Sécurité développeur et OSINT : repères

Deux recherches se ressemblent et ne demandent pas le même droit. L’une regarde votre dépôt, votre image, vos dépendances. L’autre interroge quelque chose qui est déjà public, ou qui le devient dès que vous envoyez un fichier. Les mélanger produit de mauvaises pages, du type liste unique où un scanner de secrets côtoie un outil de collecte sans dire qui a le droit de l’utiliser.

Cette page n’est pas un classement, et elle ne promeut aucun outil. L’ordre sépare le contrôle de votre propre code et la lecture d’une exposition déjà publique. Chaque fiche a un public, une limite, et un lien ouvert le 2026-10-18. Prix : non relevé. Aucun scan, aucune soumission d’URL, aucun dépôt de fichier n’a été fait pour l’écrire. Il n’y a pas de mode d’emploi d’attaque, ni de requête pour trouver la machine de quelqu’un d’autre.

Les pages Maltego, SpiderFoot, Shodan et Censys sont décrites plus bas, ouvertes le 2026-10-18. Aucune requête, aucun module et aucune commande de collecte n’y sont repris. Les nommer n’arrondit pas la liste.

Semgrep

Semgrep scanne le code et les dépendances depuis la ligne de commande, puis range les findings dans un tableau. Le quickstart demande Python 3.10 ou plus, une connexion GitHub ou GitLab pour semgrep ci, et dit que Windows est en bêta. Sans ces comptes, la même page renvoie vers semgrep scan. Elle précise que le code n’est pas envoyé : seuls les findings partent vers la plateforme.

La limite : un finding n’est pas un correctif, et cette page n’a pas lancé de scan pour voir le bruit. L’installation préférée citée (pipx ou uv) n’a pas été rejouée. Brancher Semgrep comme outil d’agent élargit ce que le modèle peut lire. Les droits de cet outil se règlent dans le guide des permissions, pas dans le README du scanner.

Bandit

Bandit cherche les problèmes de sécurité courants dans du code Python, pas dans une image Docker. La documentation dit que l’outil construit un AST de chaque fichier et fait tourner des plugins dessus, puis produit un rapport. Le code est sur le dépôt PyCQA.

La limite est le périmètre. Un AST ne voit pas la configuration du cluster, ni une dépendance vulnérable dont le code n’est pas dans le fichier scanné. Bandit ne remplace pas pip-audit, et l’inverse est vrai aussi. Aucun rapport n’a été généré ici.

pip-audit

pip-audit regarde si les paquets Python d’un environnement ou d’un fichier de requirements ont des failles déjà publiées. Le dépôt le place sous la Python Packaging Authority. Les sources citées sont l’API JSON PyPI, OSV, et une option supplémentaire. L’outil peut émettre un SBOM et proposer une mise à jour. Il exige Python 3.10 ou plus.

La limite est écrite dans le modèle de sécurité du projet, et elle est plus utile que la liste des drapeaux : pip-audit n’est pas un analyseur de code, et il ne défend pas contre un paquet malveillant. La phrase du dépôt tient en une ligne. Si vous ne l’installeriez pas avec pip, ne l’auditez pas avec pip-audit. Une mise à jour automatique n’a pas été lancée ici. Ce n’est pas non plus une revue de licence.

Trivy

Trivy parcourt une image, un dépôt ou un cluster, à la recherche de vulnérabilités, de secrets ou de mauvaises configurations. La page premiers pas décrit la commande comme une cible plus des scanners. Les exemples couvrent une image, un système de fichiers, et un cluster Kubernetes. Des intégrations CI et un opérateur sont listés. Aqua est présenté à part, comme offre commerciale au-dessus de Trivy.

La limite : la page d’exemple scanne des cibles génériques. Elle ne dit pas que la base de vulnérabilités est à jour le jour où vous la lancez, et ce guide ne l’a pas vérifié. Un rapport n’applique pas le correctif. Le volet commercial n’a pas été ouvert, et aucun prix n’est repris.

Gitleaks

Gitleaks détecte des secrets dans un historique git, des fichiers, ou un flux sur l’entrée standard, avant qu’ils partent plus loin. Le README décrit trois modes, git, répertoire et stdin, plus un hook pre-commit et une action. Il avertit aussi que le projet est considéré comme complet : l’auteur ne fusionne plus de fonctionnalités nouvelles, seulement des correctifs de sécurité, et dit déplacer son travail vers Betterleaks.

C’est la limite qui compte. Un outil figé détecte encore, mais il ne suivra pas seul les nouveaux formats de clés. Un finding n’est pas une rotation. L’historique peut garder le secret après un commit de suppression. Cette page ne montre pas d’exemple de secret, et elle n’a pas scanné de dépôt. Le même type d’alerte, côté hébergeur git, est une autre fiche plus bas.

Secret scanning GitHub

Le secret scanning de GitHub prévient un propriétaire de dépôt quand un identifiant connu est commité, y compris dans l’historique, les issues, les pull requests, les discussions et les wikis. La page About secret scanning dit que les dépôts publics sont scannés automatiquement, et que les dépôts privés ou internes dépendent d’une offre GitHub. Cette fiche ne recopie pas les noms de plans ni un prix. Les secrets partenaires peuvent être signalés au fournisseur et ne pas apparaître dans vos alertes. La rotation est présentée comme le geste utile. Réécrire l’historique est décrit comme souvent inutile une fois le secret révoqué.

Le volet qui correspond à « assisté » est nommé sur la même page : Copilot secret scanning, pour des secrets peu structurés comme des mots de passe, ou pour proposer une expression régulière. Ce n’est pas un produit d’OSINT. La limite : une alerte tardive ne revient pas en arrière sur un clone déjà parti. Activer un contrôle de validité peut contacter le service émetteur. Ce n’est pas anodin, et ce guide ne l’a pas activé.

ZAP

ZAP examine une application web précise, la vôtre ou celle d’un client qui l’a autorisé. Pas une URL trouvée au hasard. Le guide de démarrage le décrit comme un proxy entre le navigateur et l’application, avec un mode sans échec qui réduit fortement les fonctions, et un scan actif qui envoie de vraies attaques. La page dit que ce scan peut endommager le site, et qu’il ne faut pas le lancer sans permission. Java 17 ou plus est requis hors installeur macOS et images Docker.

La limite s’arrête là, volontairement. Cette page ne reprend pas les étapes d’exploration ni d’attaque du guide ZAP. Un proxy qui voit le trafic de test voit aussi les cookies de ce trafic. Le mode sans échec existe pour une raison. S’en passer « pour aller plus vite » sur une URL qui n’est pas à vous n’est pas un usage de développeur.

Have I Been Pwned

Have I Been Pwned dit si une adresse ou un mot de passe apparaît dans des fuites déjà recensées. Il ne cartographie pas une organisation. La documentation API v3 décrit une recherche d’adresse, de domaine et de pastes, soumise à clé, et une API de mots de passe compromis documentée comme n’exigeant pas cette clé. Envoyer l’adresse complète la divulgue au service. La doc décrit aussi une recherche par préfixe d’empreinte pour certaines requêtes. Un serveur MCP est documenté pour les agents. Les paliers d’abonnement existent. Aucun prix n’est relevé, et aucune clé n’a été appelée.

La limite : une absence dans HIBP ne prouve pas qu’un compte est sain. Une présence ne dit pas qui en abuse aujourd’hui. Le MCP permet à un agent d’interroger ces données. Ce n’est pas une suite d’enquête, et ce n’est pas une raison de lui donner la clé d’un domaine que vous ne contrôlez pas. Le cadre reste le guide des permissions. Le choix du connecteur, s’il passe par MCP, reste le guide des serveurs MCP.

urlscan

urlscan enregistre ce que charge une URL suspecte, souvent un lien reçu. Le hub de documentation dit qu’une soumission lance un navigateur automatisé, qui visite l’URL comme un utilisateur et note domaines, adresses IP, ressources, et des informations sur la page. La page parle aussi de verdicts de phishing et d’imitation de marque. urlscan Pro est un produit commercial séparé, avec recherche historique et alertes. Aucun prix n’est recopié. Une bibliothèque Python officielle est liée depuis ce hub.

La limite est le geste lui-même. Soumettre une URL, c’est provoquer une visite réelle vers ce site. Ce guide ne donne pas de filtres de recherche, ni de méthode pour retrouver d’autres hôtes. L’usage défendable ici est une URL que vous avez le droit d’examiner, pas un balayage. Le mot « assisté par un modèle » n’apparaît pas dans le hub relu. Il n’est donc pas ajouté.

VirusTotal

VirusTotal, sur la seule page ouverte, analyse un fichier ou une URL suspects. La page d’envoi dit que le service détecte des types de logiciels malveillants et partage automatiquement les échantillons avec la communauté de sécurité.

C’est peu, et c’est assumé. Aucune documentation d’API n’a répondu lors de la relecture, donc les quotas, la rétention et un éventuel volet modèle ne sont pas décrits. La limite déjà écrite sur la page publique suffit : envoyer un fichier, c’est le partager. On n’envoie pas un binaire client, un export, ou une archive de secrets pour « voir ». Cette fiche ne dit pas comment interroger l’historique de quelqu’un d’autre.

Maltego

Maltego s’adresse à des enquêteurs, pas à un linter de dépôt. La page What is Maltego? le présente comme une plateforme d’enquête qui rassemble des données, dont des recherches OSINT et des dossiers plus longs. L’accès aux outils (Search, Graph, Monitor, Evidence, et d’autres) dépend du plan. Le lien vers les plans, sur cette page, est un placeholder. Aucun nom de plan ni montant n’est donc repris.

Cette fiche ne décrit pas de transform, de recherche, ni de collecte. Aucun modèle n’est nommé sur la page ouverte. Ce n’est pas un contrôle de votre code.

SpiderFoot

SpiderFoot, sur le README du dépôt, est un outil d’OSINT automatisé, en Python, sous licence MIT, avec une interface web ou une ligne de commande. Le README dit qu’on peut s’en servir pour voir ce qu’une organisation a exposé, et aussi pour une reconnaissance offensive. Seul le premier cadre a sa place ici, et seulement sur une cible que vous avez le droit d’examiner.

La page d’accueil spiderfoot.net, ouverte le même jour, ne décrit plus le projet : elle renvoie ailleurs. Le README reste la source. Cette page n’en reprend pas la liste de cibles, les modules, ni les commandes d’installation. Aucune mention d’un modèle sur ce README. HX est une offre commerciale séparée. Aucun prix n’est relevé. Aucun scan n’a été lancé.

Shodan

Shodan est un moteur de recherche d’appareils reliés à Internet, pas un moteur de pages web. La page What is Shodan? dit qu’il interroge ces appareils pour des bannières, des métadonnées publiques sur le logiciel qui écoute. L’usage qui tient sur cette page de développeur : surveiller les appareils de votre propre organisation qui font face à Internet.

La page suivante du centre d’aide est la syntaxe de recherche. Elle n’a pas été ouverte, et elle n’est pas résumée. Aucun filtre n’est donné ici. La page lue ne nomme pas de modèle. Prix : non relevé. Aucune recherche n’a été faite.

Censys

Censys, sur la page Get Started with the Censys Platform, s’adresse à des équipes de sécurité qui veulent voir des actifs exposés et une surface d’attaque. La page cite la chasse, la gestion de surface, la réponse à incident et la protection de marque. Ce sont les fonctions annoncées, pas un essai.

La langue de recherche n’a pas été ouverte. Elle n’est pas reprise. « Advanced analytics » est une formule de la page, pas une preuve qu’un modèle est dans la boucle. Aucun prix n’est relevé. Aucune recherche n’a été lancée.

Ce que l’IA change, et ce qu’elle ne change pas

La seule assistance par modèle confirmée sur une page officielle relue ici est Copilot secret scanning, pour des secrets peu structurés dans GitHub. Le MCP de Have I Been Pwned permet à un agent d’interroger des fuites. Maltego, SpiderFoot, Shodan et Censys, sur les pages ouvertes le 2026-10-18, ne décrivent pas un modèle dans la boucle. Le reste de cette page est du contrôle classique : AST, avis de vulnérabilité, image, historique git, proxy. Appeler cela une suite OSINT assistée serait inventer un produit.

Un agent qui lance ces outils a les mêmes problèmes qu’un flux qui déplace des données : quel compte, quel journal, quel arrêt. Le comparatif n8n, Make et Zapier traite cet angle pour les outils visuels. Il n’est pas recopié. Les droits de l’agent restent dans le guide des permissions.

Prix : non relevé. Aucun test n’a été exécuté. Si une doc a changé après le 2026-10-18, le lien de la fiche est la source, pas ce résumé.

Sources

Sources officielles revérifiées le 19 octobre 2026. Aucun scan, aucune recherche OSINT, aucune soumission d’URL ou de fichier et aucune commande d’installation n’ont été exécutés.