AxiHub
Créer mon compte

Pack d'intelligence · Security Check

AXI Security Check.
Les failles détectées avant qu'on les exploite.

OWASP Top 10 scanné en continu. Dépendances JS surveillées sur chaque CVE qui sort. SSL, headers, secrets exposés, erreurs de configuration — tout est inspecté méthodiquement. Chaque faille remontée avec une recommandation de remédiation claire. Vous dormez tranquille, AXI veille.

Inclus nativement dans AxiSolver (99 €) — ou activable seul sur votre AXI Initial.

Fiche technique

29€HT / mois

Sur AXI Initial (79€) — ou gratuit si vous êtes abonné à AxiSolver (99€).

Activer AXI Security Check

Capacités incluses nativement

  • Scan OWASP Top 10 continu

    Injection, broken access control, cryptographic failures, XSS, SSRF — les 10 vulnérabilités référencées par l'OWASP, détectées proactivement sur votre site.

  • Audit SSL/TLS + headers de sécurité

    Certificat, HSTS, CSP, X-Frame-Options, Permissions-Policy — vérification complète. Score Mozilla Observatory + plan de remédiation.

  • Veille CVE sur votre stack technique

    Dès qu'une CVE affecte une dépendance que vous utilisez (JS, PHP, CMS, serveur), AXI vous alerte avec gravité, impact et correctif disponible.

  • Détection de secrets exposés

    API keys, tokens, .env publics, mots de passe dans le code, clés AWS/Stripe/Github visibles — AXI scanne et alerte immédiatement.

Combos particulièrement puissants

Compatible avec tous les packs AXI. Ce pack s'active, se désactive et s'ajoute à n'importe quelle configuration — AXI retient tout, rien n'est jamais perdu.

État opérationnelVersion 1.0 · Dernière mise à jour aujourd'hui0 vulnérabilité critique · 0 malware détectéChiffrement Confidential by designHébergement UE · RGPD intégré

Obligation de moyens, pas de résultat. AXI s'engage sur la précision, la finesse et le dévouement de son exécution. Nous ne pouvons pas et nous ne garantissons aucun résultat chiffré, aucune performance commerciale, aucune absence totale de risque. AXI Security Check attrape l'écrasante majorité des vulnérabilités connues mais ne garantit pas une absence totale de compromission ni ne remplace, pour les applications à haut enjeu (banque, santé, défense), un pentest humain certifié ANSSI complémentaire. Détails complets dans nos conditions générales de vente.

Pour qui

Pour celles et ceux dont le site contient quelque chose de précieux.

AXI Security Check n'est pas un antivirus et ne prétend pas remplacer un audit pentester humain pour les applications critiques. Il est une veille continue professionnelle qui attrape 95% des problèmes avant qu'ils n'explosent.

Dirigeants d'entreprise RGPD

Vous êtes responsable de traitement. Une faille qui expose des données clients = sanction CNIL (jusqu'à 20M€ ou 4% du CA). Security Check vous met en conformité et vous donne des preuves d'audit continu.

E-commerçants

Vos clients vous confient leurs données bancaires via Stripe/PayPal. Une faille XSS ou une injection = fuite immédiate + perte de confiance. Security Check veille sur votre tunnel de paiement.

DSI PME et dev indépendants

Vous n'avez pas d'équipe sécurité dédiée. Security Check joue le rôle du RSSI junior : surveillance continue, alertes priorisées, correctifs prêts à appliquer.

Agences web et développeurs freelance

Vous livrez des sites à des clients. Security Check vous donne un rapport de sécurité à joindre à chaque livraison + une veille post-livraison qui sécurise votre réputation.

Dimension 1 · Ce qu'AXI Security Check sait

Les référentiels de sécurité modernes.

Au-delà de la rédaction d'AXI Initial, AXI Security Check maîtrise les référentiels OWASP, les standards de chiffrement, les headers HTTP, le registre CVE à jour, et le cadre réglementaire (RGPD art. 32, NIS2, DORA).

Les 10 domaines maîtrisés en V1

  • OWASP Top 10 (injection, broken access, crypto failures, XSS, SSRF, misconfiguration, outdated components)
  • OWASP API Security Top 10 (BOLA, broken auth, excessive data exposure, mass assignment)
  • Normes de chiffrement en transit (TLS 1.2+, HSTS, cert pinning, cipher suites recommandées)
  • Headers de sécurité HTTP (CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy)
  • Référentiel CVE (Common Vulnerabilities and Exposures) + score CVSS pour prioriser
  • Référentiel OWASP ZAP et exploits publics connus
  • RGPD volet sécurité (art. 32 — mesures techniques et organisationnelles appropriées)
  • Standards NIS2 et DORA (si l'entreprise entre dans le champ d'application)
  • Bonnes pratiques auth (OAuth 2.0, OpenID Connect, MFA, gestion sessions, cookies HttpOnly/Secure/SameSite)
  • Patterns d'attaque modernes (credential stuffing, API scraping, enumeration, timing attacks)

Les 9 livrables prêts à l'emploi

  • Audit sécurité initial complet (version PDF signée + données brutes)
  • Rapport mensuel de posture sécurité avec score global évolutif
  • Fiche d'une vulnérabilité détectée (gravité CVSS, impact, exploitation possible, remédiation détaillée)
  • Checklist de remédiation priorisée par criticité
  • Rapport de conformité RGPD art. 32 (preuve de mesures techniques)
  • Rapport de conformité PCI-DSS si tunnel de paiement présent
  • Playbook de réponse à incident type (fuite détectée, prise de contrôle, défacement)
  • Rapport d'audit à joindre lors d'une livraison de site (agence/freelance → client)
  • Attestation de veille continue pour un cycle de 12 mois (format audit RSE/compliance)

Capacité phare — remédiation guidée, pas juste alerte

Détecter une faille ne sert à rien si vous ne savez pas comment la corriger. Chaque alerte Security Check vient avec : la ligne de code exacte à modifier (quand c'est dans votre contrôle), le patch officiel à appliquer (dépendances), le header à ajouter (config serveur), le workaround en attendant le fix. Zéro paralysie, chaque alerte est actionnable.

Dimension 3 · Les 10 outils techniques dédiés

10 outils de veille sécurité que seul le pack active.

Chaque outil fonctionne en continu en arrière-plan. Les alertes sont priorisées — zéro notification pour les risques faibles, immédiate pour les critiques.

Scan OWASP Top 10 continu

Tests réguliers des 10 catégories OWASP sur votre site : injection, broken access control, crypto failures, XSS, SSRF, misconfiguration, outdated components, auth failures, logging failures.

Audit SSL/TLS + certificat

Vérification du certificat (validité, chaîne, autorité), configuration TLS (versions, cipher suites), HSTS, HPKP. Alerte 30 jours avant expiration du certificat.

Audit des headers de sécurité

CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Strict-Transport-Security. Score Mozilla Observatory + headers manquants priorisés.

Détection dépendances vulnérables

Scan de votre package.json, composer.json, requirements.txt, Gemfile. Remontée immédiate de toute lib avec CVE connue. Version patchée recommandée pour chaque.

Détection de secrets exposés

API keys, tokens AWS/Stripe/Github, .env publics, mots de passe en dur dans le code, fichiers de config accessibles. Scan du site public + du dépôt Git si connecté.

Veille CVE sur votre stack

Dès qu'une nouvelle CVE est publiée affectant une techno de votre stack (CMS, framework, serveur), alerte immédiate avec gravité, impact estimé, correctif disponible.

Monitoring blacklists + réputation

Vérification Google Safe Browsing, Phishtank, VirusTotal, Spamhaus. Alerte si votre domaine est flagué comme suspect (souvent signe de compromission silencieuse).

Audit auth + gestion de session

Vérification MFA activable, politique mots de passe, cookies Secure/HttpOnly/SameSite, durée de session raisonnable, protection contre credential stuffing.

Diagnostic post-incident

Si incident détecté (défacement, prise de contrôle, fuite), AXI génère un rapport circonstancié : chronologie, probable vecteur d'attaque, périmètre touché, action immédiate à prendre.

Rapport mensuel + conformité RGPD

Synthèse du mois : score sécurité évolutif, vulnérabilités remédiées, nouvelles alertes, veille CVE. Rapport conforme à l'art. 32 RGPD pour preuve d'audit continu.

Dimension 2 · Les 6 workflows maîtrisés

Les 6 séquences de la veille sécurité.

De l'audit initial au diagnostic post-incident : tout le cycle de veille sécurité pensé bout en bout, avec AXI qui scanne, alerte, et vous propose la remédiation.

A · Audit initial complet (semaine 1)

  1. 1AXI scanne votre site : surface d'attaque, pages publiques, API exposées, CMS détecté
  2. 2Il mappe votre stack technique (frameworks, libs, serveur, hébergement)
  3. 3Il lance les tests OWASP Top 10 + headers + SSL + secrets exposés
  4. 4Il croise avec le registre CVE actuel pour votre stack
  5. 5Rapport initial priorisé : critiques en rouge, modérées en orange, infos en bleu

B · Scan continu + alertes critiques

  1. 1Scan hebdomadaire récurrent de la posture globale
  2. 2Veille CVE quotidienne sur votre stack identifiée
  3. 3Alerte immédiate (dans l'heure) sur toute vulnérabilité critique nouvellement détectée
  4. 4Alerte modérée en digest hebdomadaire pour les risques faibles
  5. 5Zéro bruit — AXI calibre l'importance avant d'interrompre

C · Remédiation guidée

  1. 1Chaque vulnérabilité détectée vient avec son plan de remédiation
  2. 2Pour les dépendances : version patchée recommandée + commande d'install
  3. 3Pour les headers : ligne exacte à ajouter dans la config serveur
  4. 4Pour les erreurs de code : exemple de correctif avec diff
  5. 5Vous ou votre dev appliquez, AXI re-scanne pour confirmer la correction

D · Rapport mensuel + conformité RGPD

  1. 1Compilation du mois : vulnérabilités remédiées, nouvelles détectées, score global évolutif
  2. 2Format conforme art. 32 RGPD (preuve de mesures techniques appropriées)
  3. 3Prêt à joindre à votre registre des traitements ou à présenter en audit CNIL
  4. 4Export PDF signé horodaté

E · Diagnostic post-incident

  1. 1Si un incident est détecté (ou si vous en avez vent)
  2. 2AXI engage un diagnostic circonstancié : chronologie, probable vecteur, périmètre touché
  3. 3Il propose les 3 à 5 actions immédiates à prendre
  4. 4Il prépare les éléments de notification CNIL (72h max après connaissance)
  5. 5Il documente le post-mortem pour éviter la récurrence

F · Audit livraison (agences / freelance)

  1. 1Vous terminez un projet client, livraison imminente
  2. 2AXI lance un audit sécurité complet avant mise en ligne
  3. 3Rapport signé horodaté joint à la livraison (preuve pour vous + client)
  4. 4Mise en place veille continue post-livraison pendant 30 jours (bonus) pour attraper les régressions

Dimension 6 · Les 5 modes conversationnels

Un seul AXI, cinq postures de sécurité.

Vous changez de mode d'un mot. AXI adapte sa posture : auditeur, veilleur, correcteur, gestionnaire de crise, rédacteur de conformité.

Mode Audit

Analyse en profondeur sur demande, rapport exhaustif. Pour un diagnostic ponctuel ou avant livraison client.

Mode Veille

Suivi continu en arrière-plan, alertes priorisées. Mode par défaut, zéro bruit tant que rien de critique.

Mode Remédiation

Dialogue focalisé sur une vulnérabilité spécifique : contexte, impact, correctif ligne par ligne. Pour résoudre vite.

Mode Crise

Diagnostic post-incident, actions immédiates, notification CNIL si fuite. Mode d'urgence structuré.

Mode Conformité

Préparation d'un rapport RGPD art. 32, PCI-DSS, ou NIS2. Pour un audit, un comex, ou un investisseur.

Dimension 4 · La mémoire métier

Votre historique de sécurité vit dans AXI.

4 entités structurées. Votre posture sécurité est tracée dans le temps, chaque vulnérabilité est documentée, chaque incident laisse un apprentissage.

Entité « Site surveillé »

  • URL principale + sous-domaines
  • Stack technique détectée (CMS, frameworks, libs, serveur, hébergement)
  • Surface d'attaque mappée (pages publiques, API exposées, formulaires)
  • Score sécurité global + historique mensuel
  • Posture SSL/TLS + headers courants
  • Historique des vulnérabilités détectées + remédiées

Entité « Vulnérabilité »

  • Type (OWASP catégorie, CVE si connu)
  • Gravité CVSS (0 à 10) + impact métier estimé
  • URL ou composant affecté
  • Date de détection + exploitation publique connue
  • Plan de remédiation détaillé + statut (ouvert, en cours, résolu, accepté)
  • Horodatage de résolution + preuve de correction

Entité « Veille CVE »

  • CVE ID + libellé + éditeur
  • Score CVSS + vecteur d'attaque
  • Composant affecté dans votre stack
  • Version patchée disponible + lien officiel
  • Date de publication + urgence d'application

Entité « Incident »

  • Type (défacement, fuite, prise de contrôle, DDoS, autre)
  • Date de détection + période probable de compromission
  • Vecteur d'attaque identifié + périmètre touché
  • Actions immédiates prises + chronologie de résolution
  • Notification CNIL si fuite de données personnelles (traçabilité 72h)
  • Post-mortem + mesures de prévention appliquées

Dimension 5 · Déontologie et garde-fous

8 règles non négociables.

La veille sécurité éthique protège votre site sans jamais lui nuire. AXI Security Check applique strictement les règles qui différencient un auditeur professionnel d'un amateur dangereux.

Zéro exploitation réelle

AXI Security Check teste les vulnérabilités de façon NON intrusive — pas d'injection réelle, pas de prise de contrôle de test, pas de perturbation du service. Détection par signature, pas par exploit.

Pas de pentest sans autorisation

AXI scanne UNIQUEMENT les sites dont vous êtes propriétaire ou mandaté. Vérification de propriété (via DNS TXT ou fichier .well-known) avant tout scan approfondi.

Honnêteté sur les limites

AXI couvre 95% des vulnérabilités courantes. Pour une application à haut enjeu (banque, santé, secret défense), il recommande en plus un pentest humain certifié ANSSI. Il ne prétend pas le remplacer.

Pas de panique injustifiée

Les alertes sont calibrées. Pas de notification critique pour un header manquant mineur. Les mails rouges sont pour les failles exploitables réelles.

Priorisation par impact métier

AXI prend en compte le contexte : une vulnérabilité XSS sur une page admin interne derrière VPN n'a pas la même urgence qu'un XSS sur votre formulaire de contact public.

Confidentialité des rapports

Les rapports de sécurité contiennent des informations sensibles. Ils restent dans votre AXI, chiffrés au repos, jamais partagés avec un tiers sans votre action explicite.

Respect des conditions des sources tierces

Pas de scraping agressif des registres CVE. Utilisation d'APIs officielles et de flux publics documentés.

Audit log complet

Chaque scan, chaque alerte, chaque remédiation est tracé dans l'audit log Praximea Core avec horodatage. Preuve de diligence continue en cas d'audit CNIL.

Dimension 8 · Un mois type

Du digest hebdo au rapport mensuel.

Pas un catalogue. Un récit chronologique d'un mois type avec AXI Security Check activé : digest, alerte CVE critique, remédiations, conformité RGPD, bilan.

  1. Lundi 8h

    Digest hebdo

    AXI vous présente la synthèse de la semaine : 2 vulnérabilités modérées détectées (toutes deux remédiables en 10 min), 1 CVE affectant Next.js publiée mercredi (vous êtes concerné, patch à appliquer), score global stable à 87/100.

  2. Mardi 11h

    Alerte critique CVE

    AXI vous alerte : CVE-2026-XXXX publiée il y a 2h sur la lib `axios` que vous utilisez. CVSS 9.1 (critique). Impact : exécution de code à distance via URL malformée. Patch 1.7.4 disponible. Commande d'install prête. Vous appliquez en 5 min, AXI re-scanne, résolu.

  3. Mercredi 15h

    Remédiation d'un header manquant

    Audit détecté lundi : votre site n'a pas de Content-Security-Policy. AXI vous propose la configuration adaptée à votre stack (Next.js + Tailwind + Stripe), prête à coller dans next.config.js. Vous appliquez, re-scan OK.

  4. Jeudi 9h

    Scan dépendances mensuel

    AXI scanne votre package.json (247 dépendances directes et transitives). Résultat : 1 lib avec CVE mineure (patch dispo), 3 libs désormais dépréciées (migration à prévoir dans 6 mois), 243 OK.

  5. Vendredi 14h

    Préparation rapport RGPD

    Audit CNIL interne du mois prochain. Vous demandez à AXI un rapport conforme art. 32 RGPD. Il livre : score sécurité évolutif sur 12 mois, détail des remédiations, posture actuelle, mesures techniques appliquées. Prêt pour l'audit.

  6. Fin de mois

    Rapport mensuel exécutif

    Synthèse : 4 vulnérabilités critiques traitées, 11 modérées remédiées, 1 CVE 0-day appliquée en moins de 2h, score passé de 82 à 89/100, zéro incident réel. Base pour le mois suivant.

Dimension 9 · Ce qu'AXI Security Check ne fait pas

Les 9 frontières explicites.

La veille sécurité professionnelle a ses règles. AXI Security Check a les siennes — celles qu'il ne franchit jamais, pour vous protéger et respecter le cadre.

  • Pas d'exploitation réelle des vulnérabilités — tests non intrusifs par signature.
  • Pas de pentest sans preuve de propriété ou mandat du site cible.
  • Pas de remplacement d'un pentest humain certifié ANSSI pour les applications à haut enjeu (banque, santé, secret défense).
  • Pas de modification autonome du code ou de la config de votre site — AXI propose, vous appliquez.
  • Pas de notification critique injustifiée (header mineur manquant ≠ faille critique).
  • Pas de partage de rapport sécurité avec un tiers sans votre action explicite.
  • Pas de scraping agressif des registres CVE — APIs officielles uniquement.
  • Pas de garantie de 100% de couverture — AXI dit 95%, pas plus.
  • Pas d'intervention sur le darknet ou dans les contextes d'investigation de menace active.

AXI Security Check est votre veilleur professionnel, pas votre pentester d'exception. Il attrape l'écrasante majorité des problèmes avant qu'ils ne vous atteignent. Pour les cas critiques, il vous dit quand appeler un humain certifié.

Dimension 7 · Intégrations

Les sources auxquelles AXI Security Check se branche.

La V1 couvre l'essentiel sans licence payante. La V2 ouvre Snyk / VirusTotal / Shodan sur licence client. La V3 ajoute OWASP ZAP pour les scans actifs profonds avec autorisation.

Source / outil
V1
V2
V3
  • Scan technique propriétaire AXI (OWASP + headers + SSL)
  • NVD / MITRE CVE (API officielle)
  • Google Safe Browsing + Phishtank
  • Mozilla Observatory (score headers)
  • SSL Labs (évaluation TLS)
  • GitHub Advisory Database (dépendances)
  • Snyk / Dependabot (sur licence client)
    —
  • VirusTotal (sur licence client)
    —
  • Shodan (surface d'attaque étendue)
    —
  • OWASP ZAP (scan actif approfondi avec autorisation)
    —
    —

Prêt à activer la veille sécurité ?

29 €/mois seul sur votre AXI Initial — ou gratuit si vous êtes déjà abonné à AxiSolver. Veille continue, alertes calibrées, remédiation guidée. Vous dormez, AXI veille.

Activer AXI Security Check — 29 € / moisRevenir à tous les packs