Vos dépendances ne sont plus votre problème.

Dependabot et Snyk génèrent des pull requests et des alertes. Quelqu'un doit ensuite les lire, les évaluer, les tester et les merger, et en pratique cette charge retombe sur l'équipe. Keelstone prend cette charge. Chaque PR de dépendance tourne dans des workflows durcis pendant le Hardening, passe par les scanners Aikido, puis par nos propres vérifications déterministes et par une revue humaine. Au moindre doute, nous faisons un contrôle approfondi du package avant de l'accepter. Vous n'achetez pas un bot de plus, vous confiez la supply chain à quelqu'un qui en répond.

Pendant le Hardening, nous mettons en place Renovate, configuré pour votre projet, et Safe Chain, qui bloque les packages malveillants à l'installation. Nous durcissons aussi vos workflows CI existants, actions épinglées par hash et permissions réduites au minimum. Tout cela vous appartient. Le Managed Security ajoute par-dessus la GitHub App Keelstone, qui pose un verdict sur chaque PR de dépendance, et la suite Aikido Pro connectée à vos repos.

Oui, de façon encadrée. Pendant le Hardening, nous travaillons directement dans vos repos, par pull requests, sous NDA. En continu, la GitHub App Keelstone lit le code et ouvre des PR, sans jamais merger elle-même. Aikido accède à vos repos en lecture seule, analyse dans un environnement temporaire détruit après chaque scan, ne conserve ni code ni token, et est certifié SOC 2 Type 2 et ISO 27001.

Notre travail est d'abord préventif. Safe Chain et le verdict sur chaque PR empêchent un package malveillant d'entrer dans votre projet. Quand une campagne est en cours, nous sommes alertés par le flux d'attaques d'Aikido, nous passons au crible votre catalogue de dépendances et les postes de vos développeurs, en lecture seule, et nous vous envoyons rapidement un état des lieux sur Slack, avec la liste de ce qui est touché ou la confirmation que rien ne l'est. Votre équipe a les éléments en main pour décider.

Cela dépend du nombre de projets et de leur taille. Sur le cas client présenté plus haut, le Hardening a duré trois semaines. Côté équipe, il faut compter un à trois jours de coordination au démarrage, pour cadrer ensemble les tests, les déploiements et les points sensibles. Le reste se fait sans vous mobiliser.

Le Hardening est un forfait par projet, dimensionné sur sa taille, parce qu'un ingénieur y travaille. Le Managed Security est un abonnement mensuel par projet, qui inclut la suite Aikido Pro. Si vous prenez le Managed Security dès le départ, le Hardening est à moitié prix. Devis précis à l'issue de l'audit gratuit.

Vous gardez tout ce qui a été installé pendant le Hardening. Le travail a été fait directement dans votre code, vos dépendances sont à jour, votre CI est durcie, Renovate et Safe Chain restent en place et continuent de tourner. Ce qui s'arrête, c'est le service par-dessus, l'analyse de chaque PR, le triage humain, la réponse aux campagnes d'attaque, la GitHub App et l'accès à Aikido. Vous n'êtes pas captif.

JavaScript, TypeScript, Python, Java, Go et .NET.