Ce que couvre l'audit
Pour un SaaS B2B en production, l'audit code source porte sur 6 axes :
Axe 1 — Revue SAST. Analyse statique automatisée + revue manuelle ciblée sur les zones sensibles (auth, sessions, traitement d'inputs, accès DB, crypto). Outils : Semgrep (rules custom + community), SonarQube (couverture + sécurité), Snyk Code (SAST avancé AI-augmenté), CodeQL pour les analyses profondes.
Axe 2 — SCA dépendances. Inventaire des dépendances directes et transitives, identification des CVE connues, priorisation par exploitabilité (EPSS score, pas seulement CVSS). Outils : Snyk Open Source, Dependabot, Renovate, OWASP Dependency-Check.
Axe 3 — Secret detection. Scan complet de l'historique Git avec gitleaks et trufflehog. Identification des secrets actifs ou archivés, plan de rotation.
Axe 4 — DAST runtime. Tests dynamiques sur l'environnement de pré-production : OWASP ZAP, Burp Suite Enterprise sur les flows authentifiés. Couverture des familles OWASP Top 10 runtime.
Axe 5 — IaC scanning. Configurations Terraform, Kubernetes manifests, CloudFormation. Outils : Checkov, TFSec.
Axe 6 — Pipeline CI/CD. Sécurité du pipeline lui-même : runners GitLab CI ou GitHub Actions, permissions, cache poisoning, supply chain (actions tierces audit), signatures Sigstore.
Référentiels d'évaluation
L'audit s'appuie sur des référentiels publics largement adoptés :
- OWASP Top 10 (2021/2025) : les 10 risques les plus critiques en sécurité applicative web. Référence universelle.
- OWASP ASVS niveau 2 : 280+ exigences détaillées, recommandé en 2026 pour les SaaS B2B traitant des données sensibles ou business-critical.
- OWASP API Top 10 : si votre produit expose une API publique.
- OWASP LLM Top 10 : si votre produit intègre un LLM en production.
- CWE / SANS Top 25 : exhaustivité des CWE par langage.
- NIST SSDF : Secure Software Development Framework pour le pipeline lui-même.
Le rapport mappe chaque finding sur les CWE / OWASP / ASVS pour faciliter la priorisation et la reproduction sur d'autres applicatifs.
Méthode WeeSec en 4 phases
Phase 1 — Cadrage et accès (3 jours). Inventaire des repositories à auditer, choix de l'échantillonnage (typiquement 10-30% du code couvert manuellement, 100% scanné automatiquement), accès en lecture aux repos GitLab/GitHub, revue de l'architecture.
Phase 2 — Audit automatisé (1 semaine). Lancement Semgrep + SonarQube + Snyk Code + Trivy + gitleaks + Checkov sur le périmètre. Triage des findings, identification des faux positifs, priorisation.
Phase 3 — Revue manuelle ciblée (1-2 semaines). Revue manuelle des zones sensibles : code d'authentification, gestion des sessions, accès base de données, traitement des inputs utilisateurs, crypto, gestion des secrets, supply chain (dépendances + CI/CD).
Phase 4 — Tests dynamiques + rapport (1 semaine). DAST sur l'environnement de pré-prod, validation des findings critiques, rédaction du rapport, restitution avec votre équipe dev/sécurité, plan d'action priorisé.
Pour quelles équipes
L'audit cible les équipes Tech qui veulent un état des lieux objectif de la sécurité de leur code, en général dans 3 contextes :
- Préparation à une certification (ISO 27001, SOC 2, ASVS L2) : l'audit identifie ce qui bloque la certification.
- Due diligence pré-acquisition / pré-investissement : un acquéreur ou un investisseur sérieux demande un audit code en 2026. Mieux vaut le faire avant.
- Post-incident ou intelligence threat émergente : durcissement après attaque ou suite à publication d'un CVE majeur sur votre stack.
Et bien sûr, en routine pour les SaaS B2B sérieux qui ne peuvent plus se permettre de laisser dériver la dette de sécurité applicative.
Tarif
Audit standard SaaS B2B (1 produit, monorepo ou multi-repos cohérent, ~100k-500k LoC) : 15 à 30 K€ HT, 3-5 semaines.
Audit étendu (multi-produits, microservices nombreux, IA en production) : 30 à 70 K€ HT, 5-8 semaines.
Audit éclair SAST + SCA + secret detection automatisé (sans revue manuelle) : 4 à 7 K€ HT, 1 semaine.
Audit + accompagnement DevSecOps en CI/CD (audit + 3 mois mise en œuvre des quality gates) : 35 à 80 K€ HT.
