Reliez l’analyse des dépôts, la revue de code IA contextuelle, les corrections automatisées et les pentests autorisés aux outils de votre équipe de développement.
Vous avez utilisé cet outil ? Notez-le
Vous avez utilisé cet outil ? Notez-le
Aikido est une plateforme de sécurité applicative qui centralise la protection du code, du cloud et de l’exécution.
La revue de code IA, l’analyse des sources et le pentest IA couvrent différentes étapes du développement, avec des conditions d’accès et de facturation distinctes.
AutoFix propose des changements vérifiables pour les dépendances, le code applicatif, l’infrastructure sous forme de code, les conteneurs et les constats de pentest : diffs intégrés à l’IDE, suggestions CI/PR et demandes de fusion générées manuellement ou quotidiennement.
Pour les dépendances, AutoFix privilégie la plus petite version corrigée, généralement une mise à jour corrective ou mineure. Une mise à jour majeure signifie qu’aucune version inférieure ne résout le problème.
Cloud Discovery recherche ressources, risques et mauvaises configurations dans plusieurs comptes ; Cloud Inventory cartographie les actifs et des règles CSPM personnalisées signalent les configurations risquées.
Zen Firewall s’intègre directement au code applicatif et fonctionne sur le même serveur que l’application. Ses contrôles listés couvrent les entrées dangereuses, les injections et traversées de chemins, les limites de débit par route et utilisateur, le trafic malveillant tel que les bots ou attaquants connus, l’accès par pays et la surveillance du trafic sortant.
Aikido illustre Deep Review par une PR exposant les commandes d’un utilisateur à un autre : l’application fonctionne toujours et le SAST peut ne voir aucun schéma dangereux connu.
AI Code Analysis examine les sources existantes lorsqu’une équipe ignore si une application établie isole ses clients les uns des autres.
Attack Surface Monitoring découvre des actifs accessibles, comme une ancienne page de connexion ou une API d’administration exposée par une modification du proxy. Quick Scan vérifie en continu l’exposition des domaines déjà connus.
Aikido se connecte via GitHub, GitLab, Bitbucket, Azure DevOps et des installations de gestion de sources sur site. Les voies IDE incluent Visual Studio, VS Code, JetBrains IDEs, Cursor, Windsurf, Kiro, Google Antigravity et Eclipse.
La documentation du scanner local propose des configurations CI/CD pour Azure DevOps Server, Bitbucket Pipelines, Bamboo, CircleCI, GitHub Actions, GitLab Self-Managed, Jenkins et TeamCity, ainsi que des guides Linux, Mac et Windows.
Des configurations MCP sont publiées pour Claude Code, Cursor, Codex CLI, Gemini CLI, JetBrains AI, GitHub Copilot, Mistral Vibe, OpenCode et Devin. La documentation API Authorization and Rate Limiting est également disponible.
Le SAST distingue le suivi de contamination entre fichiers et au sein d’un fichier. JavaScript, TypeScript, PHP, .NET/C#, Java, Rust, Go, Ruby, Python, Scala, C/C++ et Visual Basic figurent pour l’analyse entre fichiers. Swift, Android, Kotlin, Dart, Elixir, Apex et Clojure figurent pour l’analyse interne à un fichier.
Zen prend en charge les environnements Node.js, Python, PHP, Java, .NET Core and Framework, Ruby et Golang, ce dernier étant indiqué en beta.
Les prix USD relevés le 28 octobre 2026 reposent sur 10 utilisateurs par offre payante ; les montants annuels sont les totaux pour l’année. Ils excluent retenues à la source, taxes d’importation, taxes sur les ventes, TVA et autres taxes locales.
| Offre | Facturation mensuelle | Facturation annuelle | Utilisateurs inclus |
|---|---|---|---|
| Developer | $0 | $0 | 2 |
| Basic | $350/mois | $3780/an | 10 |
| Pro | $700/mois | $7560/an | 10 |
| Advanced | $1050/mois | $11340/an | 10 |
Developer ne demande pas de carte bancaire et annonce une nouvelle analyse tous les trois jours. Les quotas des fiches d’offres sont soumis à un usage équitable. Un tiret signifie qu’aucun quota de groupes de mise à l’échelle de VM n’est indiqué.
| Offre | Dépôts / images | Domaines / comptes cloud | Groupes de mise à l’échelle de VM | AI AutoFix par mois | Requêtes protégées par mois |
|---|---|---|---|---|---|
| Developer | 10 / 2 | 1 / 1 | — | 10 | 250k |
| Basic | 100 / 50 | 3 / 3 | — | Illimité | 10M |
| Pro | 200 / 100 | 10 / 10 | 30 | Illimité | 20M |
| Advanced | 500 / 200 | 20 / 20 | 100 | Illimité | 50M |
Aikido Max est un supplément sur devis, avec des crédits mensuels illimités pour toutes les fonctions IA, dont Deep Review, sous réserve d’usage équitable.
Un crédit Aikido vaut $1 USD. Les espaces Pro et Advanced actifs et admissibles peuvent recevoir respectivement 100 et 200 crédits offerts par mois civil ; Developer et Basic n’incluent pas ces ajouts. Crédits achetés et offerts partagent un solde sans expiration. L’absence d’utilisation du portefeuille peut empêcher l’ajout gratuit du mois ; le solde existant reste acquis.
L’achat minimal est de 500 crédits par transaction. Le paiement peut se faire par carte ou sur facture, mais la facturation n’est proposée qu’aux clients payants ; les crédits sont ajoutés après paiement réussi.
Les administrateurs d’espace peuvent plafonner les dépenses par fonction, avec une période de réinitialisation propre à chacune. Une fois le plafond atteint, Aikido ignore les actions facturant des crédits jusqu’à sa réinitialisation.
Deep Review coûte un crédit par demande de fusion, sans supplément pour les revues suivantes de la même PR. Les revues sont ignorées si les crédits sont épuisés. Le plafond mensuel bloque les revues facturables jusqu’au mois civil suivant.
Un Standard Pentest coûte 4000 crédits pour une évaluation à durée limitée d’une application et de ses API principales. Rightsized Pentests exploite les dépôts connectés pour cartographier les vecteurs d’attaque et définir le périmètre pertinent pour la sécurité ; le total est confirmé avant le test. Rightsized affiche $50–$30000+, avec un périmètre issu des dépôts, points de terminaison et rôles.
Continuous Pentesting facture 10 crédits par agent lancé. Son estimation annualisée repose sur les 30 derniers jours d’activité Git. Aikido vérifie les déploiements configurés ou exécutions planifiées, mais ne lance les agents que pour les changements pertinents pour la sécurité. Les frais réels dépendent donc des lancements, pas de la seule estimation. Les constats du pentest initial peuvent être retestés jusqu’à six mois, y compris pour vérifier le contournement des correctifs.
La première évaluation complète peut démarrer avec des crédits en attente de paiement, sans achat initial. Les constats High et Critical restent floutés jusqu’au paiement ; les grandes évaluations en dévoilent au moins un en aperçu. Le rapport et la possibilité de retester deviennent disponibles une fois le solde en attente payé ou annulé. Tout solde dû doit être réglé avant de réutiliser cette offre.
L’admissibilité exige l’absence de crédits impayés, un pentest coûtant au plus 8000 crédits, au moins un dépôt actif non démonstratif, au moins deux comptes de test valides, et une adresse professionnelle pour l’utilisateur ou un administrateur d’espace. Les adresses personnelles ne sont pas admissibles.
L’annulation exige toutes ces conditions : première évaluation complète de l’espace, utilisation de Run now, pay later, Rightsized Pentest au niveau de couverture recommandé ou supérieur, configuration correcte permettant des tests approfondis, et achèvement sans constat High ou Critical. La condition de non-paiement exclut la couverture inférieure à la recommandation, les deuxièmes exécutions et les tests répétés, Continuous Pentesting, les tests de fonctions ou points de terminaison restreints et les configurations incomplètes, comme des utilisateurs manquants ou un contexte applicatif insuffisant. Elle peut aussi être refusée pour un constat Medium ou Low si Exploit Further était disponible mais inutilisé et si le constat aurait raisonnablement pu atteindre une gravité High ou Critical. Il s’agit de gravité, au-delà de la seule élévation de privilèges.
Le MSA public prévoit une reconduction automatique pour une durée égale à la période en cours, avec un préavis écrit d’au moins 30 jours calendaires pour résilier à son terme. Sauf résiliation pour manquement substantiel non corrigé d’Aikido, le client doit payer les frais du reste de la période. Une résiliation pour ce manquement donne lieu au remboursement au prorata des frais prépayés inutilisés.
La fiche gratuite indique « gratuit pour toujours », mais le MSA n’accorde aucune durée minimale ou garantie à la version gratuite et permet à Aikido d’y mettre fin à tout moment, pour tout motif.
Snyk répertorie des produits pour le code, les dépendances open source, les conteneurs, l’infrastructure sous forme de code, le DAST API/web et les secrets : la comparaison porte sur le périmètre des scanners pour développeurs.
SonarQube couvre la vérification du code, la qualité et la sécurité ; SonarQube for IDE fournit une analyse à la volée et des conseils de programmation. SonarQube Cloud est un SaaS entièrement géré ; SonarQube Server est autogéré au sein du périmètre du client.
Les cibles doivent être explicitement désignées et appartenir au client, ou être légalement autorisées pour le test. Les cibles tierces nécessitent l’accord explicite du tiers. Par défaut, les tests applicatifs portent sur des environnements hors production, de préproduction ou de test, sans données d’utilisateurs réels ni risque pour les opérations réelles, sauf accord exprès écrit des deux parties. Network Pentests peut inclure des cibles de production expressément sélectionnées dans le périmètre, avec reconnaissance du risque accru pour le service.
Credential-Based Testing est facultatif et exige une sélection explicite dans la configuration du périmètre ou une autorisation écrite. Il peut couvrir les identifiants par défaut ou faibles et ceux déjà divulgués semblant liés au client, à ses domaines ou utilisateurs. L’autorisation peut être limitée par cible, portail ou catégorie d’identifiants et retirée ; l’arrêt est promis dans un délai commercialement raisonnable. Le client doit avoir les droits et le fondement de traitement des données personnelles nécessaires. L’avenant reconnaît aussi des blocages de comptes, alertes, réinitialisations de mots de passe ou effets similaires possibles.
AutoFix GitHub App demande des droits de lecture/écriture sur Code, PRs et Workflows, et de lecture sur Checks et Actions. Cette voie de correction avec écriture diffère des droits minimaux en lecture seule de l’intégration de scan par défaut.
Aikido indique analyser les dépôts dans un conteneur neuf et effacer les données d’analyse à son arrêt. Les exceptions documentées sont les diffs originaux et corrigés des fichiers concernés conservés par AutoFix, et les arbres d’appels des constats AutoTriaged SAST conservés jusqu’à deux semaines.
La documentation sur les données de dépôt identifie les instances applicatives EU, US, US Gov, ME et AU et décrit le stockage dans les régions correspondantes.
Aikido décrit des opérations IA limitées à l’inférence, avec traitement temporaire en mémoire sans conservation ni réutilisation, et indique que de petits fragments de code anonymisés peuvent aider à trier et corriger avec précision. Pour AutoFix SAST, IaC et conteneurs, seuls les extraits minimaux nécessaires seraient envoyés par canaux chiffrés à AWS Bedrock, sans entraînement ni ajustement fin sur ce code par Aikido ou AWS Bedrock. Ces déclarations du fournisseur portent sur les traitements spécifiés.
La politique de confidentialité situe les données personnelles en Europe et aux États-Unis et conserve les données de service pendant la relation client, puis pour les opérations, l’historique et l’archivage. Les données personnelles contrôlées par Aikido peuvent être supprimées après une demande vérifiée.
Les activités et constats de pentest sont journalisés. Les données de test peuvent servir à livrer les résultats et améliorer le service ; les identifiants de tests d’identifiants et autres données personnelles sont limités à la fourniture des résultats au titre du DPA. Les données brutes de test sont conservées pour une durée limitée afin de répondre aux questions ultérieures ou de se défendre contre des réclamations, puis supprimées ; la clause citée ne fixe pas de durée. Aikido peut garder une copie d’archive du rapport final.
Le MSA maintient la propriété du client sur contenus, dépôts, bases de code, conteneurs et infrastructure cloud, tout en autorisant le traitement nécessaire pour remplir les obligations, exercer les droits contractuels ou satisfaire aux exigences légales ou à une autorisation. Après résiliation, il accorde 30 jours pour récupérer les contenus au format natif et les analyses d’utilisation, et exige la purge des contenus sous 200 jours. La conservation durant cet intervalle se limite à la disponibilité des sauvegardes.
Non. Selon Aikido, donner accès aux dépôts améliore sensiblement le contexte sur la logique applicative, les rôles et les flux de données, pour une couverture plus profonde et des constats plus précis.
Une première évaluation doit être terminée et les dépôts servant à identifier les changements pertinents pour la sécurité doivent être connectés. Une fois configuré, Aikido peut lancer des pentests ciblés au fil des changements de l’application.
La configuration des jetons API utilise OAuth Client Credentials pour les communications entre serveurs. Un administrateur d’espace crée d’abord les identifiants client servant à obtenir un jeton d’accès.
Les administrateurs d’espace gèrent les droits MCP, appliqués à tous les utilisateurs dans l’ensemble des outils MCP. La liste des problèmes est limitée à ceux déjà accessibles à l’utilisateur ; ignorer les constats reste soumis à ses droits de rôle existants.
