structurelle — chemins de fichiers, {file, line, kind}, et les noms de tables et de colonnes dont le contrôle cross-tenant a besoin. Par défaut, le contenu de vos fichiers privés reste sur la machine.
Verdict serveur + gate
L'empreinte est classée côté serveur. Les fuites cross-tenant et les XSS par echo/print PHP affichant sans échappement des données de requête bloquent sur les repos publics, le repo privé gratuit et les repos payants. Une comparaison de HMAC ou de signature avec == ne bloque que sur un repo payant, si une requête peut l'atteindre. Les autres formes de XSS et les autres classes signalent sans bloquer. Le contrôle d'abonnement échoue en mode ouvert. Pour les XSS, seul un echo/print PHP affichant sans échappement des données de requête ($_GET / $_POST / $_REQUEST / $_COOKIE) bloque.
Correctif calculé dans le runner
Chaque constat est publié inline sur sa ligne. Pour les classes qui ont une réécriture sûre et déterministe (vérification TLS coupée, debug actif, yaml.load…), le correctif est généré ET vérifié dans votre runner — le serveur n'y touche jamais, et il n'est proposé que s'il est prouvé qu'il élimine le constat.
Cross-tenant + XSS par echo/print PHP bloquent gratuitement. Autres constats sans blocage.
Les 22 packs de détecteurs open source analysent tous les repos. Le blocage gratuit couvre les fuites cross-tenant et uniquement les XSS par echo/print PHP affichant sans échappement des données de requête ; les autres formes de XSS et les autres classes signalent sans bloquer. Les repos payants détectent le catalogue complet de 125 classes ; 3 classes bloquent aujourd’hui, avec en plus les comparaisons de HMAC ou de signature avec == accessibles depuis une requête. L’analyse de flux entre fichiers relève du deep scan (heisen-slop).
Le catalogue complet de détection payant : 125 classes →
Deep scan (heisen-slop)
Le deep scan (heisen-slop) est une passe de flux déterministe sur 6 langages. Il est gratuit sur les repos publics, en option payante sur les repos privés, informatif par défaut, et la source est analysée en mémoire puis jetée. Le faire tourner dans votre infrastructure est une option Entreprise, décrite sur la page du moteur.
Le palier gratuit est réel. La gate, c'est là que ça paie.
Bloquez les fuites sur les repos privés. Solo pour une personne, Team pour une équipe — jamais par siège.
Solo : 10 repos privés pour une personne, jusqu'à 50. Team : 50 repos privés, utilisateurs illimités, Deep Scan sur chaque PR. Le blocage est gratuit sur chaque repo public et un repo privé. 14 jours gratuits, sans carte.
Les repos publics sont gatés gratuitement, pour toujours. Solo et Team : 14 jours gratuits, sans carte, une fois par compte.
Prêt à bloquer la prochaine fuite avant le merge ?
Ajoutez-le à un seul fichier de workflow. La première PR de code IA que vous scannez vous dira ce qu'elle allait laisser passer.
Les questions qu'une équipe sécurité pose en premier.
Mon code source quitte-t-il le runner ?
Par défaut, le contenu de vos fichiers privés ne quitte jamais le runner. Le client lit les fichiers localement et n'envoie qu'une empreinte structurelle — chemins, {file, line, kind}, et les noms de tables et de colonnes dont le contrôle cross-tenant a besoin. Lancez node isolation-gate.mjs --print-payload pour auditer les octets exacts. Même un secret en dur n'émet que l'emplacement et le type, jamais la valeur. Le deep scan (heisen-slop : option payante sur un repo privé, actif par défaut sur un repo public) envoie au plus 80 fichiers porteurs d'un sink / 2M caractères, les analyse en mémoire puis les jette. Il est informatif sauf si vous réglez deep-scan-block. Un repo privé gratuit n'envoie jamais de source.
Va-t-il spammer mes PR ou casser mon build ?
Non. Commencez en mode informatif pour voir chaque constat sans bloquer, puis activez le gate quand vous avez confiance. Les fuites cross-tenant et les XSS par echo/print PHP affichant sans échappement des données de requête bloquent gratuitement ; les repos payants bloquent aussi les comparaisons de HMAC ou de signature avec == si une requête peut atteindre la comparaison. Les autres formes de XSS et les autres classes restent informatives jusqu'à franchir le seuil de preuve publique en aveugle. Par défaut, une panne réseau, serveur ou OIDC ne casse jamais un build ; strict permet d'échouer en mode fermé.
Le correctif automatique — où tourne-t-il ?
Pour les classes qui ont une réécriture sûre et déterministe (vérification TLS coupée, debug actif, yaml.load…) : dans votre runner. Le correctif est généré et vérifié localement (on relance le détecteur sur le buffer patché et on ne garde le correctif que s'il élimine la fuite) — le serveur n'y touche jamais, et votre arbre n'est jamais modifié : appliquer reste votre décision.
Puis-je auditer le code qui tourne dans ma CI ?
Oui — le client est open source (MIT). Épinglez le SHA du commit pour figer le code exact (un tag peut être re-pointé, pas un SHA). Zéro dépendance npm ; uniquement les modules natifs de Node.
Quels langages ?
JavaScript/TypeScript, Python, Go et .NET aujourd’hui, ainsi que la forme XSS par echo/print PHP. Les 22 packs de détecteurs open source signalent gratuitement les constats. Le blocage gratuit couvre les fuites cross-tenant et uniquement les XSS par echo/print PHP affichant sans échappement des données de requête ; les autres formes de XSS restent informatives. Le firewall payant ajoute Java et le catalogue complet de 125 classes ; 3 classes bloquent aujourd’hui, dont les comparaisons de HMAC ou de signature avec == accessibles depuis une requête.