Code C# dans l’éditeur avec un signalement SonarQube sur la complexité cognitive

Code review · Security code review

Le code review, avant que de petites erreurs ne deviennent de gros problèmes.

Nous examinons des pull requests individuelles, des composants critiques ou des bases de code complètes : de la qualité de code classique jusqu'à la revue de sécurité approfondie.

Un regard expérimenté sur votre code source, avec un périmètre clairement défini et des constats concrets et priorisés. Qu'il s'agisse d'une seule pull request avant le merge ou d'une base de code reprise : vous obtenez exactement la revue dont votre projet a besoin.

Faire examiner votre codeDemander une revue de sécurité

Issu de nos revues

Ce qu'une revue met concrètement au jour

Anonymisé, mais authentique : des chiffres et un exemple tirés de revues de code que nous avons déjà réalisées.

Revues de code réalisées
7+
Délai habituel
5 jours ouvrés
Constat critique le plus fréquent
Contrôles d'autorisation manquants

Un exemple concret

Contexte
Un éditeur de logiciels a fait examiner sa plateforme de microservices multi-tenant sous .NET, EF Core et PostgreSQL : qualité du code, performances en charge et points sensibles pour la sécurité.
Constat
Des appels bloquants .Result dans du code asynchrone d'accès aux données, un générateur aléatoire non sécurisé sur le plan cryptographique et des allocations mémoire évitables dans les chemins critiques, comme la construction de chaînes et la journalisation.
Résultat
Chaque recommandation était accompagnée d'un benchmark et d'un exemple de code. Mesuré : jusqu'à 85 % de mémoire en moins par appel et des chemins critiques jusqu'à près de cinq fois plus rapides.

Notre offre

De la petite revue à l'évaluation de sécurité

Trois niveaux qui s'appuient les uns sur les autres. Vous commencez là où vous en êtes et n'élargissez que si nécessaire.

Niveau 1

Code review

Le point d'entrée accessible : un regard expérimenté sur la qualité du code, la lisibilité et l'architecture, sans surcharge de conformité.

Adapté pour

  • Pull requests
  • Fonctionnalités individuelles
  • Fonctions critiques
  • Décisions d'architecture
  • Code difficile à maintenir

Résultat

  • Constats concrets
  • Recommandations priorisées
  • Commentaires dans le code ou rapport de revue compact
Demander un code review
Niveau 2

Security code review

L'évaluation de sécurité technique approfondie : en plus de la qualité du code, nous recherchons de manière ciblée les vulnérabilités dans l'authentification, l'autorisation, le traitement des données et les dépendances.

Adapté pour

  • Applications critiques pour la sécurité
  • API
  • Logique d'authentification, de paiement et de droits
  • Produits SaaS
  • Applications traitant des données sensibles

Résultat

  • Constats de sécurité avec sévérité
  • Zones de code concernées
  • Explication technique
  • Remédiation concrète
  • Retest en option
Demander une revue de sécurité
ExtensionOptionnel

Évaluation logicielle NIS2

Pour les entreprises qui ont besoin en plus d'une preuve structurée des exigences de sécurité NIS2 pertinentes, nous complétons le security code review par une évaluation selon l'art. 21 de NIS2, mise en correspondance avec NIST SSDF et OWASP ASVS.

Adapté pour

  • Entreprises concernées par NIS2
  • Fournisseurs de logiciels de clients concernés par NIS2
  • Achats et évaluations fournisseurs

Résultat

  • Évaluation selon des contrôles définis
  • Preuves documentées
  • Correspondance avec l'art. 21 de NIS2
Voir l'évaluation NIS2

Revues ciblées

Une revue de sécurité ne doit pas forcément être un gros audit.

Vous souhaitez seulement faire examiner une pull request critique, une nouvelle authentification ou un module isolé ? C'est exactement pour cela que nous proposons des code reviews ciblés avec un périmètre clairement délimité.

Petit périmètre, petit effort : nous convenons à l'avance de ce qui est examiné et de la forme sous laquelle vous recevez les résultats.

Demander une revue ciblée

Exemples typiques

  • Une seule pull request
  • Une nouvelle fonctionnalité
  • Un groupe d'endpoints d'API
  • Authentification
  • Système de rôles et de droits
  • Fonction d'upload
  • Flux de paiement
  • Implémentation cryptographique
  • Mise à jour de dépendances
  • Refactoring critique

Ce que nous examinons dans un code review

La base de chaque revue : qualité, structure et maintenabilité de votre code.

Clean Code & lisibilité

  • Nommage et structure
  • Complexité et compréhensibilité
  • Commentaires et documentation
  • Standards de codage cohérents

Architecture & design

  • Modularité et dépendances
  • Design patterns et anti-patterns
  • Séparation des responsabilités
  • Extensibilité et flexibilité

Testing & assurance qualité

  • Couverture et qualité des tests
  • Tests unitaires, d'intégration et E2E
  • Testabilité du code
  • Intégration CI/CD

Ce que le security code review examine en plus

Nous ciblons les classes de vulnérabilités qui mènent en pratique à des incidents de sécurité, en nous appuyant sur les catégories OWASP et les vulnérabilités connues de votre stack technologique.

Identité & accès

  • Authentification
  • Autorisation et contrôle des droits
  • Gestion des sessions
  • Sécurité des API

Entrées & données

  • Validation des entrées
  • Injection (SQL, commandes, templates)
  • Secrets dans le code et la configuration
  • Cryptographie

Dépendances & supply chain

  • Sécurité des dépendances
  • Risques liés à la supply chain
  • Vulnérabilités connues (CVE)
  • Paquets obsolètes ou non maintenus

Exploitation & pipeline

  • Logging sans données sensibles
  • Gestion des erreurs
  • Configuration de sécurité
  • Risques liés au CI/CD

Méthodes & délimitation

Les méthodes utilisées dépendent de l'objectif et du périmètre. Chaque mission n'inclut pas automatiquement toutes ces méthodes.

Méthodes possibles

  • Revue manuelle du code source
  • Compréhension de l'architecture et des flux de données
  • SAST (analyse statique du code)
  • SCA (analyse de la composition logicielle)
  • Secret scanning
  • Revue des dépendances
  • Tests manuels ciblés
  • Tests dynamiques complémentaires si nécessaire

Nous définissons ensemble le périmètre concret et les méthodes avant de commencer.

Code review, test d'intrusion ou évaluation de sécurité ?

Code review

Analyse en boîte blanche du code source. Nous voyons comment votre application est construite et trouvons les vulnérabilités là où elles naissent.

Test d'intrusion

Test du système en fonctionnement du point de vue d'un attaquant, généralement avec peu ou pas de visibilité sur le code.

Évaluation de sécurité

Peut combiner les deux méthodes : le code review révèle la cause, le test dynamique confirme l'exploitabilité dans le système en fonctionnement.

Déroulement d'une revue

Un processus léger qui fonctionne aussi bien pour une seule pull request que pour une application complète.

  1. 01

    Périmètre

    Nous définissons le repository, la branche ou le commit et les composants concernés.

  2. 02

    Revue

    Selon la mission : code review manuel, revue de sécurité et/ou analyse automatisée.

  3. 03

    Constats

    Vous recevez des constats concrets avec priorité, référence au code et recommandation d'action.

  4. 04

    Correction

    Votre équipe de développement met en œuvre les changements. Sur demande, nous accompagnons la correction.

  5. 05

    Retest

    Pour les évaluations de sécurité, nous pouvons vérifier que les constats pertinents ont été corrigés.

Optionnel

Évaluation NIS2

Si nécessaire, nous étendons la revue avec un catalogue de contrôles selon l'art. 21 de NIS2 et documentons les résultats.

En savoir plus sur l'évaluation NIS2

Ce que vous obtenez

Les résultats dépendent du périmètre convenu. Un petit code review ne se termine pas automatiquement par un rapport formel.

Code review

  • Commentaires de revue directement dans la pull request
  • Liste des constats
  • Recommandations priorisées

Rapport formel sur demande

Security code review

  • Executive summary
  • Rapport de sécurité technique
  • Classification de sévérité
  • Recommandations de remédiation
  • Constats sur les dépendances et la supply chain

Retest en option

Évaluation NIS2

  • Revue de la SBOM
  • Évaluation des contrôles selon l'art. 21 de NIS2
  • Attestation d'évaluation

Module complémentaire optionnel

Les prestations en comparaison

Ce que comprend chaque niveau. Le périmètre exact est toujours convenu avant de commencer.

Code review

Qualité du code
Inclus
Revue de sécurité manuelle
optionnel
SAST/SCA
optionnel
Constats de sécurité
optionnel
Catalogue de contrôles formel
Non inclus
Correspondance NIS2
Non inclus
Revue des preuves
Non inclus
Retest
optionnel
Rapport d'évaluation formel
optionnel

Security code review

Qualité du code
Inclus
Revue de sécurité manuelle
Inclus
SAST/SCA
selon le périmètre
Constats de sécurité
Inclus
Catalogue de contrôles formel
Non inclus
Correspondance NIS2
Non inclus
Revue des preuves
optionnel
Retest
optionnel
Rapport d'évaluation formel
optionnel

Évaluation NIS2

Qualité du code
Inclus
Revue de sécurité manuelle
Inclus
SAST/SCA
selon le périmètre
Constats de sécurité
Inclus
Catalogue de contrôles formel
Inclus
Correspondance NIS2
Inclus
Revue des preuves
Inclus
Retest
prévu
Rapport d'évaluation formel
Inclus

Demander une revue

Parlez-nous de votre base de code

Trois informations suffisent pour une première évaluation. Nous revenons vers vous avec une proposition de périmètre et d'effort, sans rendez-vous commercial.

  • Réponse sous un jour ouvré
  • Aucun accès à votre code n'est nécessaire pour la première étape
  • Périmètre et prix fixés avant de commencer
Sascha Kiefer

Sascha Kiefer vous contactera personnellement.

Nous utilisons votre e-mail uniquement pour répondre à cette demande.

Questions fréquentes

Oui. Beaucoup de missions sont volontairement petites : une pull request, un module ou une nouvelle authentification. Nous définissons le périmètre à l'avance pour que l'effort reste maîtrisé.
Cela dépend du périmètre. Une seule pull request ou un module est souvent examiné rapidement, tandis qu'une revue de plusieurs composants critiques prend généralement quelques jours. Pour les applications complètes et les évaluations de sécurité, nous planifions ensemble un calendrier adapté.
Pas entièrement. Le code review analyse le code source (boîte blanche), le test d'intrusion le système en fonctionnement du point de vue d'un attaquant. Les deux trouvent des types de vulnérabilités différents et se complètent.
Seulement si vous avez besoin d'une preuve structurée, par exemple parce que votre entreprise est elle-même concernée par NIS2, que vous fournissez des logiciels à des clients concernés ou que vous devez répondre à des exigences d'achats ou d'évaluations fournisseurs. Dans tous les autres cas, un code review ou un security code review suffit.
Nous avons besoin d'un accès en lecture seule au repository. En option, l'accès au pipeline CI/CD et à la documentation est utile. Tous les accès sont supprimés après la fin.
Notre focus est C#/.NET, TypeScript/JavaScript, React et Node.js. Pour d'autres langages, contactez-nous.
Oui, nous proposons aussi des pair reviews ou ateliers de revue où nous parcourons le code avec votre équipe et transmettons les bonnes pratiques.

Prêt pour un second regard sur votre code ?

Dites-nous brièvement ce qui doit être examiné. Nous vous proposons un périmètre adapté, d'une seule pull request jusqu'à l'évaluation de sécurité.

Demander un code review

Plus sur ce sujet dans notre blog : Comment mener des code reviews efficaces