Community
Gratuit
1 012 contrôles de sécurité
- 3 scans par jour, 1 application
- SAST binaire et source, SCA, secrets
- Rapport filigrané
Distinctions par rapport au marché.
Une plateforme web uniquement
Toutes vos surfaces : mobile, web, cloud, serveurs, code
Fermé, payant d'entrée
Gratuit, open source au cœur
Vos données exploitées, hors UE
Vos données non exploitées, à vous, hébergées en Europe
Analyse statique seule
Analyse dynamique sur iPhone réel et émulateur Android
Un agrégateur d'outils open source
Moteur maison + open source intégré + modèles propriétaires
Une IA générique
Une IA entraînée sur des vulnérabilités réelles, plus un échange humain sur rendez-vous
Beaucoup de faux positifs
95% du bruit trié et supprimé
Ce qui distingue Narvy.
Autofix clé en main.
Narvy écrit le correctif dans votre code, le compile, le vérifie, puis ouvre une vraie pull request, relue avant toute mise en ligne.
- 11 langages : JavaScript, TypeScript, Java, Kotlin, Swift, Objective-C, Python, PHP, Go, Ruby et Rust.
- 1 276 contrôles de détection, dont 1 012 dans l'offre gratuite.
- Les vulnérabilités expliquées en détail par notre moteur.
Corrige : secret en clair dans le code
Prêt à fusionner
41
class AuthManager {42-
private val API_KEY = "AKIA_EXAMPLE_KEY"42+
private val API_KEY = SecretStore.get("API_KEY")43
fun signRequest(req: Request) {
Compilé0 erreur
CI stable24 tests passés
Approuver et fusionner
Rien ne part sans vous.
Souverain de bout en bout.
Vos fichiers, vos binaires, le calcul, l'IA, les règles, le rapport : tout reste en Europe, sous droit européen. Rien ne traverse l'Atlantique.
- Hébergé et calculé en Europe.
- Une intelligence artificielle européenne.
- Des règles de détection ouvertes.
Le cœur du projet, en open source.
Une commande, aucun compte : le moteur Narvy tourne entièrement en local.
- pip install narvy-cli : six modes d'analyse, zéro configuration.
- Règles ouvertes Apache-2.0, sortie SARIF standard.
$ pip install narvy-cli
Collecte des dépendances... installé
$ narvy scan ./my-app
-> 6 modes · règles Apache-2.0 · sans compte
ok SAST analyse statique du code
ok SCA signed SBOM · dependencies + licenses
ok PQC CBOM + score de migration
Votre app testée sur de vrais devices.
Narvy lance votre application sur émulateurs et sur de vrais téléphones, puis lit le trafic qu'elle envoie réellement, ce que seule l'exécution peut révéler.
- Votre application est lancée telle qu'elle tourne chez vos utilisateurs, avec ou sans code source.
- Le trafic est capturé tel qu'il part, chiffré comme en clair, avec le compte rendu de ce qui a pu être observé.
Sur appareil réel
Capture en direct
Trafic à l'exécution
GETapi.example-bank.app/v2/profileTLS 1.3
POSTauth.example-bank.app/sessionTLS 1.3
GETcdn.example-bank.app/app-config.jsonEn clair
Jeton transmis en HTTP
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…
POSTt.metrics-sdk.io/collectTLS 1.3
Le tri.
La plupart des scanners noient les vraies failles sous les faux positifs. Narvy fait le tri et ne montre que ce qui est réel.
- 95% des FP écartés par le tri : notre moteur de contexte + 4 modèles ML.
- Un modèle par domaine : Android et iOS, statique et dynamique.
Priorisation
moteur de contexte + 4 modèles ML
Signalements brutstout ce qui remonte
~95%
de FP écartés
Vraies priorités
- Clé d'accès en clairstrings.xml
- Trafic non chiffréSite web
- Secret hors du KeychainUserDefaults
- Logiciel obsolèteServeur
Votre dossier de conformité.
Narvy rattache chaque faille à six cadres (MASVS, CNIL, RGPD, NIS2, CRA, DORA) sur toutes vos surfaces.
- Et en tire un dossier prêt à joindre à l'audit ou au questionnaire client.
Cadres de conformité
Prêt pour l'audit
- MASVS
- CNIL
- RGPD
- NIS2
- CRA
- DORA
Surveillance continue.
Vous réglez la cadence, Narvy assure un monitoring continu : dès qu'une faille apparaît, code modifié ou CVE nouvelle, vous êtes prévenu, avec l'écart sur votre analyse de référence.
- Cadence et périmètre réglés par vous, exécution sans intervention.
- Alerte sur toute nouveauté, comparée à la référence.
Posture évolutive
toutes les 24 h
Failles ouvertes
Post-quantique.
Narvy détecte les algorithmes vulnérables à l'ordinateur quantique et signale les standards post-quantiques à adopter.
- CBOM généré à chaque analyse, au format standard de l'industrie
- Score de migration Mosca : votre exposition, chiffrée
CBOM
Inventaire cryptographique
Format standard
RSA-2048Échange de clés
Cassable
ECDSA P-256Signature
Cassable
AES-256-GCMDonnées au repos
À surveiller
SHA-256Empreinte
À surveiller
ML-KEM-768Post-quantique
Prêt
Score de migration Mosca
FIPS 203FIPS 204FIPS 205
L'inventaire des dépendances.
Chaque dépendance, sa version, sa licence et son état de vulnérabilité, dans un SBOM standard que vos équipes et vos auditeurs lisent directement.
- Inventaire exportable aux formats standards de l'industrie
- Dix écosystèmes couverts, licences et CVE réconciliées
SBOM
Format standard
Signé
ComposantLicenceÉtat
okhttp@4.12.0
Apache-2.0
Sain
kotlin-stdlib@1.9.22
Apache-2.0
Sain
log4j-core@2.14.1CVE-2021-44228 · Log4Shell
Apache-2.0
Vulnérable
bcrypt@0.10.2
ISC
Sain
142 composants10 écosystèmessigné Ed25519
Et aussi
- SouverainHébergé et calculé en Europe, sous droit européen.
- Open source80% du projet est open source.
- Tout au même endroitPlus un outil pour les conteneurs, un autre pour le mobile, un troisième pour le cloud : une seule plateforme, lisible par vos experts comme par votre direction.
- Tests sur appareils réelsVos apps lancées sur émulateurs et vrais téléphones.
- ConformitéChaque faille rattachée à six cadres : MASVS, CNIL, RGPD, NIS2, CRA, DORA.
- Surveillance continuePrévenu dès qu'une faille apparaît, code modifié ou CVE nouvelle.
S'intègre à vos outils.
Narvy se branche là où votre équipe travaille déjà : vos dépôts, vos tickets, votre CI et votre messagerie.
- GitHub
- GitLab
- Bitbucket
- Jira
- Slack
- Microsoft Teams
- Jenkins
- API / CLI
Analyse à chaque push et pull request, dans votre CI/CD, avec commentaires de PR et contrôles de statut. Résultats au format SARIF, lus nativement par l'analyse de code GitHub et GitLab.
Deux rapports, deux audiences.
Une même analyse, deux livrables distincts : un rapport de synthèse pour la direction, un rapport technique complet pour l'équipe. Chacun écrit pour son lecteur.
Tous vos projets.
- Mobile
- Android et iOS, telles que vos clients les téléchargent, puis lancées sur appareils réels et émulateurs pour voir ce qu'elles envoient vraiment.
- Web
- Votre site en production, avec ou sans authentification, en passif ou en actif agressif.
- Code
- Connectez votre repo : l'analyse se lance, avec les rapports et les correctifs en pull requests.
- Cloud
- (beta) AWS, Azure, GCP... la configuration et bien plus encore.
- Serveurs
- Un agent se connecte, analyse et livre son rapport. Rien à installer.
Gratuit pour trouver. Payant pour corriger.
Solo
19€ / mois
1 140 contrôles de sécurité
- 10 scans par jour, 1 application
- 50 correctifs en pull request par mois
- Scans web et serveur, CI/CD, API
Starter
49€ / mois
1 140 contrôles de sécurité
- 5 applications, 5 sièges
- 30 scans par jour, 150 correctifs par mois
- Slack, Teams, Jira, support e-mail
Pro
Recommandé99€ / mois
1 276 contrôles de sécurité
- 10 applications, 10 sièges
- DAST mobile, 30 scans par mois
- Scan web actif, posture cloud (bêta)
- Rattachement MASVS et CNIL
Business
199€ / mois
1 276 contrôles de sécurité
- 25 applications, 25 sièges
- Sans plafond journalier, 50 DAST par mois
- SSO et SAML, support prioritaire
Enterprise : périmètre, volumes et SLA sur mesure. Nous contacter
Comparer les formules en détailMensuel, hors TVA. Sans carte pour commencer. Prix de lancement : souscrivez maintenant pour garder le vôtre.