Un niveau de preuve explicite
Les constats distinguent détecté, atteignable et confirmé. Un flux atteignable porte un témoin ancré dans le code, et une confirmation affiche sa provenance : pentesteur, test à l'exécution ou DAST.
Comparatif
Tamis et les autres
outils AppSec.
Six outils AppSec, comparés à partir de leur documentation publique. Page écrite par l'éditeur de Tamis : vérifiez les sources.
Mis à jour le 9 octobre 2026 · par l'équipe Tamis
Le tableau
Les périmètres d'accessibilité diffèrent d'un éditeur à l'autre (méthode, langages). « Partiel » : moteur open source, plateforme propriétaire.
| Critère | Tamis | Aikido | Checkmarx One | Semgrep | Snyk | SonarQube |
|---|---|---|---|---|---|---|
| Ce qui est analysé | ||||||
| Code (SAST) | Oui | Oui | Oui | Oui | Oui | Oui |
| Dépendances (SCA) | Oui | Oui | Oui | Oui | Oui | Oui, Advanced Security |
| Secrets | Oui | Oui | Oui, Enterprise | Oui | Oui, Enterprise | Oui |
| Infrastructure as code | Oui | Oui | Oui, Enterprise | Oui, Terraform | Oui | Oui |
| Conteneurs | Oui | Oui | Oui, Professional | Non établi | Oui | Non (doc) |
| Application déployée (DAST) | Oui | Oui | Oui, Professional | Non établi | Oui, Enterprise | Non (doc) |
| Export SBOM | Oui | Oui, payant | Oui | Oui | Oui, Enterprise | Oui, Advanced Security |
| Politiques de licences | Oui | Oui | Non établi | Oui | Oui, Enterprise | Oui, Advanced Security |
| Priorisation | ||||||
| Atteignabilité des dépendances | Oui, 8 écosystèmes | Annoncée | Oui, 4 langages | Oui, 11 langages | Oui, 3 langages | Oui, Advanced Security |
| Correction par IA | Oui | Oui | Oui | Oui, bêta | Oui | Oui, Enterprise |
| Import d'autres outils | Oui, SARIF et 4 formats | Limité | Oui, SARIF | Non établi | Non établi | Oui, SARIF |
| Corrélation | ||||||
| Dédoublonnage entre scanners | Oui | Non établi | Regroupement annoncé, ASPM | Non établi | Non établi | Non établi |
| Code relié à l'application déployée (SAST et DAST) | En développement | Non établi | Non établi | Non établi | Non établi | Non établi |
| Chaînes d'attaque entre constats | Oui, MITRE ATT&CK | Partiel, cloud et conteneurs | Non établi | Non établi | Non établi | Non établi |
| Une faille, tous les projets touchés | Oui | Non établi | Non établi | Oui, par dépendance | Non établi | Recherche par CVE, Enterprise |
| Hébergement | ||||||
| SaaS dans l'UE | Oui | Oui | Oui | Non | Oui, Enterprise | Oui |
| Toute la plateforme chez vous | Oui | Non établi | Oui, annoncé | Non établi | Non (doc) | Oui |
| Scanner chez vous, résultats en SaaS | En développement | Oui | Non établi | Oui | Oui | Oui |
| Moteur open source | Partiel | Partiel | Non établi | Partiel | Non établi | Partiel |
| Gouvernance | ||||||
| SSO | Oui | Oui, payant | Oui | Oui, SAML Enterprise | Oui, Enterprise | Oui, payant |
| Rapports par référentiel | Oui | Oui | Oui | Non établi | Oui, Enterprise | Oui, Enterprise |
| Risques et preuves par projet | Oui | Non établi | Non établi | Non établi | Non établi | Non établi |
| Au-delà du scan | ||||||
| Modélisation des menaces (DFD, STRIDE) | Oui | Non établi | Via SD Elements, partenaire | Non établi | Non établi | Non établi |
| Architecture reliée aux constats | Oui, C4 et DFD | Non établi | Non établi | Non établi | Non établi | Non établi |
| Suivi du pentest manuel (WSTG, ASVS) et rapport | Oui | Non établi | Non établi | Non établi | Non établi | Non établi |
| Pentest IA autonome | Oui | Oui, Aikido Attack | Non établi | Non établi | Oui, Evo | Non établi |
| Contre-test d'un constat corrigé | Oui, scanners pris en charge | Oui, pentest IA | Non établi | Non établi | Non établi | Non établi |
| Ateliers EBIOS RM | Oui | Non établi | Non établi | Non établi | Non établi | Non établi |
- Pentest IA autonome : sources éditeurs consultées le 9 octobre 2026.
- Sources : documentation des éditeurs, consultée le 5 octobre 2026 (liste). Tamis : nos vérifications dans le produit.
- « Non établi » veut dire que les sources ne tranchent pas, pas que la fonction manque.
- Aucun benchmark commun des plateformes commerciales n'a été exécuté pour ce comparatif, et les nombres de langages ne se comptent pas pareil d'un éditeur à l'autre.
- Une erreur ? contact@tamis.app
Ce que Tamis fait autrement
Des correctifs IA réanalysés
Pour les cas pris en charge, le correctif proposé est réanalysé par un nouveau scan sur une copie du code, qui vérifie que le constat visé disparaît. La pull request ne s'ouvre que derrière une autorisation liée à ce correctif.
Vos données, votre IA
Un modèle local peut rendre le premier verdict de triage ; le fournisseur cloud est optionnel et choisi par vos administrateurs. Chaque suggestion reste une proposition jusqu'à votre décision.
Une vulnérabilité, toutes les applications touchées
Quand un composant partagé est vulnérable, Tamis montre les projets qui l'utilisent et suit, projet par projet, la décision, la correction et sa preuve. Les mêmes risques et preuves alimentent vos dossiers NIS2, DORA ou ISO 27001.
SaaS chez OVHcloud ou Scaleway ou chez vous
SaaS opéré chez OVHcloud ou Scaleway, dans l'Union européenne, ou toute la plateforme sur votre infrastructure, air-gap compris.
Vos scanners actuels gardés
Les rapports SARIF, Snyk, SonarQube, Nessus et Qualys s'importent et se suivent avec le reste, sans remplacer ce qui marche déjà.
Non comparé : précision de détection, performances, administration, données envoyées à l'IA, coût complet. Demandez-les à chaque éditeur, Tamis compris.