Les scanners statiques signalent des schémas comme un paramètre corrompu, un appel d'API risqué, un contrôle manquant. Code Audit raisonne sur l'intention à travers votre codebase pour identifier les problèmes qui nécessitent la perspective d'un attaquant : IDORs, contrôle d’accès défaillant, chaînes d'exploitation multi-étapes et failles de logique métier. Il complète le SAST plutôt que de le remplacer.

Il lit et raisonne directement sur votre code source. Il n'y a pas de phase de crawl, pas de rejeu de trafic et pas d'exploitation en direct. Il n'y a donc pas d'environnement à cibler. Pour les tests en direct contre une cible déployée, utilisez plutôt Aikido Pentest.

Prend en charge TOUTES les langues ; aucune limitation quelle qu'elle soit. L'audit de code ne se limite pas aux applications web. Les agents raisonnent sur toutes les sources contenues dans les dépôts connectés, y compris les applications mobiles, les smart contracts et les applications de bureau, à travers les langages courants, la configuration et l'IaC. Les monorepos avec plusieurs services sont entièrement pris en charge.

Code Audit concentre l'attention de l'agent sur un ensemble cohérent de bases de code. Au-delà d'un certain nombre de dépôts, l'analyse tend à perdre en précision et la qualité diminue. Contactez le support si vous avez réellement besoin de plus dans un seul audit.

1. Les deux produits fonctionnent sur un moteur agentique similaire, mais ils répondent à des questions différentes. Code Audit analyse votre code source. Aikido Pentest le valide sur votre application en cours d'exécution.
2. Utilisez l'audit de code lorsque :
   • Vous souhaitez une analyse approfondie du code sur les failles logiques et architecturales — IDORs, contrôle d’accès défaillant, chaînes d'attaques multi-étapes — sans configurer un environnement de production.
   • Vous ne disposez pas d'une cible de staging ou de QA stable, ou les flux d'authentification ne sont pas prêts pour des tests en production.
   • Vous avez besoin d'un délai d'exécution rapide avec une configuration minimale : connectez un dépôt, confirmez les crédits, démarrez.
   • Vous souhaitez valider les modifications dans le code source avant qu'elles ne soient déployées en production.
   • Vous avez une base de code difficile à tester en direct, comme les applications mobiles, les applications de bureau ou les smart contracts.
3. Utilisez Aikido Pentest lorsque :
   • Vous avez une cible en production et souhaitez valider l'exploitabilité réelle avec du trafic réel.
   • Vous souhaitez des preuves au runtime — requêtes de reproduction, cartographie de la surface d'attaque et activité de l'agent en direct.
   • Votre périmètre inclut des domaines, des rôles d'utilisateurs authentifiés et des endpoints découverts par crawl au-delà de ce qui est visible dans le code source.
   • Vous avez besoin d'un test d'intrusion en direct pour vous conformer aux cadres de conformité SOC 2, ISO 27001 ou similaires.

L'audit de code lit et raisonne directement sur votre code source. Il n'y a pas de phase de crawl, pas de relecture de trafic et pas d'exploitation en direct, il n'y a donc pas d'environnement à cibler. Si vous souhaitez effectuer des tests en direct sur une cible déployée, utilisez plutôt Aikido Pentest.

L'audit de code se trouve dans le menu latéral, dans la section Attack.

Payé en crédits Aikido. L'étape Tarification du processus de création affiche le total exact des crédits avant que vous ne vous engagiez. Le coût dépend de la taille et de la complexité du dépôt.

Les membres individuels d'OWASP reçoivent 200 crédits gratuits, utilisables une seule fois, pour essayer Code Audit. Pour bénéficier de cet avantage :
1. Créez un compte Aikido gratuit avec votre adresse e-mail owasp.org
2. Soumettez votre nom et votre adresse e-mail OWASP sur le site web d'Aikido pour réclamer vos crédits.