Soyez prêt pour l'audit avec un seul rapport.

Conformité vérifie chaque dépôt selon une checklist de 36 règles : documentation, hygiène du dépôt, sécurité, CI et intégration. Chaque analyse produit un score pondéré et une liste de résultats à remettre à un auditeur.

Nous contacter Réserver une démo

Écrans d'une installation en fonctionnement

36 règles en cinq catégories

Conformité regarde ce que contient un dépôt et comment il est configuré, pas la logique du code. Chaque règle est une question oui-non avec une sévérité.

9 règles

Documentation

README présent et d'au moins 500 caractères, une LICENSE reconnue (pour les dépôts publics), CHANGELOG, CONTRIBUTING, une section de conception dans architecture.md.

12 règles

Hygiène du dépôt

.gitignore et .editorconfig, une description et des topics, une branche par défaut main ou master, non archivé ; pour les backends un Dockerfile multi-étapes et un docker-compose local.

7 règles

Sécurité

Une politique de sécurité, des mises à jour automatiques des dépendances, un .env.example, des conteneurs exécutés sans root, des images de base issues de registres autorisés, NuGet uniquement depuis des flux autorisés.

5 règles

Intégration continue

Un workflow CI existe et lance les tests, un badge de build dans le README, un script lint pour les frontends, Fastlane pour les applis mobiles.

3 règles

Intégration

L'identifiant Git du projet est sain, ArchPilot a revu une merge request récemment, l'espace a un canal de notification.

Vous cherchez OWASP, PCI DSS, STIG ou CASA ? Ces rapports viennent d'ArchSecurity, à partir du CWE de chaque constat. →

Quelles règles pour quel projet

Un frontend n'a pas de Dockerfile à vérifier et une appli mobile pas de robots.txt. Vous choisissez les piles de chaque projet ; les règles universelles et d'intégration s'appliquent toujours.

Une réponse manquante n'est pas un échec

Chaque résultat est réussi, échoué, ignoré ou en erreur. Seuls réussi et échoué comptent, pondérés par la sévérité ; une règle sans réponse sort du dénominateur au lieu de faire baisser le score.

Obligatoire×2
Recommandée×1
Facultative×0.5

Réussi · compte
Échoué · compte
Ignoré · exclu
Erreur · exclu

Pourquoi : une coupure de VPN a un jour affiché 6/100 pour tous les projets. Un serveur Git injoignable ne dit rien du dépôt ; il ne compte donc plus.

Comment se déroule une analyse

Déclenchée

À la main, ou par une planification quotidienne ou hebdomadaire pour un groupe ou une liste de projets.
Mise en file

Un worker la prend en quelques secondes ; l'analyse note qui ou quoi l'a déclenchée.
Règles évaluées

Les fichiers, réglages du dépôt et protections de branche sont lus chez le fournisseur Git ; rien n'est cloné.
Notée et conservée

Le score rejoint l'historique et la fiche santé du projet, ainsi que l'e-mail récapitulatif si vous y êtes abonné.