Un niveau de preuve explicite
Les constats distinguent détecté, atteignable et confirmé. Un flux atteignable porte un témoin ancré dans le code, et une confirmation affiche sa provenance : pentesteur, test à l'exécution ou DAST.
Tamis vs Aikido
Aikido et Tamis couvrent le même périmètre : code, dépendances, secrets, IaC, conteneurs et DAST, avec Opengrep parmi leurs moteurs. Tamis s'installe aussi entièrement chez vous, air-gap compris, suit le risque projet par projet et réunit les résultats de vos autres scanners.
Mis à jour le 9 octobre 2026 · par l'équipe Tamis
Page écrite par l'éditeur de Tamis, à partir de la documentation publique de Aikido (sources en bas). Méthode et comparaison complète.
Pourquoi choisir Tamis
- Un niveau de preuve explicite
- Toute la plateforme chez vous, air-gap compris
- Risques et preuves par projet
Comparaison
Les périmètres d'accessibilité diffèrent d'un éditeur à l'autre (méthode, langages). « Partiel » : moteur open source, plateforme propriétaire.
| Critère | Tamis | Aikido |
|---|---|---|
| Ce qui est analysé | ||
| Code (SAST) | Oui | Oui |
| Dépendances (SCA) | Oui | Oui |
| Secrets | Oui | Oui |
| Infrastructure as code | Oui | Oui |
| Conteneurs | Oui | Oui |
| Application déployée (DAST) | Oui | Oui |
| Export SBOM | Oui | Oui, payant |
| Politiques de licences | Oui | Oui |
| Priorisation | ||
| Accessibilité des dépendances | Oui, 8 écosystèmes | Annoncée |
| Correction par IA | Oui | Oui |
| Import d'autres outils | Oui, SARIF et 4 formats | Limité |
| Corrélation | ||
| Dédoublonnage entre scanners | Oui | Non établi |
| Code relié à l'application déployée (SAST et DAST) | En développement | Non établi |
| Chaînes d'attaque entre constats | Oui, MITRE ATT&CK | Partiel, cloud et conteneurs |
| Une faille, tous les projets touchés | Oui | Non établi |
| Hébergement | ||
| SaaS dans l'UE | Oui | Oui |
| Toute la plateforme chez vous | Oui | Non établi |
| Scanner chez vous, résultats en SaaS | En développement | Oui |
| Moteur open source | Partiel | Partiel |
| Gouvernance | ||
| SSO | Oui | Oui, payant |
| Rapports par référentiel | Oui | Oui |
| Risques et preuves par projet | Oui | Non établi |
| Au-delà du scan | ||
| Modélisation des menaces (DFD, STRIDE) | Oui | Non établi |
| Architecture reliée aux constats | Oui, C4 et DFD | Non établi |
| Suivi du pentest manuel (WSTG, ASVS) et rapport | Oui | Non établi |
| Pentest IA autonome | Oui | Oui, Aikido Attack |
| Contre-test d'un constat corrigé | Oui, scanners pris en charge | Oui, pentest IA |
| Ateliers EBIOS RM | Oui | Non établi |
Ce que Tamis fait autrement
Des correctifs IA réanalysés
Pour les cas pris en charge, le correctif proposé est réanalysé par un nouveau scan sur une copie du code, qui vérifie que le constat visé disparaît. La pull request ne s'ouvre que derrière une autorisation liée à ce correctif.
Vos données, votre IA
Un modèle local peut rendre le premier verdict de triage ; le fournisseur cloud est optionnel et choisi par vos administrateurs. Chaque suggestion reste une proposition jusqu'à votre décision.
Une vulnérabilité, toutes les applications touchées
Quand un composant partagé est vulnérable, Tamis montre les projets qui l'utilisent et suit, projet par projet, la décision, la correction et sa preuve. Les mêmes risques et preuves alimentent vos dossiers NIS2, DORA ou ISO 27001.
SaaS chez OVHcloud ou Scaleway ou chez vous
SaaS opéré chez OVHcloud ou Scaleway, dans l'Union européenne, ou toute la plateforme sur votre infrastructure, air-gap compris.
Vos scanners actuels gardés
Les rapports SARIF, Snyk, SonarQube, Nessus et Qualys s'importent et se suivent avec le reste, sans remplacer ce qui marche déjà.
Questions
Les deux utilisent-ils Opengrep ?
Oui, parmi d'autres moteurs. Les règles et le reste de l'analyse diffèrent.
Les deux hébergent-ils dans l'UE ?
Oui : Aikido sur AWS en région UE, Tamis chez OVHcloud ou Scaleway.
Comment juger Tamis sur mon code ?
Avec le POC gratuit de 14 jours : trois projets de votre choix, et des critères de réussite fixés ensemble avant la première analyse.