Digit-AI Factory

Fabrication logicielle sous oracles

Prendre rendez-vous

Forge — Sur mandat humain

forge-websec

Elles interviennent sur mandat humain explicite — jamais par déclenchement automatique.

Rôle dans le run sécurité du produit livré

Ses services — 5 au catalogue, 3 prouvés

Ce que vous obtenez, ce qui entre, ce qui sort — et, pour les services prouvés, la preuve citée telle quelle.

  1. Juger l'exposition runtime

    prouvé
    Ce que vous obtenez
    savoir si mon produit servi expose une configuration dangereuse
    Il reçoit
    • capture JSON {url,status,headers} (scripts\capturer.mjs — fetch natif, ne juge pas)
    Il produit
    • verdict EX-1..EX-11 (CSP non triviale, HSTS, X-Content-Type-Options, anti-clickjacking, Referrer/Permissions-Policy, cookies Secure/HttpOnly/SameSite, fuite de version), exit 0/1/2

    La preuve qui l'établit

    TF-0123 (12/08) : self-test 23 PASS rejoué pilot, 15 cas exposition déterministes

    Cycle de vie : experimental · Dernier challenge : 2026-08-12

  2. Scanner les dépendances vulnérables (SCA)

    prouvé
    Ce que vous obtenez
    savoir si mes dépendances portent des CVE connues, avec seuils
    Il reçoit
    • racine du produit (package-lock / environnement pip) [--seuils f.json]
    Il produit
    • verdict machine normalisé par sévérité (npm audit / pip-audit enveloppés) ; SKIP motivé si outillage absent — jamais un PASS silencieux

    La preuve qui l'établit

    TF-0123 (12/08) : sens rouge démontré sur CVE réelles (lodash 4.17.15, django 1.4), rejoué pilot

    Cycle de vie : experimental · Dernier challenge : 2026-08-12

  3. Tenir un contrat de sécurité ASVS L1

    déclaré
    Ce que vous obtenez
    m'engager sur un niveau de sécurité vérifiable et daté
    Il reçoit
    • referentiels\asvs-l1.md (32 exigences ASVS 5.0.0 L1 curées, CC BY-SA, mapping Top 10:2025)
    Il produit
    • exigences tracées : outillées (oracle-exposition/oracle-sca) ou revue humaine — 9 chapitres L1 non curés listés
    Cycle de vie : experimental · Dernier challenge : 2026-08-12

  4. Méthode de test de sécurité (WSTG curé)

    déclaré
    Ce que vous obtenez
    savoir COMMENT vérifier une exigence de sécurité, cas par cas
    Il reçoit
    • referentiels\wstg-cas.md (28 cas curés sur WSTG 4.2, CC BY-SA, chaque cas rattaché à son exigence ASVS)
    Il produit
    • cas de test rattachés : 25 à une exigence L1 nommée, 3 aux règles outillées L2/L3 ; 4 chapitres et 54 cas écartés NOMMÉMENT
    Cycle de vie : experimental · Dernier challenge : 2026-08-14

  5. Scanner dynamiquement (DAST, sur mandat)

    prouvé
    Ce que vous obtenez
    faire exécuter un scan actif contre une cible que j'ai le droit de tester
    Il reçoit
    • --cible <url>
    • --autorisation <mandat.json> (périmètre écrit, propriétaire, fenêtre datée)
    • ou --rapport <zap.json> pour juger sans rien émettre
    Il produit
    • verdict à seuils ; REFUS fail-closed exit 1 si l'autorisation manque, expire, ou ne liste pas l'origine

    La preuve qui l'établit

    TF-0187 (14/08) : 7 verrous cumulatifs, self-test 36 PASS ; garde-fou rejoué au pilot (cible non listée -> FAIL « rien n'a été émis », sans autorisation -> FAIL). Exécution ZAP réelle NON prouvée : binaire absent du poste — D-W1 requalifiée, pas close

    Cycle de vie : experimental · Dernier challenge : 2026-08-14

Poursuivre la lecture