Un niveau de preuve explicite
Les constats distinguent détecté, atteignable et confirmé. Un flux atteignable porte un témoin ancré dans le code, et une confirmation affiche sa provenance : pentesteur, test à l'exécution ou DAST.
Tamis vs Snyk
Snyk réserve les secrets, le DAST, l'export SBOM et l'hébergement dans l'UE à son offre Enterprise. Chez Tamis, ces analyses font partie de la licence, en SaaS européen ou chez vous, et vos rapports Snyk existants s'importent.
Mis à jour le 9 octobre 2026 · par l'équipe Tamis
Page écrite par l'éditeur de Tamis, à partir de la documentation publique de Snyk (sources en bas). Méthode et comparaison complète.
Pourquoi choisir Tamis
- Toute la plateforme chez vous
- Correctifs IA réanalysés avant la PR
- Risques et preuves par projet
Comparaison
Les périmètres d'accessibilité diffèrent d'un éditeur à l'autre (méthode, langages). « Partiel » : moteur open source, plateforme propriétaire.
| Critère | Tamis | Snyk |
|---|---|---|
| Ce qui est analysé | ||
| Code (SAST) | Oui | Oui |
| Dépendances (SCA) | Oui | Oui |
| Secrets | Oui | Oui, Enterprise |
| Infrastructure as code | Oui | Oui |
| Conteneurs | Oui | Oui |
| Application déployée (DAST) | Oui | Oui, Enterprise |
| Export SBOM | Oui | Oui, Enterprise |
| Politiques de licences | Oui | Oui, Enterprise |
| Priorisation | ||
| Accessibilité des dépendances | Oui, 8 écosystèmes | Oui, 3 langages |
| Correction par IA | Oui | Oui |
| Import d'autres outils | Oui, SARIF et 4 formats | Non établi |
| Corrélation | ||
| Dédoublonnage entre scanners | Oui | Non établi |
| Code relié à l'application déployée (SAST et DAST) | En développement | Non établi |
| Chaînes d'attaque entre constats | Oui, MITRE ATT&CK | Non établi |
| Une faille, tous les projets touchés | Oui | Non établi |
| Hébergement | ||
| SaaS dans l'UE | Oui | Oui, Enterprise |
| Toute la plateforme chez vous | Oui | Non (doc) |
| Scanner chez vous, résultats en SaaS | En développement | Oui |
| Moteur open source | Partiel | Non établi |
| Gouvernance | ||
| SSO | Oui | Oui, Enterprise |
| Rapports par référentiel | Oui | Oui, Enterprise |
| Risques et preuves par projet | Oui | Non établi |
| Au-delà du scan | ||
| Modélisation des menaces (DFD, STRIDE) | Oui | Non établi |
| Architecture reliée aux constats | Oui, C4 et DFD | Non établi |
| Suivi du pentest manuel (WSTG, ASVS) et rapport | Oui | Non établi |
| Pentest IA autonome | Oui | Oui, Evo |
| Contre-test d'un constat corrigé | Oui, scanners pris en charge | Non établi |
| Ateliers EBIOS RM | Oui | Non établi |
Ce que Tamis fait autrement
Des correctifs IA réanalysés
Pour les cas pris en charge, le correctif proposé est réanalysé par un nouveau scan sur une copie du code, qui vérifie que le constat visé disparaît. La pull request ne s'ouvre que derrière une autorisation liée à ce correctif.
Vos données, votre IA
Un modèle local peut rendre le premier verdict de triage ; le fournisseur cloud est optionnel et choisi par vos administrateurs. Chaque suggestion reste une proposition jusqu'à votre décision.
Une vulnérabilité, toutes les applications touchées
Quand un composant partagé est vulnérable, Tamis montre les projets qui l'utilisent et suit, projet par projet, la décision, la correction et sa preuve. Les mêmes risques et preuves alimentent vos dossiers NIS2, DORA ou ISO 27001.
SaaS chez OVHcloud ou Scaleway ou chez vous
SaaS opéré chez OVHcloud ou Scaleway, dans l'Union européenne, ou toute la plateforme sur votre infrastructure, air-gap compris.
Vos scanners actuels gardés
Les rapports SARIF, Snyk, SonarQube, Nessus et Qualys s'importent et se suivent avec le reste, sans remplacer ce qui marche déjà.
Questions
Peut-on utiliser les deux ensemble ?
Oui : Tamis importe les rapports Snyk.
Snyk héberge-t-il dans l'UE ?
Oui, à Francfort, en offre Enterprise.
Comment juger Tamis sur mon code ?
Avec le POC gratuit de 14 jours : trois projets de votre choix, et des critères de réussite fixés ensemble avant la première analyse.