# Tamiso

> Tamiso trie les alertes de sécurité de vos dépendances (Python, JavaScript, PHP, Ruby, Go, Rust, Java, .NET, SBOM, rapports Trivy ou Snyk) et cherche dans votre code les clés secrètes et les erreurs courantes : il écarte ce qui ne vous concerne pas, avec la raison, et vous dit en français quoi corriger et comment, avec un prompt prêt pour votre assistant IA.

Tamiso est en phase de test. Le test gratuit fonctionne sans compte ; les offres payantes peuvent être réservées, sans paiement pour l'instant. Prix en euros, hors taxes.

## Test gratuit, sans compte

- [Analyser un fichier](https://tamiso.dev/check) : fichiers de dépendances Python (requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, poetry.lock, uv.lock), JavaScript (package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, bun.lock), PHP (composer.json, composer.lock), Ruby (Gemfile, Gemfile.lock), Go (go.mod, go.sum), Rust (Cargo.toml, Cargo.lock), Java (pom.xml, build.gradle, gradle.lockfile) et .NET (.csproj, packages.lock.json), SBOM CycloneDX et SPDX (JSON), rapports Trivy, Snyk, OSV-Scanner, Dependabot et SARIF, plusieurs fichiers à la fois, une archive .zip du projet ou l'adresse d'un dépôt GitHub public. Le résultat est supprimé au bout de 24 heures.
- [Analyser votre code](https://tamiso.dev/code) : une archive .zip ou un dépôt GitHub public est lu en mémoire puis oublié. Tamiso cherche les clés secrètes, les secrets envoyés au navigateur, les tables Supabase sans RLS, les règles Firebase ouvertes, le SQL construit avec du texte et d'autres erreurs courantes. Seuls le fichier, la ligne et un court extrait masqué sont gardés.
- Sources : OSV (failles connues et paquets malveillants), FIRST EPSS (probabilité d'exploitation), CISA KEV (failles exploitées activement), PyPI et npm (paquets introuvables, très récents, au nom imitant un paquet connu ou retirés).
- Décision : une faille est « à corriger » si elle est exploitée activement, si son EPSS dépasse 10 %, si sa gravité est critique, ou élevée avec un EPSS d'au moins 1 %. Elle est écartée si sa gravité est faible, ou moyenne avec un EPSS inférieur à 1 %, ou si le paquet ne sert qu'au développement. Le reste est « à vérifier ». La décision de l'équipe passe avant la règle.

## Avec un compte

- Projets avec l'historique des versions, décisions au format OpenVEX, rapport PDF, export OpenVEX, SBOM CycloneDX 1.6, clé pour la CI (GitHub Actions), vérification chaque jour.
- Offres payantes : l'IA fait partie de l'analyse (fausses alertes du code écartées, usage réel de la partie vulnérable vérifié, explication simple de chaque faille, descriptions traduites), alertes par e-mail, dépôts GitHub analysés à chaque commit, scanner de site, accès pour les assistants de code par MCP, équipe, rapport client à la marque de l'agence et dossier NIS2 pour les clients soumis à NIS2 : registre de traitement des vulnérabilités avec délais, politiques, security.txt, réponses aux questionnaires de sécurité (Studio), export CSAF 2.0 VEX et délais de déclaration CRA (Éditeur).
- Langues : français, anglais, polonais.

## Tarifs

- Gratuit : 0 €, pour toujours. Pour essayer. Inclus : 1 projet, Analyse des paquets et du code, Paquets inventés et malveillants, Résumé des failles. Outils : Rapport PDF technique, Export OpenVEX, SBOM CycloneDX, Clé pour votre CI.
- Indie : 19 € HT par mois, ou 190 € HT par an. Pour les créateurs seuls. Inclus : 5 projets, Connexion GitHub, analyse à chaque changement, Alertes par e-mail, Analyse avancée supplémentaire par l'IA. Outils : Scanner de site, Accès pour vos assistants de code (MCP).
- Studio : 59 € HT par mois, ou 590 € HT par an. Pour les agences et petites équipes. Inclus : 15 projets clients, Jusqu'à 5 personnes, Tout ce qui est dans Indie. Outils : Rapport client à votre marque, Lien de partage pour le client, sans compte, Dossier NIS2 pour vos clients.
- Éditeur : 149 € HT par mois, ou 1 490 € HT par an. Pour les éditeurs de logiciels et d'objets connectés. Inclus : 10 produits, Jusqu'à 10 personnes, Tout ce qui est dans Studio. Outils : Export VEX et CSAF 2.0, Délais et brouillons de déclaration CRA.
- Pro et Partenaire (consultants, agences, auditeurs) : sur devis.

Détail et réservation : https://tamiso.dev/pricing

## Pages

- [Accueil](https://tamiso.dev/)
- [Tarifs](https://tamiso.dev/pricing)
- [Analyse des dépendances](https://tamiso.dev/features/dependencies) : Les failles qui vous concernent, les autres écartées
- [Analyse du code](https://tamiso.dev/features/code) : Clés secrètes, Supabase sans RLS, carte du code
- [Scanner de site](https://tamiso.dev/features/site-scanner) : Ce qu'un attaquant voit de l'extérieur
- [GitHub, CI et assistants de code](https://tamiso.dev/features/integrations) : Dépôt relié, clé CI, MCP pour Claude Code et Cursor
- [Rapport client](https://tamiso.dev/features/client-report) : À votre marque, avec vos dates de correction
- [CRA pour les éditeurs](https://tamiso.dev/features/cra) : Délais de déclaration, brouillons, CSAF 2.0
- [Mentions légales](https://tamiso.dev/legal/mentions)
- [Conditions d'utilisation](https://tamiso.dev/legal/conditions)
- [Politique de confidentialité](https://tamiso.dev/legal/confidentialite)
- [Cookies](https://tamiso.dev/legal/cookies)