Un niveau de preuve explicite
Les constats distinguent détecté, atteignable et confirmé. Un flux atteignable porte un témoin ancré dans le code, et une confirmation affiche sa provenance : pentesteur, test à l'exécution ou DAST.
Tamis vs SonarQube
SonarQube est d'abord un outil de qualité de code ; d'après sa documentation, il n'analyse ni les conteneurs ni l'application déployée. Tamis se concentre sur la sécurité, couvre conteneurs et DAST, et importe vos résultats SonarQube.
Mis à jour le 9 octobre 2026 · par l'équipe Tamis
Page écrite par l'éditeur de Tamis, à partir de la documentation publique de SonarQube (sources en bas). Méthode et comparaison complète.
Pourquoi choisir Tamis
- Conteneurs et DAST
- SonarQube et autres scanners réunis
- Risques et preuves par projet
Comparaison
Les périmètres d'accessibilité diffèrent d'un éditeur à l'autre (méthode, langages). « Partiel » : moteur open source, plateforme propriétaire.
| Critère | Tamis | SonarQube |
|---|---|---|
| Ce qui est analysé | ||
| Code (SAST) | Oui | Oui |
| Dépendances (SCA) | Oui | Oui, Advanced Security |
| Secrets | Oui | Oui |
| Infrastructure as code | Oui | Oui |
| Conteneurs | Oui | Non (doc) |
| Application déployée (DAST) | Oui | Non (doc) |
| Export SBOM | Oui | Oui, Advanced Security |
| Politiques de licences | Oui | Oui, Advanced Security |
| Priorisation | ||
| Accessibilité des dépendances | Oui, 8 écosystèmes | Oui, Advanced Security |
| Correction par IA | Oui | Oui, Enterprise |
| Import d'autres outils | Oui, SARIF et 4 formats | Oui, SARIF |
| Corrélation | ||
| Dédoublonnage entre scanners | Oui | Non établi |
| Code relié à l'application déployée (SAST et DAST) | En développement | Non établi |
| Chaînes d'attaque entre constats | Oui, MITRE ATT&CK | Non établi |
| Une faille, tous les projets touchés | Oui | Recherche par CVE, Enterprise |
| Hébergement | ||
| SaaS dans l'UE | Oui | Oui |
| Toute la plateforme chez vous | Oui | Oui |
| Scanner chez vous, résultats en SaaS | En développement | Oui |
| Moteur open source | Partiel | Partiel |
| Gouvernance | ||
| SSO | Oui | Oui, payant |
| Rapports par référentiel | Oui | Oui, Enterprise |
| Risques et preuves par projet | Oui | Non établi |
| Au-delà du scan | ||
| Modélisation des menaces (DFD, STRIDE) | Oui | Non établi |
| Architecture reliée aux constats | Oui, C4 et DFD | Non établi |
| Suivi du pentest manuel (WSTG, ASVS) et rapport | Oui | Non établi |
| Pentest IA autonome | Oui | Non établi |
| Contre-test d'un constat corrigé | Oui, scanners pris en charge | Non établi |
| Ateliers EBIOS RM | Oui | Non établi |
Ce que Tamis fait autrement
Des correctifs IA réanalysés
Pour les cas pris en charge, le correctif proposé est réanalysé par un nouveau scan sur une copie du code, qui vérifie que le constat visé disparaît. La pull request ne s'ouvre que derrière une autorisation liée à ce correctif.
Vos données, votre IA
Un modèle local peut rendre le premier verdict de triage ; le fournisseur cloud est optionnel et choisi par vos administrateurs. Chaque suggestion reste une proposition jusqu'à votre décision.
Une vulnérabilité, toutes les applications touchées
Quand un composant partagé est vulnérable, Tamis montre les projets qui l'utilisent et suit, projet par projet, la décision, la correction et sa preuve. Les mêmes risques et preuves alimentent vos dossiers NIS2, DORA ou ISO 27001.
SaaS chez OVHcloud ou Scaleway ou chez vous
SaaS opéré chez OVHcloud ou Scaleway, dans l'Union européenne, ou toute la plateforme sur votre infrastructure, air-gap compris.
Vos scanners actuels gardés
Les rapports SARIF, Snyk, SonarQube, Nessus et Qualys s'importent et se suivent avec le reste, sans remplacer ce qui marche déjà.
Questions
Tamis remplace-t-il SonarQube ?
Pas pour la qualité de code. Pour la sécurité, ils se recoupent.
Peut-on utiliser les deux ensemble ?
Oui : Tamis importe les résultats SonarQube.
Comment juger Tamis sur mon code ?
Avec le POC gratuit de 14 jours : trois projets de votre choix, et des critères de réussite fixés ensemble avant la première analyse.