Un niveau de preuve explicite
Les constats distinguent détecté, atteignable et confirmé. Un flux atteignable porte un témoin ancré dans le code, et une confirmation affiche sa provenance : pentesteur, test à l'exécution ou DAST.
Tamis vs Semgrep
Semgrep est centré sur l'écriture de règles et un moteur ouvert dans votre CI ; sa documentation situe les données client aux États-Unis. Tamis s'appuie sur Opengrep, un fork ouvert de Semgrep, et ajoute conteneurs, DAST et un hébergement dans l'UE ou chez vous.
Mis à jour le 9 octobre 2026 · par l'équipe Tamis
Page écrite par l'éditeur de Tamis, à partir de la documentation publique de Semgrep (sources en bas). Méthode et comparaison complète.
Pourquoi choisir Tamis
- Données dans l'UE ou chez vous
- Conteneurs et DAST
- Un niveau de preuve explicite
Comparaison
Les périmètres d'accessibilité diffèrent d'un éditeur à l'autre (méthode, langages). « Partiel » : moteur open source, plateforme propriétaire.
| Critère | Tamis | Semgrep |
|---|---|---|
| Ce qui est analysé | ||
| Code (SAST) | Oui | Oui |
| Dépendances (SCA) | Oui | Oui |
| Secrets | Oui | Oui |
| Infrastructure as code | Oui | Oui, Terraform |
| Conteneurs | Oui | Non établi |
| Application déployée (DAST) | Oui | Non établi |
| Export SBOM | Oui | Oui |
| Politiques de licences | Oui | Oui |
| Priorisation | ||
| Accessibilité des dépendances | Oui, 8 écosystèmes | Oui, 11 langages |
| Correction par IA | Oui | Oui, bêta |
| Import d'autres outils | Oui, SARIF et 4 formats | Non établi |
| Corrélation | ||
| Dédoublonnage entre scanners | Oui | Non établi |
| Code relié à l'application déployée (SAST et DAST) | En développement | Non établi |
| Chaînes d'attaque entre constats | Oui, MITRE ATT&CK | Non établi |
| Une faille, tous les projets touchés | Oui | Oui, par dépendance |
| Hébergement | ||
| SaaS dans l'UE | Oui | Non |
| Toute la plateforme chez vous | Oui | Non établi |
| Scanner chez vous, résultats en SaaS | En développement | Oui |
| Moteur open source | Partiel | Partiel |
| Gouvernance | ||
| SSO | Oui | Oui, SAML Enterprise |
| Rapports par référentiel | Oui | Non établi |
| Risques et preuves par projet | Oui | Non établi |
| Au-delà du scan | ||
| Modélisation des menaces (DFD, STRIDE) | Oui | Non établi |
| Architecture reliée aux constats | Oui, C4 et DFD | Non établi |
| Suivi du pentest manuel (WSTG, ASVS) et rapport | Oui | Non établi |
| Pentest IA autonome | Oui | Non établi |
| Contre-test d'un constat corrigé | Oui, scanners pris en charge | Non établi |
| Ateliers EBIOS RM | Oui | Non établi |
Ce que Tamis fait autrement
Des correctifs IA réanalysés
Pour les cas pris en charge, le correctif proposé est réanalysé par un nouveau scan sur une copie du code, qui vérifie que le constat visé disparaît. La pull request ne s'ouvre que derrière une autorisation liée à ce correctif.
Vos données, votre IA
Un modèle local peut rendre le premier verdict de triage ; le fournisseur cloud est optionnel et choisi par vos administrateurs. Chaque suggestion reste une proposition jusqu'à votre décision.
Une vulnérabilité, toutes les applications touchées
Quand un composant partagé est vulnérable, Tamis montre les projets qui l'utilisent et suit, projet par projet, la décision, la correction et sa preuve. Les mêmes risques et preuves alimentent vos dossiers NIS2, DORA ou ISO 27001.
SaaS chez OVHcloud ou Scaleway ou chez vous
SaaS opéré chez OVHcloud ou Scaleway, dans l'Union européenne, ou toute la plateforme sur votre infrastructure, air-gap compris.
Vos scanners actuels gardés
Les rapports SARIF, Snyk, SonarQube, Nessus et Qualys s'importent et se suivent avec le reste, sans remplacer ce qui marche déjà.
Questions
Tamis utilise-t-il Semgrep ?
Il utilise Opengrep, un fork open source, avec ses propres règles.
Semgrep héberge-t-il dans l'UE ?
Non : sa documentation indique des données client aux États-Unis.
Comment juger Tamis sur mon code ?
Avec le POC gratuit de 14 jours : trois projets de votre choix, et des critères de réussite fixés ensemble avant la première analyse.