Un niveau de preuve explicite
Les constats distinguent détecté, atteignable et confirmé. Un flux atteignable porte un témoin ancré dans le code, et une confirmation affiche sa provenance : pentesteur, test à l'exécution ou DAST.
Tamis vs Checkmarx One
Checkmarx One s'adresse aux grandes organisations, sur devis, en SaaS ou sur site. Tamis propose les deux modes avec un SaaS opéré chez OVHcloud ou Scaleway dans l'Union européenne, des prix publics, et le suivi des risques et des preuves projet par projet.
Mis à jour le 9 octobre 2026 · par l'équipe Tamis
Page écrite par l'éditeur de Tamis, à partir de la documentation publique de Checkmarx One (sources en bas). Méthode et comparaison complète.
Pourquoi choisir Tamis
- SaaS opéré par un hébergeur européen
- Correctifs IA réanalysés avant la PR
- Risques et preuves par projet
Comparaison
Les périmètres d'accessibilité diffèrent d'un éditeur à l'autre (méthode, langages). « Partiel » : moteur open source, plateforme propriétaire.
| Critère | Tamis | Checkmarx One |
|---|---|---|
| Ce qui est analysé | ||
| Code (SAST) | Oui | Oui |
| Dépendances (SCA) | Oui | Oui |
| Secrets | Oui | Oui, Enterprise |
| Infrastructure as code | Oui | Oui, Enterprise |
| Conteneurs | Oui | Oui, Professional |
| Application déployée (DAST) | Oui | Oui, Professional |
| Export SBOM | Oui | Oui |
| Politiques de licences | Oui | Non établi |
| Priorisation | ||
| Accessibilité des dépendances | Oui, 8 écosystèmes | Oui, 4 langages |
| Correction par IA | Oui | Oui |
| Import d'autres outils | Oui, SARIF et 4 formats | Oui, SARIF |
| Corrélation | ||
| Dédoublonnage entre scanners | Oui | Regroupement annoncé, ASPM |
| Code relié à l'application déployée (SAST et DAST) | En développement | Non établi |
| Chaînes d'attaque entre constats | Oui, MITRE ATT&CK | Non établi |
| Une faille, tous les projets touchés | Oui | Non établi |
| Hébergement | ||
| SaaS dans l'UE | Oui | Oui |
| Toute la plateforme chez vous | Oui | Oui, annoncé |
| Scanner chez vous, résultats en SaaS | En développement | Non établi |
| Moteur open source | Partiel | Non établi |
| Gouvernance | ||
| SSO | Oui | Oui |
| Rapports par référentiel | Oui | Oui |
| Risques et preuves par projet | Oui | Non établi |
| Au-delà du scan | ||
| Modélisation des menaces (DFD, STRIDE) | Oui | Via SD Elements, partenaire |
| Architecture reliée aux constats | Oui, C4 et DFD | Non établi |
| Suivi du pentest manuel (WSTG, ASVS) et rapport | Oui | Non établi |
| Pentest IA autonome | Oui | Non établi |
| Contre-test d'un constat corrigé | Oui, scanners pris en charge | Non établi |
| Ateliers EBIOS RM | Oui | Non établi |
Ce que Tamis fait autrement
Des correctifs IA réanalysés
Pour les cas pris en charge, le correctif proposé est réanalysé par un nouveau scan sur une copie du code, qui vérifie que le constat visé disparaît. La pull request ne s'ouvre que derrière une autorisation liée à ce correctif.
Vos données, votre IA
Un modèle local peut rendre le premier verdict de triage ; le fournisseur cloud est optionnel et choisi par vos administrateurs. Chaque suggestion reste une proposition jusqu'à votre décision.
Une vulnérabilité, toutes les applications touchées
Quand un composant partagé est vulnérable, Tamis montre les projets qui l'utilisent et suit, projet par projet, la décision, la correction et sa preuve. Les mêmes risques et preuves alimentent vos dossiers NIS2, DORA ou ISO 27001.
SaaS chez OVHcloud ou Scaleway ou chez vous
SaaS opéré chez OVHcloud ou Scaleway, dans l'Union européenne, ou toute la plateforme sur votre infrastructure, air-gap compris.
Vos scanners actuels gardés
Les rapports SARIF, Snyk, SonarQube, Nessus et Qualys s'importent et se suivent avec le reste, sans remplacer ce qui marche déjà.
Questions
Les deux s'installent-ils sur site ?
Oui. Vérifiez auprès de chacun le périmètre exact.
Les prix sont-ils publics ?
Chez Tamis, oui : page tarifs. Chez Checkmarx, non : devis après démonstration.
Comment juger Tamis sur mon code ?
Avec le POC gratuit de 14 jours : trois projets de votre choix, et des critères de réussite fixés ensemble avant la première analyse.