SAST et SCA : 11 outils pour sécuriser votre code et ses dépendances

Le SAST et la SCA sécurisent une application avant sa mise en production : le premier examine le code écrit par vos développeurs, la seconde passe en revue les bibliothèques open source qu'il embarque. Ce comparatif présente onze outils qui font l'un, l'autre ou les deux, des plateformes commerciales aux solutions open source et aux fonctions de sécurité des forges Git. Le test d'intrusion, qui attaque l'application en conditions réelles, et la protection des postes par un EDR relèvent d'autres démarches. Les autres catégories techniques figurent parmi les outils Tech.

SAST, SCA et DAST : définition et fonctionnement de chaque analyse

SAST signifie Static Application Security Testing : l'outil lit le code source sans l'exécuter et suit le chemin des données pour repérer, par exemple, une entrée utilisateur qui finit dans une requête SQL. Sonar décrit ainsi son analyse de flux (taint analysis), qui trace les entrées non fiables d'un fichier et d'une fonction à l'autre.

La SCA, Software Composition Analysis, dresse l'inventaire des dépendances open source, le compare aux bases de vulnérabilités connues (CVE) et contrôle les licences ; cet inventaire s'exporte en SBOM, la nomenclature logicielle, aux formats CycloneDX ou SPDX. Le DAST, enfin, teste l'application web en fonctionnement et complète les deux premières analyses.

Pourquoi analyser le code : vulnérabilités détectées et limites

Ces outils signalent les injections SQL, les failles de type cross-site scripting, les clés d'API ou mots de passe laissés dans le code, les dépendances touchées par une CVE et, chez plusieurs éditeurs, les paquets malveillants. Placés dans l'IDE et sur chaque pull request, ils signalent le défaut pendant que le développeur travaille encore sur le code. Leurs limites tiennent aux faux positifs, que Sonar, Semgrep ou Aikido Security disent réduire, et aux failles de contrôle d'accès ou de logique métier, que Sonar range parmi celles que l'analyse classique n'a pas été conçue pour trouver. Le DAST et le test d'intrusion visent alors l'application en marche.

Plateformes commerciales de sécurité applicative

Snyk

Snyk couvre le code (Snyk Code), les dépendances (Snyk Open Source), les images de conteneurs et l'infrastructure as code, avec un module DAST et la détection des secrets. L'offre Free est gratuite avec 100 tests de code par mois ; Team, à partir de 25 dollars mensuels, accueille jusqu'à 10 développeurs, et les grandes entreprises achètent des crédits.

Checkmarx

Checkmarx One rassemble SAST, SCA, sécurité des API, de l'IaC et des conteneurs, détection des secrets, DAST et pilotage de la posture de sécurité (ASPM). Son moteur Fusion combine des règles et un modèle d'IA. Les formules Essentials, Professional et Enterprise sont toutes sur devis, et les fonctions d'IA consomment des crédits prépayés.

Veracode

Veracode analyse le code source, ou le binaire quand la source n'est pas disponible, et suit les chemins par lesquels une donnée non fiable atteint une fonction sensible. La plateforme ajoute SCA, DAST, un pare-feu de paquets, la correction assistée par IA et des formations au code sécurisé. Le tarif passe par une démonstration.

Black Duck

Black Duck SCA recense le code open source et tiers, ses failles et ses licences, et produit des SBOM. Le même éditeur vend Coverity, son analyseur statique, qui couvre 22 langages et des normes comme MISRA ou ISO 26262, et Polaris, une plateforme SaaS qui réunit SAST, SCA et DAST. Les prix sont donnés sur demande.

Mend.io

Mend.io, ex-WhiteSource, associe Mend SCA, pour les dépendances et les images de conteneurs, à Mend SAST, avec une priorisation selon que la faille est atteignable ou non. Mend Renovate automatise les mises à jour de dépendances. L'éditeur publie des plafonds : jusqu'à 1 000 dollars par développeur et par an pour Mend AppSec.

Aikido Security

Aikido Security regroupe SCA, SAST, analyse de code par IA, secrets, SBOM, conteneurs, configuration cloud et DAST, avec des corrections automatiques. L'offre Developer est gratuite pour 2 utilisateurs et 10 dépôts ; Basic coûte 300 euros hors taxes par mois pour 10 utilisateurs en paiement mensuel, et Pro le double.

Outils open source et éditions gratuites, intégrés au pipeline CI/CD

SonarQube

SonarQube contrôle qualité et sécurité de chaque pull request dans plus de 35 langages : SAST, analyse de flux, secrets et IaC, avec un quality gate qui peut bloquer la fusion. La SCA demande l'option Advanced Security. La Community Build et l'offre gratuite de SonarQube Cloud, jusqu'à 50 000 lignes privées, sont gratuites ; Team démarre à 34 dollars par mois.

Semgrep

Semgrep repose sur un moteur à règles que chaque équipe peut écrire elle-même : Semgrep Code pour le SAST, Supply Chain pour les dépendances et les paquets malveillants, Secrets pour les identifiants exposés. La Free Edition est gratuite jusqu'à 10 contributeurs ; Teams coûte 30 dollars par contributeur et par mois pour Code ou Supply Chain.

Dependency-Track

Dependency-Track, projet de l'OWASP sous licence Apache 2.0, analyse en continu les SBOM CycloneDX de chaque projet et de chaque version. Il confronte les composants à la NVD, à GitHub Advisories ou à OSV, priorise avec le score EPSS et peut faire échouer un build. Il est gratuit et s'installe sur vos serveurs.

Sécurité intégrée aux forges Git

GitHub

Sur GitHub, Dependabot alerte sur les dépendances vulnérables et ouvre les pull requests de mise à jour dès l'offre gratuite. Le module Code Security ajoute CodeQL, l'analyse par IA des pull requests et Copilot Autofix pour 30 dollars par committer actif et par mois ; Secret Protection en coûte 19. Les dépôts publics profitent de CodeQL sans frais.

GitLab

Chez GitLab, le SAST fait partie de la formule Free, et les scans tournent à l'intérieur du pipeline, avec des résultats affichés dans la merge request. L'offre Ultimate, sur devis, ajoute les tests de sécurité applicative complets, la sécurité de la chaîne d'approvisionnement logicielle et la gestion des vulnérabilités.

Prix des outils SAST et SCA en novembre 2026

Choisir un outil : langages, faux positifs, IA et bonnes pratiques

• Les langages et le périmètre : vérifiez que l'outil lit vos langages et vos fichiers d'infrastructure, puis s'il couvre le code, les dépendances ou les deux. Dependency-Track ne fait que la SCA, SonarQube réserve la sienne à une option.

• Le bruit des alertes : l'analyse d'accessibilité de Semgrep, Mend.io ou Aikido Security écarte les failles que votre code n'atteint jamais, ce qui allège la liste à traiter.

• L'IA : la plupart des éditeurs proposent des corrections générées par IA, à relire comme toute pull request, et certains facturent ces fonctions en crédits.

• Les bonnes pratiques : lancez l'analyse dans l'IDE, puis à chaque pull request, et bloquez la fusion au-delà d'un seuil de gravité défini à l'avance.

• Le mode de facturation : par contributeur chez Semgrep et Mend.io, par committer actif chez GitHub, par lignes de code chez SonarQube, par tranche d'utilisateurs chez Aikido Security, par équipe ou en crédits chez Snyk.