01Ce que CodeBox détecte
- Les vulnérabilités publiquement connues (CVE, avis GitHub, PyPA, RustSec, Go…) dans les dépendances de vos projets.
- Les paquets du système de vos serveurs et de vos images Docker (Ubuntu, Debian, Alpine, Rocky Linux, AlmaLinux).
- Les dépendances indirectes, dès qu'un fichier de verrouillage est présent.
- Les nouvelles failles publiées après votre scan : le dernier inventaire est réanalysé chaque nuit.
- Les failles déjà exploitées dans la nature, signalées en priorité.
- La version qui corrige chaque faille, d'après l'avis officiel, et la publication d'un correctif quand il n'en existait pas.
02Ce que CodeBox ne détecte pas
- Les failles de votre propre code (injection SQL, contrôle d'accès, secrets dans le code…) : CodeBox n'analyse pas votre code source, il ne le reçoit jamais.
- Les failles pas encore rendues publiques (zero-day).
- Les paquets privés ou internes, absents des bases publiques.
- Les erreurs de configuration de vos serveurs, de votre cloud ou de vos conteneurs (ports ouverts, droits, secrets).
- Les systèmes non pris en charge (Windows, macOS, Arch, openSUSE…).
- Les dépendances indirectes d'un projet sans fichier de verrouillage (requirements.txt écrit à la main, package.json seul).
CodeBox est une première ligne de défense, pas un audit complet. Pour une application sensible, complétez-le par une revue de code et un test d'intrusion.
03Obtenir le résultat le plus complet
- 1Lancez le scan depuis la racine du projet : les sous-dossiers sont lus, et en Python, un requirements.txt incomplet est automatiquement complété depuis l'environnement installé — rien à préparer.
- 2Versionnez vos fichiers de verrouillage (package-lock.json, composer.lock, poetry.lock…) : modifier votre dépôt Git reste votre décision, le CLI ne le fait jamais à votre place.
- 3Ajoutez le scan à votre intégration continue pour analyser chaque modification.