Cybersécurité autonome pour tout votre code.
Stateward est un agent de sécurité autonome qui garde l’ensemble de votre patrimoine logiciel. Il analyse chaque changement, audite chaque dépendance, traque les secrets exposés et attrape les bugs de logique et d’exactitude que les ingénieurs rigoureux manquent, pas seulement les exploits, puis mappe votre posture aux cadres de conformité qui comptent, en continu, et pensé pour l’ère du code généré par IA.
Une seule garde sur tout l’état de vos systèmes.
Sans carte bancaire · Accès en lecture seule · Analyse votre prochaine PR en quelques minutes
Injection SQL via interpolation de chaîne
req.params.id non fiable est interpolé dans une requête. Un attaquant peut lire ou détruire la base.
const rows = await db.query('SELECT * FROM users WHERE id = $1', [req.params.id]);- 5 → 1
- outils remplacés par une couche
- Every PR
- analysée en ligne, avec un correctif
- Read-only
- vos clés jamais stockées
- EU-hosted
- résidence des données UE
La sécurité est fragmentée, et l’IA a cassé l’ancien modèle
Les équipes assemblent un scanner SAST, un auditeur de dépendances, un détecteur de secrets et un outil de conformité, chacun en silo, bruyant, et greffé après l’écriture du code. Pire, les assistants IA ont multiplié le volume de code par développeur tout en réduisant la profondeur de revue humaine par ligne, ouvrant des surfaces d’attaque qu’aucun outil hérité n’a été conçu pour auditer. Et une vraie équipe sécurité, ce qui relie le tout, reste un luxe réservé aux grandes organisations.
Une couche autonome, du commit à la production
Stateward remplace la stack fragmentée par une seule couche autonome. Elle vit là où vit votre code, analyse chaque pull request en ligne, audite dépendances et secrets à chaque changement, et surveille toute la surface, signalant le risque, l’expliquant en contexte et proposant le correctif. La première garde conçue dès le départ pour le code généré par IA et agentique.
La plupart des scanners vous noient. Stateward vous tend le correctif.
Si les outils de sécurité finissent en sourdine, ce n’est pas faute de couverture, c’est le bruit. Un mur de rouge, le même problème signalé cinq fois, des milliers de findings sur du code que vous n’avez pas touché. Stateward est conçu à l’inverse.
Trié en contexte
Chaque finding est évalué au regard de votre code et de votre config réels. Les problèmes inatteignables ou non exploitables sont déprioritisés avant même de vous atteindre.
Dédupliqué entre moteurs
Analyse statique, dépendances, secrets et revue IA tournent ensemble, le même problème remonte une fois, avec une sévérité finale, pas cinq fois.
Limité à votre diff
Stateward commente les lignes que vous avez changées, pas un backlog de 4 000 dettes préexistantes que personne ne lira.
Dépendance vulnérable : axios@1.4.0
Server-side request forgery dans follow-redirects embarqué. Corrigé en 1.7.4.
- "axios": "1.4.0"
+ "axios": "1.7.4"Il garde là où votre code vit déjà
Installez une fois. Stateward analyse chaque changement depuis vos pull requests, sans reconstruire le pipeline.
Connectez vos dépôts
Stateward s’installe comme une app sur GitHub ou GitLab, sans reconstruire votre pipeline.
Il analyse chaque changement
À chaque pull request, Stateward publie des findings en ligne, injection, authentification cassée, crypto non sûre, SSRF et plus, chacun avec une sévérité et un correctif en un clic.
Il protège la chaîne d’approvisionnement
Chaque dépendance est vérifiée pour les CVE connues, le typosquatting et le risque mainteneur ; chaque diff est scanné pour les clés, jetons et identifiants exposés.
Il audite le code écrit par IA
Stateward repère les défaillances propres au code généré, défauts non sûrs, configurations trop permissives, API hallucinées, qu’aucun autre outil ne cible.
Il mappe la conformité
Les findings sont reliés aux contrôles OWASP Top 10, CWE, NIST, SOC 2 et RGPD, transformant le travail de sécurité en preuves prêtes pour l’audit.
Comment Stateward arrive à un verdict digne de confiance
La profondeur est tout l’enjeu. Chaque changement traverse un pipeline en cinq étapes conçu pour faire émerger les vraies failles exploitables, et écarter le bruit qui rend les autres scanners inutilisables.
- 1
Comprendre
Le changement est lu face à une base de connaissance de tout le code, graphe d’appels, frontières de confiance, dépendances atteignables, pour intégrer le contexte qu’un diff ne montre pas.
- 2
Classer
Un modèle cartographie les domaines en jeu, les invariants à préserver et le modèle de menace, pour diriger les bons spécialistes vers les bonnes surfaces.
- 3
Chasser en parallèle
Des moteurs déterministes (dépendances, secrets, IaC, SAST) et des agents adverses spécialisés s’exécutent ensemble, chacun attaquant une classe de vulnérabilité.
- 4
Valider
Les findings sont normalisés, dédupliqués, renforcés par la convergence inter-agents, puis réfutés de façon adverse. Les affirmations faibles sont écartées ; les problèmes liés se composent en chaînes d’exploitation.
- 5
Verdict
Ce qui subsiste est noté par sévérité, accompagné d’une reproduction, et publié en ligne avec un verdict clair, des findings réels et exploitables plutôt qu’un arriéré de bruit.
Toute la surface, une seule couche
Quatre outils en silo et une équipe sécurité, remplacés par un seul agent autonome.
Revue de sécurité en PR
Analyse statique directement dans la pull request. Injection, authentification cassée, crypto non sûre, SSRF et plus, signalés en contexte, avec sévérité et correctif proposé.
Audit dépendances & supply chain
Chaque dépendance ajoutée ou modifiée vérifiée pour les CVE connues, le typosquatting, le risque supply-chain et la réputation du mainteneur, avant la production.
Détection de secrets & de source maps exposées
Chaque diff scanné pour les clés API, jetons et identifiants exposés, ainsi que l’exposition de source maps, fichiers .map commités, sourceMappingURL résiduel ou config de build qui expose votre code original en production, signalée en CWE-540 au commit, pas une fois publique.
Audit du code généré par IA
La catégorie que tous les acteurs établis ont manquée. Stateward cible les défaillances du code écrit par Copilot, Cursor et Claude : défauts non sûrs, configs trop permissives, dépendances hallucinées, surfaces d’injection de prompt.
Mapping de conformité
Findings reliés aux contrôles techniques OWASP Top 10, CWE, NIST, SOC 2 et RGPD, des preuves prêtes pour l’audit, générées au fil des livraisons.
Posture sur toute la surface
Code, dépendances, secrets et conformité surveillés du commit à la production, une couche autonome au lieu de quatre outils en silo.
Base de connaissance du code entier
Stateward construit un modèle de tout votre projet, graphe d’appels, frontières de confiance, atteignabilité des dépendances, pour voir les failles inter-fichiers qu’un scanner ligne par ligne ignore. Les pires vulnérabilités ne tiennent jamais dans un seul diff.
Audit profond multi-agents adverse
Au-delà du diff, Stateward attaque le système : il classe le code, lance des agents spécialisés en parallèle par domaine, puis valide chaque finding par convergence et réfutation, renvoyant un verdict avec reproductions, pas une checklist.
Logique & exactitude, pas que les exploits
L’essentiel des dégâts vient d’erreurs honnêtes, pas d’attaques : une colonne d’ID proche de sa limite entière, de l’argent géré en flottants, un invariant que personne n’imaginait casser. L’audit profond de Stateward raisonne sur ce que votre code doit garantir et tente de le casser, il attrape les bugs d’exactitude et de sûreté qui causent des pannes, comme le ferait un auditeur humain.
Détection inter-branches et de fusion
La faille que personne d’autre n’attrape : deux branches sûres séparément, mais dont la fusion dans develop crée une nouvelle vulnérabilité. Stateward raisonne sur l’état fusionné prévu et la signale avant la livraison.
La surface de risque que tous les acteurs établis ont manquée
Copilot, Cursor et Claude Code écrivent désormais une part importante et croissante du code de production, avec moins de revue humaine par ligne que jamais. Cela ouvre des défaillances que les scanners hérités n’ont jamais visées : motifs non sûrs suggérés par l’IA, dépendances hallucinées, défauts trop permissifs, surfaces d’injection de prompt. Stateward est la première garde conçue dès le départ pour auditer les contributions de code autonomes.
- Défauts non sûrs & configurations trop permissives
- Dépendances hallucinées et typosquattées
- Surfaces d’injection de prompt à la génération
- Motifs qu’aucun SAST n’a appris à détecter
Une seule couche, ou la stack que vous avez assemblée
Vous avez déjà des options : un tiroir plein d’outils en silo, ou un recrutement AppSec que la plupart des équipes ne peuvent justifier. Voici comment Stateward se compare.
| Stateward | Outils en silo, assemblés | Équipe AppSec interne | |
|---|---|---|---|
| Revue de sécurité en PR (SAST) | ✓ | ◐ | ✓ |
| Audit dépendances & supply-chain (SCA) | ✓ | ◐ | ✓ |
| Détection de secrets à chaque diff | ✓ | ◐ | ◐ |
| Audit du code généré par IA | ✓ | - | ◐ |
| Mapping de conformité (OWASP · SOC 2 · NIS2) | ✓ | - | ◐ |
| Triage & déduplication unifiés | ✓ | - | ◐ |
| Correctifs vérifiés en un clic dans la PR | ✓ | ◐ | - |
| Hébergement UE & résidence des données | ✓ | - | ◐ |
| Ce que ça coûte | À partir de 0 $, sans sièges | Une facture par outil | Un poste salarié |
La comparaison reflète des stacks d’outils en silo typiques et une couverture interne ; les capacités varient selon l’éditeur et l’équipe.
Votre code est ce que vous possédez de plus sensible
Un outil de sécurité qui maltraite votre code source est pire que pas d’outil du tout. Stateward est conçu pour que le pire des cas soit un commentaire.
Accès en lecture seule
Stateward lit les diffs pour les analyser. Il ne peut ni pousser, ni merger, ni modifier votre code, le pire des cas est un commentaire.
Vos clés restent les vôtres
Vous autorisez via l’OAuth de votre fournisseur. Stateward ne demande, ne voit ni ne stocke jamais vos identifiants de gestion de code.
Analyse éphémère
Le code est analysé dans un environnement isolé et éphémère, puis supprimé dès la revue publiée. Rien ne subsiste.
Souverain par défaut
Stateward fonctionne sur une infrastructure UE avec résidence des données dans l’UE, votre code ne quitte jamais une juridiction de confiance.
Hébergement souverain dans l’UE
Stateward fonctionne sur l’infrastructure souveraine Citadea avec résidence des données dans l’UE.
Journalisé pour l’audit
Chaque revue, finding et accès est journalisé, la piste de preuves que réclament auditeurs et régulateurs.
Il vit là où votre code vit déjà
Installez une fois et Stateward fonctionne dans les outils que votre équipe ouvre déjà chaque jour, sans reconstruire le pipeline, sans nouveau tableau de bord à surveiller.
Gestion de code
CI / CD
Alertes & tickets
Éditeurs & agents
Le travail de sécurité, transformé en preuves prêtes pour l’audit
Chaque finding est mappé aux cadres que vos auditeurs et régulateurs demandent.
Le volume de code et le poids de la conformité montent tous deux, la revue humaine ne suit pas
L’IA écrit désormais une part importante et croissante du code de production, tandis que NIS2, DORA et le Cyber Resilience Act rendent la sécurité obligatoire dans le logiciel européen. Les deux courbes s’accélèrent en même temps, et aucune équipe ne peut s’en sortir par le recrutement.
Mené par son fondateur, conçu pour lui survivre.
Un outil de sécurité auquel je fais assez confiance pour le pointer sur mon propre code
Stateward est construit de bout en bout au sein de Yggdrasil Digital, le studio d’ingénierie mené par son fondateur, aux racines profondes dans le web3, la fintech et les systèmes autonomes.
Il analyse son propre code
Chaque pull request qui construit Stateward est gardée par Stateward. L’outil analyse le code même qui le livre, la boucle QA la plus stricte qui soit, et la preuve qu’il fonctionne sur du vrai code.
Au sein d’un écosystème souverain
Stateward est la couche de sécurité de l’écosystème Yggdrasil, bâtie sur la même fondation souveraine Citadea qui alimente l’écosystème.
J’ai construit Stateward parce que j’en avais besoin moi-même, une équipe sécurité que je n’aurais jamais pu recruter, surveillant chaque ligne, sur une infrastructure que je contrôle réellement. Dix ans d’instinct bug bounty et CTF transformés en une garde qui ne dort jamais.
Le moteur repose sur des fondations ouvertes, se déploie sur une infrastructure que vous contrôlez, et est en lecture seule par conception, parier sur Stateward, ce n’est jamais parier sur une seule personne.
Tout ce que vous demanderiez avant de connecter un dépôt
Des réponses directes sur le fonctionnement de Stateward, ce qu’il peut toucher, et où vit votre code.
Qu’est-ce qu’une vulnérabilité induite par une fusion, et comment Stateward l’attrape ?
C’est une faille qui n’existe dans aucune branche séparément mais apparaît à la fusion de deux branches : par exemple, une branche ajoute un handler qui relaie une URL contrôlée par l’utilisateur pendant qu’une autre retire discrètement une allowlist, et ensemble elles créent une SSRF. Les scanners par PR la manquent car chaque diff paraît sûr. Stateward raisonne sur l’état fusionné prévu du code et signale l’interaction avant qu’elle n’atteigne votre branche principale.
Pourquoi analyser tout le code plutôt que le seul diff ?
Les pires vulnérabilités tiennent rarement dans un seul diff. Un changement d’apparence anodine peut acheminer une entrée utilisateur vers une fonction non sûre définie dans un autre fichier, ou atteindre un sink via une chaîne d’appels qu’un scanner ligne par ligne ne voit jamais. Stateward construit une base de connaissance de tout le projet, graphe d’appels, frontières de confiance et atteignabilité des dépendances, pour analyser le changement dans le contexte qui détermine réellement s’il est exploitable.
Comment Stateward évite-t-il de me noyer sous les faux positifs ?
Chaque finding candidat est validé avant que vous ne le voyiez : les résultats sont dédupliqués entre moteurs, renforcés quand des agents indépendants convergent sur le même problème, puis attaqués de façon adverse, est-il réellement atteignable et déclenchable, quel est l’impact réel. Les affirmations faibles sont écartées et seuls des findings notés par sévérité, avec reproduction, sont publiés, cadrés sur votre diff, pas un arriéré de 4 000 items.
En quoi Stateward diffère de Snyk ou Aikido ?
Stateward unifie SAST, audit des dépendances, détection de secrets, revue du code généré par IA et mapping de conformité en une seule couche autonome, puis trie et déduplique l’ensemble pour vous livrer des correctifs, pas un mur de rouge. Conçu dès le départ pour le code écrit par IA et hébergé sur une infrastructure UE avec résidence des données dans l’UE.
Comprend-il vraiment le code généré par IA ?
Oui, c’est la catégorie pour laquelle il a été conçu. Stateward cible les défaillances propres au code écrit par Copilot, Cursor et Claude : défauts non sûrs, configs trop permissives, dépendances hallucinées ou typosquattées, et surfaces d’injection de prompt qu’aucun scanner hérité n’a appris à détecter.
Va-t-il polluer mes pull requests de bruit ?
Non. Les findings sont limités aux lignes que vous avez changées, dédupliqués entre tous les moteurs, classés par exploitabilité réelle, et les re-push mettent à jour la revue existante au lieu de poster des doublons. Vous définissez la sévérité minimale et les chemins ignorés par dépôt.
Stateward peut-il voir ou modifier mon code ?
Il a un accès en lecture seule, accordé via l’OAuth de votre fournisseur, il peut commenter mais jamais pousser, merger ni modifier le code. Stateward ne stocke jamais vos identifiants, et le code est analysé dans un environnement isolé et éphémère, supprimé dès la revue publiée.
Où mon code est-il hébergé et traité ?
Aujourd’hui, votre code est traité sur une infrastructure souveraine de l’UE avec résidence des données dans l’UE, votre code, vos findings et vos données de sécurité restent en juridiction UE.
Et si Stateward disparaissait ?
Rien ne casse. Stateward est en lecture seule et n’ajoute rien à votre pipeline, le retirer se fait en un clic et vous revenez exactement à votre point de départ. L’analyse repose sur des moteurs ouverts, pas une boîte noire propriétaire, et nous proposons un séquestre de code et de continuité pour que le moteur reste toujours maintenable.
Combien ça coûte ?
L’analyse déterministe est gratuite sur toutes les offres. L’analyse IA est facturée en crédits, où un crédit vaut un dollar. L’open source et les devs solo sont gratuits : chaque dépôt public bénéficie d’une analyse déterministe gratuite, les projets open source peuvent demander une dotation d’analyse IA sponsorisée en écrivant à hello@stateward.com, et les dépôts privés reçoivent une dotation mensuelle de crédits. Les équipes sont à 40 $/mois pour une allocation de crédits plus la plateforme ; l’entreprise est sur mesure. Sans sièges, sans comptage de dépôts, sans carte bancaire pour commencer.
Facturez-vous par développeur ou par dépôt ?
Ni l’un ni l’autre. Votre facture n’augmente jamais parce que vous avez recruté, parce qu’un bot a poussé du code, ou parce que vous avez découpé un service en plusieurs dépôts. Vous payez un petit abonnement plus les crédits de l’analyse IA que vous utilisez vraiment, et les analyseurs déterministes sont toujours gratuits.
Que faut-il pour démarrer ?
Installez l’app sur GitHub ou GitLab et accordez un accès en lecture seule aux dépôts de votre choix. Aucun pipeline à reconstruire, Stateward analyse votre prochaine pull request automatiquement.
Remplace-t-il mon équipe sécurité ?
Il apporte aux équipes qui n’ont jamais pu recruter en AppSec la couverture d’une telle fonction, et il rend les équipes sécurité existantes plus rapides en absorbant le travail répétitif de revue, de triage et de preuve. Il appuie le jugement humain, il ne le remplace pas.
Chaque ligne surveillée, chaque dépendance vérifiée, chaque secret intercepté. Automatiquement, pour tous, pas seulement ceux qui peuvent s’offrir une équipe AppSec.
Posez une garde sur votre code dès aujourd’hui
Gratuit pour les particuliers et l’open source. Connectez un dépôt et Stateward analyse votre prochaine pull request.
Sans carte bancaire · Accès en lecture seule · Analyse votre prochaine PR en quelques minutes