Aller au contenu
Citadel

Trouvez les faillesde votre appavant les autres.

Vous avez créé votre application avec Claude Code, Codex, Cursor ou Lovable ? Citadel analyse son code selon les référentiels OWASP et CWE : secrets exposés, dépendances vulnérables, injections, erreurs de configuration. Vous recevez la liste des corrections à faire, dans l’ordre, puis nous vérifions qu’elles fonctionnent.

Faire analyser mon applicationVoir ce que nous vérifions
Référentiels
OWASP Top 10, ASVS et CWE
Analyse
votre code (statique) et votre site en ligne (dynamique), avec nos propres règles
Votre code
reste votre propriété

Vous codez avec l’IA ?
Citadel est pour vous.

Vous créez avec l’IA sans savoir coder

Claude Code ou Codex écrit votre application. Vous ne pouvez pas vérifier ce qu’il produit.

Vous recevez

Chaque faille expliquée simplement, avec le prompt exact à coller dans votre assistant pour la corriger.

Vous êtes développeur junior

Vous savez coder, pas encore auditer la sécurité d’une application.

Vous recevez

La ligne concernée, la référence OWASP et CWE, pourquoi c’est dangereux et le correctif attendu.

Vous êtes développeur confirmé ou agence

Vous connaissez les risques, mais relire tout le code avant chaque livraison prend des heures.

Vous recevez

Des résultats dédoublonnés, sources citées (CVE, GHSA, règle d’origine) et un rapport à remettre à vos clients.

Ce qu’un assistant de code
laisse souvent passer.

Coder avec l’IA vous fait gagner un temps énorme. Mais un assistant cherche d’abord à faire marcher votre application, pas à la protéger. Voici les huit familles de failles qu’il produit régulièrement, et que nous recherchons dans chaque application.

A01 · API1 · API5

Contrôle d’accès

  • Objets d’un autre compte lisibles par leur identifiant (IDOR, BOLA)
  • Fonctions d’administration appelables par un simple utilisateur
  • Champ « role » ou « plan » modifiable depuis un formulaire
A07 · API2

Authentification et sessions

  • JWT acceptés sans vérifier l’algorithme, ou signés avec un secret faible
  • Aucune limite sur les tentatives de connexion
  • Liens de réinitialisation prévisibles ou sans expiration
A03 · CWE-89 · CWE-79

Injections

  • SQL brut construit par concaténation de chaînes
  • HTML inséré sans échappement (XSS stocké ou réfléchi)
  • Commandes système et eval pilotés par l’utilisateur
A02 · CWE-798 · CWE-532

Secrets et données

  • Clés d’API dans le code client ou dans l’historique Git
  • Mots de passe hachés en MD5 ou SHA-1
  • Jetons et données personnelles écrits dans les journaux
A05 · A10

Configuration

  • Mode debug et source maps actifs en production
  • CORS ouvert à toutes les origines avec cookies
  • Serveur qui récupère n’importe quelle URL (SSRF vers 169.254.169.254)
A04 · CWE-434 · CWE-22

Fichiers téléversés

  • Fichier exécutable accepté sous un nom d’image
  • SVG contenant du JavaScript servi depuis votre domaine
  • Nom de fichier en ../ qui sort du dossier prévu
A06 · A08 · API6

Dépendances et paiements

  • Paquets npm ou Composer avec CVE publiées
  • Webhooks de paiement acceptés sans signature
  • Prix ou remise décidés par le navigateur
LLM01 · LLM05 · API4

Fonctions IA

  • Injection de prompt qui déclenche les outils d’un agent
  • Réponse du modèle affichée ou exécutée sans contrôle
  • Routes IA sans limite, facturées à chaque appel

Vous lancez quoi ?
Voici ce qui pourrait se passer.

Ces failles ne restent pas théoriques. Choisissez votre type d’application : chaque scénario part d’une faille réelle et documentée, et montre comment elle devient un incident.

Scénario d’incidentGestion, CRM, ERP

Et si un client voyait
la liste de tous vos clients ?

Il remplace /clients/1042 par /clients/1041 dans l’adresse. Ça marche. Il écrit un script de dix lignes. Au matin, votre fichier complet, avec téléphones, adresses et chiffres d’affaires, est en vente sur un forum.

La faille

  • CWE-639
  • OWASP API1
  • A01

Ce que Citadel examine

  • Vérification d’appartenance dans chaque routebientôt
  • Identifiants séquentiels exposés
  • Exports CSV accessibles sans contrôle de rôlebientôt
Vérifier mon application avant que ça arrive

Diagnostic gratuit · 2 minutes

Votre app
est-elle exposée ?

Huit questions sur les failles que nous trouvons le plus souvent dans les applications construites avec l’IA. Le résultat s’affiche tout de suite, sans inscription.

« Je ne sais pas » compte comme un risque : ce qui n’est pas vérifié est justement ce qu’un attaquant exploite.

  • Clés secrètes et accès aux données
  • Base de données, paiements et routes IA
  • Injections, comptes et dépendances

Pour chaque faille,
quoi faire.

  • Où : le fichier, la ligne et l’extrait concernés.

  • Gravité : notée selon CVSS quand la faille est référencée, sinon selon son impact réel sur votre application.

  • Confiance : à quel point la détection est certaine, pour traiter d’abord ce qui est sûr.

  • Références : OWASP, CWE, et l’identifiant CVE ou GHSA quand il existe.

  • Correction : le correctif attendu, et le prompt à coller dans Claude Code, Codex ou Cursor.

  • Vérification : une nouvelle analyse confirme que la faille a disparu.

Recevoir mon rapport

Exemple de résultat

CVSS 9.8
CritiqueConfiance élevéeCWE-89 · OWASP A03:2021

Injection SQL dans la recherche de commandes

app/api/orders/search/route.ts · lignes 14 à 16 · détecté par l’analyse du code

13 const email = searchParams.get("email");
14 const rows = await prisma.$queryRawUnsafe(
15   `SELECT * FROM orders WHERE email = '${email}'`
16 );

Le risque

Avec ' OR '1'='1 comme e-mail, la requête renvoie toutes les commandes de tous les clients. Une variante permet de modifier ou supprimer la table.

Le correctif

await prisma.$queryRaw`
  SELECT * FROM orders
  WHERE email = ${email}`;

La requête devient paramétrée : la saisie n’est plus jamais interprétée comme du SQL.

Prompt de correction pour votre assistant

Dans app/api/orders/search/route.ts, remplace prisma.$queryRawUnsafe par la forme paramétrée prisma.$queryRaw avec un template literal. Vérifie qu’aucun autre appel à $queryRawUnsafe ou $executeRawUnsafe ne reçoit de donnée venant de la requête, et ajoute un test qui envoie ' OR '1'='1 comme e-mail.

46 contrôles,
adaptés à votre stack.

Les failles ne se cachent pas au même endroit dans une application Next.js, Laravel ou Supabase. Nos règles ciblent les erreurs propres à chaque technologie, dans votre code (analyse statique) comme sur votre site en ligne (analyse dynamique). 33 contrôles sont actifs dès aujourd’hui.

  • OWASP Top 10 (2021)
  • OWASP API Security Top 10 (2023)
  • OWASP Top 10 pour les applications LLM (2025)
  • OWASP ASVS
  • CWE Top 25
  • CVSS
  • NVD · GHSA · OSV
  • Export SARIF
ContrôleRéférenceType de contrôleStatut
Version de Next.js vulnérable au contournement du middleware (CVE-2025-29927)A06 · CVEDépendances vulnérablesDisponible
Secret exposé dans une variable NEXT_PUBLIC_CWE-200 · A02Secrets + règles CitadelDisponible
dangerouslySetInnerHTML alimenté par une donnée externeCWE-79 · A03Analyse du codeDisponible
Redirection construite à partir des paramètres de l’URLCWE-601 · A01Analyse du codeDisponible
images.remotePatterns ouvert à tous les domainesCWE-918 · A10Règles CitadelDisponible
Source maps publiées en productionCWE-540 · A05Règles CitadelDisponible
Server Actions et route handlers sans vérification de sessionCWE-862 · A01Règles CitadelBientôt

Hors périmètre automatique : la logique métier propre à votre application, les tests d’intrusion manuels et la configuration de votre hébergeur. Quand votre application en a besoin, le rapport vous le signale.

Comment se passe
une analyse.

L’IA a écrit votre code : ce n’est pas elle qui doit le juger. La détection repose sur des outils open source reconnus et sur des règles écrites à la main par nos développeurs chevronnés.

  1. Vous connectez Citadel à votre dépôt GitHubEn deux clics, avec un accès en lecture seule à ce dépôt uniquement. Pas de GitHub ? Une archive ZIP suffit.
  2. Nous identifions la stackpackage.json, composer.json, configuration Supabase : nous choisissons les règles adaptées à votre projet.
  3. L’analyse tourne à l’écartNos contrôles passent sur tout le code : secrets oubliés, dépendances vulnérables, failles du code, des fichiers de configuration aux migrations de base de données.
  4. Chaque résultat est vérifié et classéDoublons supprimés, gravité et niveau de confiance attribués, référence OWASP et CWE ajoutée.
  5. Vous corrigez, nous revérifionsVous suivez le rapport, puis une nouvelle analyse confirme que chaque faille est corrigée.
citadel · exemple d’analyse
  • Conteneur isolé, sans Internet
  • Code supprimé après l’analyse
  • Secrets masqués dans le rapport
AA

Arthur A.

Fondateur de Citadel

Qui est derrière
Citadel.

Citadel a été fondé par Arthur A., développeur depuis plusieurs années, expert en sécurité des systèmes d’information et praticien du codage agentique. Il construit chaque jour avec des agents d’IA, et il a vu de près à quel point l’IA peut être aussi nuisible que puissante.

En quelques minutes, un agent livre une fonctionnalité qui marche, et laisse trop souvent derrière lui une route d’administration sans contrôle, un webhook de paiement accepté sans signature ou une requête SQL assemblée à la main. L’application, elle, fonctionne parfaitement.

Et ceux qui ne sont pas du métier ? Ceux qui lancent leur idée avec Claude Code ou Codex sans jamais avoir écrit de code, ceux qui débutent ? Comment éviteraient-ils ces désastres ?

Arthur A., fondateur

Citadel est la réponse d’un collectif : des développeurs, des ingénieurs en IA et des spécialistes de la cybersécurité, réunis autour de cette question. Chaque contrôle, chaque règle et chaque explication est écrit et relu par l’équipe, à partir des référentiels OWASP. L’automatisation exécute ce travail à chaque analyse. Elle ne décide pas à votre place.

  • Développement logiciel
  • Intelligence artificielle
  • Cybersécurité

L’équipe Citadel

Moins cher
qu’une fuite.

Pendant le pilote, votre première analyse complète est offerte. Les tarifs ci-dessous s’appliqueront ensuite.

Pro

Recommandé

Applications en production

15 000 FCFA / mois

  • 10 projets
  • Analyse automatique à chaque push
  • Rapport complet et prompts
  • Alertes nouvelles CVE
Commencer par l’analyse offerte

* Dans la limite d’un usage raisonnable. Entreprises et revue humaine : sur devis.

Vos
questions.

Est-ce une IA qui analyse mon code ?

Non. La détection repose sur des moteurs d’analyse déterministes et sur nos propres règles : le même code donne le même résultat à chaque analyse. Une IA peut ensuite rédiger une proposition de correctif, que vous validez avant toute modification.

Que vérifiez-vous exactement ?

Huit familles de failles, du contrôle d’accès aux fonctions IA, et des contrôles propres à Next.js, Node.js, Laravel et Supabase. Le tableau des contrôles donne, pour chacun, sa référence OWASP et CWE, l’outil qui le détecte et s’il est déjà actif.

Je ne sais pas coder. Pourrai-je corriger ?

Oui. Chaque faille est expliquée simplement et accompagnée du prompt à coller dans Claude Code, Codex ou Cursor. Une nouvelle analyse confirme ensuite que la correction fonctionne.

Que devient mon code ?

Il est analysé dans un conteneur isolé, sans accès à Internet, puis supprimé à la fin de l’analyse. Seuls les résultats sont conservés, avec les secrets masqués. Vous pouvez supprimer vos projets et vos rapports à tout moment.

Quelles technologies sont prises en charge ?

Next.js, React, Node.js, Laravel et Supabase. Les secrets et les dépendances sont analysés quel que soit le langage du projet.

Est-ce que cela remplace un audit de sécurité humain ?

Non. Citadel couvre les failles détectables automatiquement. Pour une application qui traite des données de santé, financières ou très sensibles, un audit humain reste recommandé, et le rapport vous le signale.

Faites analyser
votre application.

Le pilote est ouvert à un nombre limité d’applications. Votre première analyse complète est offerte.

  • Rapport complet avec références OWASP et CWE
  • Prompts de correction prêts à coller
  • Nouvelle analyse après vos corrections
  • Un échange avec notre équipe pour comprendre chaque résultat

Vous préférez en parler d’abord ?

Nous écrire sur WhatsAppRéserver 15 minutes

30 secondes · sans engagement

Réserver mon analyse offerte

Votre stack (plusieurs choix possibles)

Votre adresse sert uniquement à organiser votre analyse. Elle n’est jamais vendue ni cédée. Confidentialité

Une faille par mois,
et comment la corriger.

La lettre Citadel : une erreur de sécurité fréquente dans les applications créées avec l’IA, un exemple de code, et le prompt pour la corriger. Un e-mail par mois, désinscription en un clic.

Votre adresse sert uniquement à envoyer la lettre. Elle n’est jamais vendue ni cédée. Confidentialité

Faire analyser mon application