Ce que vérifie l'analyse du code
Les clés et mots de passe écrits dans le code (Stripe, AWS, GitHub, GitLab, OpenAI, Anthropic, Hugging Face, SendGrid, Slack, Telegram, Google, jetons npm et PyPI, adresses de base de données avec mot de passe, clés privées, fichiers .env), la clé secrète de l'application écrite en dur, les secrets exposés au navigateur (NEXT_PUBLIC_, VITE_…), la clé service_role de Supabase côté navigateur, les tables Supabase sans RLS ou avec des règles ouvertes (sur toutes les migrations du projet), les règles Firebase ouvertes ou en « mode test », les vues et fonctions Supabase qui contournent RLS, les requêtes SQL et les commandes système construites avec du texte, les requêtes, fichiers et redirections choisis par l'utilisateur (aussi quand la valeur passe par une variable quelques lignes plus haut), les données enregistrées sans choisir les champs, le chargement de données qui peut exécuter du code, les mots de passe hachés en MD5 ou comparés à une valeur fixe, la protection CSRF ou les cookies de session affaiblis, les jetons dans localStorage ou tirés avec Math.random, le debug activé, la vérification TLS ou JWT désactivée, CORS ouvert avec identifiants et le HTML inséré sans nettoyage. Les valeurs d'exemple (your-key, xxxx), les mots de passe locaux par défaut, les commentaires, les tests et les configurations de test ne sont pas signalés, sauf pour les secrets.
Dans un projet, l'analyse note aussi quels paquets sont importés dans le code : une faille dans un paquet que le code n'importe jamais, et dont aucun autre paquet n'a besoin d'après le fichier de verrouillage, descend d'un niveau, avec la raison. Les fichiers de dépendances trouvés (package-lock.json, requirements.txt, composer.lock…) donnent directement une nouvelle version de l'analyse des dépendances.
Le code est lu en mémoire puis oublié : Tamiso garde seulement le nom du fichier, la ligne et un court extrait où les secrets sont masqués. Les dossiers de dépendances et de build (node_modules, dist…) sont ignorés. Une analyse par règles ne remplace pas une revue de sécurité.