Radiographie Code
Audit de code : tout examiner, puis décider
Un audit de code est l’examen du code source d’une application pour évaluer sa qualité, sa sécurité et son coût d’évolution. Avec la Radiographie Code, Amiltone analyse l’ensemble du code de l’application auditée, fait vérifier chaque constat par un expert et remet un premier rapport en 5 à 10 jours ouvrés environ pour une application de taille moyenne.
En bref
Pour qui
DSI, CTO, RSSI, éditeurs de logiciels, directions achats et acquéreurs ; PME, ETI et grands comptes
Le point de départ
La Radiographie Code : une application examinée sur six axes
Durée
1 à 2 semaines par application ; premier rapport en 5 à 10 jours ouvrés (ordre de grandeur, application de taille moyenne)
Ce que vous obtenez
Un score par axe, les 10 risques prioritaires, la dette chiffrée en jours, une documentation reconstituée et une recommandation : maintenir, remédier ou refondre
Ensuite
La remédiation (1 à 3 mois), puis le contrôle continu de chaque évolution
Format
Forfait par application pour le diagnostic ; remédiation au forfait, avec engagement de résultat possible sur un lot maîtrisé ; contrôle continu par abonnement. Prix sur devis
Pourquoi auditer son code maintenant ?
Une application peut tourner tous les jours et rester une boîte noire, jusqu’au jour où il faut la faire évoluer, la confier à d’autres ou la racheter.
L’expert est parti, le prestataire change
Le développeur historique a quitté l’entreprise, ou la TMA change de mains. La tierce maintenance applicative (TMA), c’est la maintenance d’une application confiée à un prestataire. Avant de la reprendre, ou de racheter une société et son logiciel, il faut savoir ce que l’on reprend : état du code, failles, dépendances, règles métier enfouies.
Maintenir ou refondre : impossible d’arbitrer sans chiffres
La dette technique désigne les raccourcis et composants vieillis accumulés dans un logiciel, qui ralentissent et renchérissent chaque évolution. Selon la dernière édition disponible de l’étude du CISQ, le coût de la mauvaise qualité logicielle aux États-Unis atteignait au moins 2 410 milliards de dollars en 2022, dont environ 1 520 milliards de dette technique accumulée (Source : CISQ, « The Cost of Poor Software Quality in the US: A 2022 Report », 2022). Le chiffre est américain, mais la leçon vaut partout : une dette non chiffrée n’entre dans aucun budget.
Nous éditons un logiciel, et la réglementation se précise
Le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) fixe des exigences de cybersécurité aux fabricants de produits comportant des éléments numériques, logiciels compris. Ils doivent signaler les vulnérabilités activement exploitées depuis le 11 septembre 2026 ; les exigences principales s’appliquent au 11 décembre 2027 (Source : Commission européenne, « Cyber Resilience Act », 2026). Un logiciel installé chez vos clients est en principe concerné ; un service fourni uniquement en SaaS s’examine au cas par cas. Dans tous les cas, il faut savoir où en est le code.
Nos développeurs codent avec des assistants d’IA
Les assistants accélèrent l’écriture, pas la relecture. Une dépendance obsolète, une requête mal protégée ou une licence incompatible passent plus facilement quand le volume de code augmente.
Qu’est-ce que l’IA change dans un audit de code ?
Les outils d’analyse statique examinent le code sans l’exécuter. Nous y ajoutons des agents d’IA : des programmes qui s’appuient sur un modèle de langage pour enchaîner des tâches (parcourir le code, lancer une analyse, rédiger une synthèse), sous le contrôle d’un expert.
Ce que vous vivez souvent
Avec Amiltone : l’IA examine, l’expert valide
Un audit sur un échantillon de fichiers, faute de temps pour tout relire
L’ensemble du code de l’application auditée, analysé par des outils d’analyse statique (SonarQube, Semgrep, CodeQL…) et par des agents d’IA
Des centaines d’alertes à trier à la main, dont des faux positifs
Des alertes triées, dédoublonnées et qualifiées par un expert, priorisées par risque métier
Une documentation absente ou en retard sur le code
Une documentation reconstituée : architecture, règles métier, dépendances, flux
Un rapport technique, difficile à traduire en décisions
Deux restitutions : l’une pour la direction (risques, coûts, scénarios), l’autre pour les équipes (plan de remédiation détaillé)
Une liste de corrections à planifier
Des corrections proposées sous forme de demandes de modification, relues par vos développeurs
Un délai qui dépend du temps de lecture manuelle
Un premier rapport en 5 à 10 jours ouvrés pour une application de taille moyenne (ordre de grandeur)
L’IA accélère, l’expert décide. Outils et agents signalent ; un expert Amiltone vérifie chaque constat, écarte les faux positifs et qualifie la gravité au regard de votre métier. La même faille ne pèse pas autant sur une page de paiement publique que sur un écran d’administration interne.
Que contrôle la Radiographie Code ?
Six axes, chacun noté, chaque constat relié à un risque concret.
01
Qualité et maintenabilité
Complexité, duplication, conventions, couverture et pertinence des tests
02
Sécurité
OWASP Top 10, dépendances vulnérables, secrets exposés (mots de passe, clés d’accès), configuration, authentification et droits
03
Architecture et obsolescence
Découpage en modules, couplage, versions des frameworks et des langages, dette technique chiffrée en jours
04
Conformité
Licences open source, données personnelles dans le code et les journaux
05
Performance et sobriété
Requêtes coûteuses, traitements inutiles, consommation de ressources
06
Connaissance
Règles métier, flux, dépendances entre modules, documentation reconstituée
L’OWASP Top 10 est la liste de référence des grandes catégories de failles des applications web.
Une dette chiffrée, une documentation retrouvée
Chaque constat reçoit une estimation de l’effort de correction, en jours, ajustée par nos experts. Additionnée par axe et par module, cette dette se compare au coût d’une refonte. L’IA rédige aussi une première documentation à partir du code (architecture, flux, règles métier), vérifiée par un expert : le point de départ d’une reprise de TMA ou d’une modernisation.
Audit de code, tests et sécurité applicative : qui fait quoi ?
L’audit de code ne remplace ni les tests ni la sécurité applicative : il les oriente.
Audit de code
Ce qui est examiné
Le code source, sans l’exécuter, à un instant donné
Ce que l’audit lui apporte
—
Tests (QA)
Ce qui est examiné
L’application en fonctionnement, à chaque version
Ce que l’audit lui apporte
Les zones sans tests à couvrir en priorité
Sécurité applicative (AppSec)
Ce qui est examiné
L’application et son exposition, tout au long de son cycle de vie
Ce que l’audit lui apporte
Les vulnérabilités à confirmer, par exemple par un test d’intrusion
Nos expertises QA, tests et automatisation et sécurité applicative prennent ensuite le relais.
Comment se déroule la Radiographie Code ?
Trois temps. Le premier suffit pour décider ; vos équipes peuvent mener la suite.
01
La Radiographie Code
1 à 2 semaines par application, au forfait
01 Cadrer
applications, dépôts, accès, règles de confidentialité.
02 Analyser
outils d’analyse statique et agents d’IA, sur l’ensemble du code de l’application auditée.
03 Vérifier et chiffrer
un expert trie, confirme et priorise chaque constat ; la dette est chiffrée en jours et reliée aux risques métier.
04 Restituer
une lecture pour la direction, une pour les équipes ; premier rapport en 5 à 10 jours ouvrés environ pour une application de taille moyenne.
Livrables
score global et par axe, 10 risques prioritaires, dette technique chiffrée, documentation reconstituée, recommandation (maintenir, remédier ou refondre).
02
La remédiation
1 à 3 mois
05 Corriger
vulnérabilités critiques, montées de versions, réduction de la dette sur les modules les plus exposés, tests automatisés.
Livrables
code corrigé, tests en place, nouvelle radiographie de contrôle.
03
Le contrôle continu
abonnement
06 Surveiller
l’analyse s’intègre à votre chaîne d’intégration et de déploiement continus (CI/CD), qui teste et livre chaque version ; chaque demande de modification passe une revue de code augmentée, y compris le code produit avec des assistants d’IA.
Livrables
tableau de bord mensuel, alertes, revue trimestrielle.
Refonte recommandée ? La modernisation applicative prend le relais, ou la migration de langages propriétaires pour une application écrite avec l’outil d’un seul éditeur.
Risque de sécurité élevé ? La sécurité applicative par l’IA défend ensuite l’application à chaque modification, à partir d’un Bilan Blue Team : failles prouvées par un expert, correctifs proposés à vos équipes.
Ce sur quoi nous nous engageons
Ces engagements s’ajoutent à nos six engagements communs.
Un rapport défini avant de commencer
Applications, dépôts, axes, jalons et critères d’acceptation du rapport figurent dans la proposition.
Chaque constat vérifié
Chaque résultat produit par l’IA est relu et validé par un consultant avant livraison ; aucune correction n’entre dans votre code sans l’accord de vos développeurs.
Un accès limité au code
Nous travaillons sur une copie du dépôt en lecture seule, dans un environnement que vous validez, selon nos engagements communs sur l’usage de l’IA et de vos données.
Des livrables cédés
Rapport, documentation reconstituée, code corrigé, tests et règles d’analyse adaptées à votre application vous sont cédés selon les mêmes engagements communs ; nos chaînes d’analyse réutilisables restent notre outil.
Un engagement de résultat possible sur un lot maîtrisé
Pour une remédiation au périmètre figé, avec un critère mesurable défini ensemble, par exemple aucune vulnérabilité critique ouverte sur le périmètre retenu à l’échéance. La proposition précise alors ce qui se passe si le critère n’est pas atteint.
À qui s’adresse la Radiographie Code ?
La Radiographie Code s’adresse aux DSI, aux CTO, aux RSSI et aux éditeurs de logiciels, mais aussi aux directions achats qui changent de prestataire et aux acquéreurs, dans les PME, les ETI et les grands comptes.
Les situations qui déclenchent souvent un audit de code :
L’équipe mobilisée
un développeur senior qui pilote l’analyse et maîtrise les assistants de code ; un architecte logiciel qui évalue la structure et chiffre la dette ; un expert en sécurité applicative qui qualifie les vulnérabilités ; un ingénieur qualité qui évalue les tests.
- le départ de l’expert qui connaissait l’application ;
- un changement de prestataire ou une reprise de TMA ;
- une acquisition, avec une due diligence technique, c’est-à-dire l’audit du logiciel avant la signature ;
- un arbitrage entre maintenir et refondre ;
- un volume croissant de code produit avec des assistants d’IA.
Ce que vous mesurerez
Les vulnérabilités critiques et hautes ouvertes, avant et après remédiation.
La dette technique en jours, par axe et par module.
La couverture des tests automatisés sur les modules critiques.
La part des dépendances à jour.
Le délai de correction d’une vulnérabilité critique.
Avec le contrôle continu, la part des demandes de modification revues avant intégration.
Nous répondons à vos questions
Information générale à la date de mise à jour ; ne constitue pas un avis juridique.
Poursuivre selon votre besoin
Sécuriser la qualité de vos logiciels
des applications fiables dans la durée.
Moderniser une application sans tout réécrire
diagnostic, puis lots de 2 à 3 mois.
Migrer une application en langage propriétaire
Diagnostic de migration, puis lots successifs.
Défendre vos applications à chaque modification
la Blue Team augmentée par l’IA.
Mettez des chiffres sur votre code
En 1 à 2 semaines par application, la Radiographie Code vous donne un score par axe, vos risques prioritaires, une dette chiffrée et une recommandation claire. Au forfait, sur devis.