# Tamiso

> Tamiso sorts the security alerts of your dependencies (Python, JavaScript, PHP, Ruby, Go, Rust, Java, .NET, SBOM, Trivy or Snyk reports) and looks in your code for secret keys and common mistakes: it dismisses what does not affect you, with the reason, and tells you in plain English what to fix and how, with a prompt ready for your AI assistant.

Tamiso est en phase de test. Le test gratuit fonctionne sans compte ; les offres payantes peuvent être réservées, sans paiement pour l'instant. Prix en euros, hors taxes.

## Test gratuit, sans compte

- [Analyser un fichier](https://tamiso.dev/en/check) : fichiers de dépendances Python (requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, poetry.lock, uv.lock), JavaScript (package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, bun.lock), PHP (composer.json, composer.lock), Ruby (Gemfile, Gemfile.lock), Go (go.mod, go.sum), Rust (Cargo.toml, Cargo.lock), Java (pom.xml, build.gradle, gradle.lockfile) et .NET (.csproj, packages.lock.json), SBOM CycloneDX et SPDX (JSON), rapports Trivy, Snyk, OSV-Scanner, Dependabot et SARIF, plusieurs fichiers à la fois, une archive .zip du projet ou l'adresse d'un dépôt GitHub public. Le résultat est supprimé au bout de 24 heures.
- [Analyser votre code](https://tamiso.dev/en/code) : une archive .zip ou un dépôt GitHub public est lu en mémoire puis oublié. Tamiso cherche les clés secrètes, les secrets envoyés au navigateur, les tables Supabase sans RLS, les règles Firebase ouvertes, le SQL construit avec du texte et d'autres erreurs courantes. Seuls le fichier, la ligne et un court extrait masqué sont gardés.
- Sources : OSV (failles connues et paquets malveillants), FIRST EPSS (probabilité d'exploitation), CISA KEV (failles exploitées activement), PyPI et npm (paquets introuvables, très récents, au nom imitant un paquet connu ou retirés).
- Décision : une faille est « à corriger » si elle est exploitée activement, si son EPSS dépasse 10 %, si sa gravité est critique, ou élevée avec un EPSS d'au moins 1 %. Elle est écartée si sa gravité est faible, ou moyenne avec un EPSS inférieur à 1 %, ou si le paquet ne sert qu'au développement. Le reste est « à vérifier ». La décision de l'équipe passe avant la règle.

## Avec un compte

- Projets avec l'historique des versions, décisions au format OpenVEX, rapport PDF, export OpenVEX, SBOM CycloneDX 1.6, clé pour la CI (GitHub Actions), vérification chaque jour.
- Offres payantes : l'IA fait partie de l'analyse (fausses alertes du code écartées, usage réel de la partie vulnérable vérifié, explication simple de chaque faille, descriptions traduites), alertes par e-mail, dépôts GitHub analysés à chaque commit, scanner de site, accès pour les assistants de code par MCP, équipe, rapport client à la marque de l'agence et dossier NIS2 pour les clients soumis à NIS2 : registre de traitement des vulnérabilités avec délais, politiques, security.txt, réponses aux questionnaires de sécurité (Studio), export CSAF 2.0 VEX et délais de déclaration CRA (Éditeur).
- Langues : français, anglais, polonais.

## Tarifs

- Free : 0 €, pour toujours. To try it out. Inclus : 1 project, Package and code analysis, Made-up and malicious packages, Vulnerability summary. Outils : Technical PDF report, OpenVEX export, CycloneDX SBOM, Key for your CI.
- Indie : 19 € HT par mois, ou 190 € HT par an. For solo builders. Inclus : 5 projects, GitHub connection, analysis on every change, E-mail alerts, Additional advanced AI analysis. Outils : Website scanner, Access for your coding assistants (MCP).
- Studio : 59 € HT par mois, ou 590 € HT par an. For agencies and small teams. Inclus : 15 client projects, Up to 5 people, Everything in Indie. Outils : Client report under your brand, Sharing link for the client, no account needed, NIS2 file for your clients.
- Publisher : 149 € HT par mois, ou 1 490 € HT par an. For software and connected-device publishers. Inclus : 10 products, Up to 10 people, Everything in Studio. Outils : VEX and CSAF 2.0 export, CRA reporting deadlines and drafts.
- Pro et Partenaire (consultants, agences, auditeurs) : sur devis.

Détail et réservation : https://tamiso.dev/en/pricing

## Pages

- [Accueil](https://tamiso.dev/en/)
- [Tarifs](https://tamiso.dev/en/pricing)
- [Analyse des dépendances](https://tamiso.dev/en/features/dependencies) : Les failles qui vous concernent, les autres écartées
- [Analyse du code](https://tamiso.dev/en/features/code) : Clés secrètes, Supabase sans RLS, carte du code
- [Scanner de site](https://tamiso.dev/en/features/site-scanner) : Ce qu'un attaquant voit de l'extérieur
- [GitHub, CI et assistants de code](https://tamiso.dev/en/features/integrations) : Dépôt relié, clé CI, MCP pour Claude Code et Cursor
- [Rapport client](https://tamiso.dev/en/features/client-report) : À votre marque, avec vos dates de correction
- [CRA pour les éditeurs](https://tamiso.dev/en/features/cra) : Délais de déclaration, brouillons, CSAF 2.0
- [Legal notice](https://tamiso.dev/en/legal/mentions)
- [Terms of use](https://tamiso.dev/en/legal/conditions)
- [Privacy policy](https://tamiso.dev/en/legal/confidentialite)
- [Cookies](https://tamiso.dev/en/legal/cookies)