Due diligence technique
Due diligence technique : savez-vous ce que contient le code ?
Lors d’un rachat, d’une levée de fonds ou de la reprise d’un projet d’agence, ce qui compte, c’est ce que contient le code source. Notre audit de code livre des constats prouvés sur la sécurité, les dépendances et la qualité du code, à prix fixe et en quelques jours ouvrés.
Nous livrons le volet code d’une due diligence technique, pas une due diligence complète ni un test d’intrusion.
Trois occasions typiques
Rachat ou investissement
Vous évaluez une entreprise cible et voulez savoir quels risques et quel passif technique se cachent dans le produit. L’entreprise cible donne accès au code.
Préparer une cession
Vous faites auditer votre code en amont, corrigez l’essentiel et abordez les discussions avec un rapport.
Reprise d’une agence ou d’un développeur
Vous reprenez une application et voulez connaître son état avant la recette.
Ce que couvre le volet code, et ce qu’il ne couvre pas
Nous livrons le volet code d’une due diligence technique. Les autres volets restent chez vos conseils.
Couvre
- Sécurité : vulnérabilités selon l’OWASP Top 10:2025, secrets dans le code
- Dépendances : CVE connues, frameworks et environnements d’exécution obsolètes
- Qualité du code : structure, complexité, duplications, tests
- Dette technique : configuration de build et d’intégration continue dans le dépôt, chaîne d’approvisionnement
Ne couvre pas
- Équipe, organisation et processus de développement
- Propriété intellectuelle et licences open source
- Finances, contrats et valorisation
- Tests d’intrusion manuels
Ce que contient le rapport
- Chaque constat avec son emplacement et une note CVSS 3.1 et CWE
- La dette technique en un coup d’œil : qualité du code, complexité, tests, build et dépendances
- Plan d’action priorisé : immédiat, prochain sprint, backlog
- Données brutes de chaque outil en annexe
Comment nous auditons : Méthodologie
Confidentialité
- Accord de confidentialité (NDA) au préalable et, si le code contient des données personnelles, contrat de sous-traitance (art. 28 RGPD)
- Lecture seule : nous n’exécutons rien, n’installons rien et ne poussons rien
- Les dépôts de code sont conservés dans un espace privé dans l’UE
- Analyse avec Claude d’Anthropic (États-Unis), encadrée par les clauses contractuelles types de l’UE
- Le fournisseur d’IA ne s’entraîne pas sur votre code
- Suppression après la mission, délais dans la politique de confidentialité
- Rapport remis chiffré
Délai et prix
Audit de code · 890 €
Code source, dépendances et qualité du code. Rapport en 2 jours ouvrés.
Audit complet · 1 690 €
En plus, l’application en fonctionnement avec des comptes de test, chaque constat revu par un expert. Rapport en 4 jours ouvrés.
Enterprise · sur demande
Plusieurs applications ou tout un portefeuille, planifié sur mesure.
Prix fixes HT, pour des applications jusqu’à environ 300 000 lignes de code ; au-delà, nous vous indiquons le prix au préalable. Avec l’option express, vous recevez le rapport de l’audit de code ou de l’audit complet sous 24 heures (jours ouvrés). Détails : audit de code, audit complet, Enterprise.
NIS2 et preuves pour vos clients
Le rapport documente méthode, périmètre, constats et mesures. Il peut servir d’élément de preuve auprès de vos clients, investisseurs et auditeurs. Il ne remplace ni une certification ni une évaluation de conformité. Ce que le Cyber Resilience Act implique pour les éditeurs : Cyber Resilience Act et obligation de signalement.
Questions fréquentes
Cela remplace-t-il une due diligence technique complète ?
Non. Nous livrons le volet code : sécurité, dépendances, qualité du code et dette technique. Nous n’évaluons ni l’équipe, ni les processus, ni la propriété intellectuelle, ni les finances.
Le vendeur peut-il commander l’audit ?
Oui. En tant que vendeur, vous pouvez faire auditer votre code en amont, corriger les principaux constats et apporter le rapport aux discussions. Le rapport décrit l’état du code remis (avec commit ou empreinte) au moment de l’audit. Il vous est destiné en tant que client et ne constitue pas une garantie envers les acquéreurs ou investisseurs.
Comment accédez-vous au code ?
Par archive chiffrée ou par accès en lecture au dépôt (GitHub, GitLab, Azure DevOps, Bitbucket). Vous pouvez révoquer l’accès à tout moment.
En combien de temps recevons-nous le rapport ?
L’audit de code en 2, l’audit complet en 4 jours ouvrés après le paiement et la remise complète. En express sous 24 heures (jours ouvrés).
Le rapport peut-il servir de preuve pour NIS2 ou auprès des clients ?
Il peut en constituer un élément. Il documente méthode, périmètre, constats et mesures. Il ne remplace ni une certification ni une évaluation de conformité, et sa suffisance pour vos obligations dépend de votre dispositif d’ensemble.
Signez-vous un accord de confidentialité (NDA) ?
Oui. Nous signons l’accord de confidentialité (NDA) avant de voir le code et, si le code contient des données personnelles, un contrat de sous-traitance (art. 28 RGPD).
Avant de signer ? Auditez d’abord le code.
Tous les prix sont HT. Réservé aux professionnels. Nos CGV s’appliquent.