Ceci télécharge le binaire précompilé pour votre plateforme (Linux ou macOS, amd64/arm64) depuis la dernière version. Ensuite, exécutez l'assistant de configuration interactif :```bash
xalgorix --setup

`--privileged` donne à l'ensemble d'outils le même accès de type hôte qu'il a lorsqu'il est exécuté nativement en tant que root. Le bac à sable par défaut de Docker supprime des capacités (comme `NET_ADMIN`) et applique un filtre seccomp, ce qui casse les outils de bas niveau (changements iptables/route, ARP-spoof/MITM, VPN tun/tap, débogueurs basés sur ptrace, réglage d'interface masscan). Comme une image ne peut pas s'accorder elle-même ces capacités, elles doivent être définies au moment de l'exécution. Le conteneur est un bac à sable de scan jetable et isolé du réseau fonctionnant en tant que root — privileged est la posture prévue ; n'exposez jamais le tableau de bord publiquement sans authentification. Vous préférez le moindre privilège ? Remplacez `--privileged` par `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Ouvrez `http://localhost:9137`. Vous **n'avez pas besoin d'une clé LLM pour commencer** — le tableau de bord se lance sans ; définissez le modèle + la clé API sous **Settings → LLM** (elle persiste dans le volume `/data`). Si vous ne passez pas `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, un mot de passe administrateur aléatoire est généré et affiché dans les logs du conteneur au premier lancement.

**Le plus simple — Docker Compose** (mappe le port + un volume persistant pour vous) :```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Vous préférez zéro configuration ? Une version entièrement gérée est disponible sur [www.xalgorix.com](https://www.xalgorix.com/) — scan en un clic, aucune installation ni clé API requise.

### 🤖 Révisez automatiquement les pull requests — GitHub App gratuite

Vous voulez une revue de sécurité sur chaque pull request sans aucune configuration ? Installez la **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Elle lit le diff de chaque PR et commente une revue de sécurité — injection, authentification défaillante/IDOR, SSRF, secrets, motifs non sécurisés — directement sur la pull request. Elle se met à jour sur place à chaque nouveau commit, et vous pouvez commenter **`@xalgorix review`** pour relancer à la demande. Aucun fichier de workflow, aucune clé API, aucun compte — et c'est gratuit.

<div align="center">

[**➕ Ajouter Xalgorix à GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Pour le blocage de merge et des pentests complets vérifiés par exploitation en CI, utilisez le [scanner hébergé](https://www.xalgorix.com/) ou la GitHub Action.

> [!IMPORTANT]
> N'utilisez Xalgorix que sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test.

> [!TIP]
> Vous préférez ne pas auto-héberger ? Une version entièrement gérée est disponible sur [www.xalgorix.com](https://www.xalgorix.com/) — scan en un clic, aucune installation ni clé API requise.

## 📚 Sommaire

| | | |
| --- | --- | --- |
| 📸 [Captures d'écran](#-screenshots) | 🔩 [Configuration](#-configuration) | 🧾 [Variables d'environnement](#-environment-variables) |
| 🚀 [Démarrage rapide](#-quick-start) | 🆙 [Mise à niveau](#-upgrading-from-previous-versions) | 🔤 [Préfixes de fournisseur](#-provider-prefixes) |
| 🔎 [Aperçu](#-overview) | 🏃 [Exécution](#-running) | 💻 [Référence CLI](#-cli-reference) |
| 💡 [Pourquoi Xalgorix](#-why-xalgorix) | 🧰 [Mode service](#-service-mode) | 📡 [Résumé de l'API](#-api-summary) |
| 🎯 [Cas d'usage](#-use-cases) | 🔁 [Workflow de l'interface Web](#-web-ui-workflow) | 💾 [Stockage des données](#-data-storage) |
| ✨ [Fonctionnalités](#-features) | 🔀 [Modes de scan](#-scan-modes) | 🧪 [Développement](#-development) |
| 📥 [Installation](#-installation) | 📂 [Scannez votre code](#-scan-your-code-no-target-needed) | 🚨 [Notes de sécurité](#-safety-notes) |
| 🧭 [Méthodologie](#-methodology) | 📄 [Rapports](#-reports) | 📜 [Licence](#-license) |
| 🔧 [Paramètres](#-settings) | 🔗 [Liens](#-links) | 🤝 [Sponsors](#-sponsors) |

## 🔎 Aperçu

Xalgorix est une plateforme auto-hébergée de tests d'intrusion par IA pour les tests de sécurité autorisés, l'évaluation de vulnérabilités et les workflows de bug bounty. Elle combine un agent autonome piloté par LLM, l'automatisation de navigateur, des outils en terminal, une méthodologie de test complète en 22 phases, la télémétrie WebSocket en direct, la gestion des findings avec scoring CVSS, la génération de rapports PDF personnalisés, et des intégrations pour AgentMail, Discord et Telegram.

Contrairement aux scanners DAST uniquement cloud, Xalgorix s'exécute entièrement sur votre machine. Vous apportez votre propre fournisseur LLM (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) et contrôlez le modèle, l'effort de raisonnement, les limites de débit et la configuration du proxy. Aucune donnée de scan, clé API ou information sur la cible ne quitte votre infrastructure.

L'expérience par défaut est l'interface Web. Depuis un seul tableau de bord local, vous pouvez lancer des scans, surveiller les exécutions actives, inspecter les findings, configurer les paramètres de modèle/fournisseur, gérer les variables d'environnement, générer des rapports PDF personnalisés, et supprimer ou reprendre des scans historiques.

## 💡 Pourquoi Xalgorix

La plupart des scanners **détectent**. Xalgorix **prouve**. Un agent autonome suit une méthodologie en 22 phases, puis un vérificateur indépendant reteste chaque finding candidat avant qu'il ne soit rapporté — vous obtenez ainsi des résultats vérifiés par exploitation avec preuves, et non un mur de « peut-être » à trier.

- 🧠 **Un agent IA, pas un moteur de templates** — raisonne sur les flux d'authentification, la logique métier, les IDOR/BOLA et les exploits en chaîne que les scanners à signatures manquent.
- ✅ **Findings vérifiés par exploitation** — un vérificateur distinct reproduit indépendamment chaque finding ; ceux qui sont non concluants sont signalés pour revue, jamais déguisés en confirmés.
- 🔒 **Auto-hébergé et privé** — s'exécute sur votre machine avec votre propre clé LLM ; aucune donnée de cible, clé ou finding ne quitte votre infrastructure.
- 🧩 **Apportez votre propre LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama ou MiniMax — ou toute passerelle compatible OpenAI comme [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models) (GitHub Copilot, Codex, OpenRouter, Azure). Vous contrôlez le modèle, l'effort de raisonnement et le coût.
- 📄 **Rapports prêts pour l'audit** — PDF personnalisés avec scores CVSS, preuve de concept et remédiation.

### 📊 Comparaison

|                                              | **Xalgorix**             | Scanners à templates (ex. Nuclei) | Scanners à crawling (ex. OWASP ZAP) | DAST commercial        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Approche                                     | Agent IA autonome      | Signatures / templates          | Spider + règles actives              | Signatures + heuristiques |
| Couverture logique métier / IDOR / contournement d'auth | ✅                       | Limitée                         | Limitée                            | Partielle                |
| Vérifié par exploitation (prouve l'impact)             | ✅ vérificateur indépendant  | ❌                              | ❌                                 | Partielle                |
| Charge de faux positifs                          | Faible (prouvé)       | Dépend des templates              | Élevée                               | Moyenne                 |
| Auto-hébergé / données locales               | ✅                       | ✅                              | ✅                                 | Généralement cloud          |
| Apportez votre propre LLM                           | ✅                       | —                               | —                                  | ❌                     |
| Rapports PDF personnalisés                          | ✅                       | ❌                              | Basique                              | ✅                     |
| Coût                                         | Open source + votre LLM   | Gratuit                            | Gratuit                               | $$$                    |

> Comparaison indicative — Nuclei et ZAP excellent dans ce qu'ils font. Xalgorix ajoute la couche de découverte à forte intensité de raisonnement et de vérification par exploitation par-dessus.

### ☁️ Auto-hébergé vs Cloud hébergé

Xalgorix est gratuit et open source — auto-hébergez-le pour toujours, sans conditions. Le [cloud hébergé](https://www.xalgorix.com/) exécute le **même** moteur vérifié par exploitation ; il existe pour ceux qui préfèrent ne pas gérer les clés API, l'infrastructure et les factures LLM imprévisibles. Les deux sont de premier ordre — choisissez ce qui vous convient.

|                                    | **Auto-hébergé** (ce dépôt)              | **[Cloud hébergé](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Prix de départ                     | Moteur gratuit, Apache-2.0                  | Compte gratuit · évaluation unique à 1 $           |
| Clé API LLM                        | Apportez et gérez la vôtre                  | Incluse — rien à gérer                      |
| Coût par scan                      | Tokens LLM bruts — variable, peut exploser     | 1 crédit par hôte actif — prévisible            |
| Installation et exploitation                        | Vous installez, mettez à jour et exécutez la chaîne d'outils  | Rien à exécuter — scan en ~60s                   |
| Infrastructure out-of-band (SSRF/blind RCE) | Montez votre propre serveur OOB             | OOB géré inclus                            |
| Planification                         | Planificateur intégré sur votre infrastructure | Planifications quotidiennes / horaires gérées             |
| Équipe · RBAC · crédits partagés        | Instance mono-opérateur                 | Espaces de travail d'organisation avec Team                 |
| Mises à jour                            | `git pull` + rebuild                     | Toujours sur le dernier moteur                     |
| Résidence des données / hors ligne           | ✅ reste sur votre infra · air-gap OK       | S'exécute sur notre infra (DPA disponible)               |

**Auto-hébergez si** les données doivent rester sur votre réseau, vous voulez un contrôle total, ou vous allez fonctionner hors ligne/air-gapped — c'est exactement fait pour ça. **Utilisez le cloud si** vous préférez éviter les clés API, l'infra et les factures de tokens surprises, et ne payer que pour les hôtes actifs que vous scannez réellement.

<div align="center">

[**☁️ Évaluer le Cloud hébergé — essai à 1 $ →**](https://www.xalgorix.com/pricing) &nbsp;·&nbsp; [**⚖️ Comparer Cloud et auto-hébergement →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Si Xalgorix vous fait gagner un cycle de tri, merci de **[⭐ mettre une étoile au dépôt](https://github.com/xalgorix/xalgorix)** — cela aide vraiment les autres à le trouver.

## 🎯 Cas d'usage

| Cas d'usage | Comment Xalgorix aide |
| -------- | ------------------ |
| **Tests d'intrusion** | Exécutez une méthodologie complète en 22 phases contre des cibles autorisées. L'agent IA gère la reconnaissance, la découverte de vulnérabilités, les tests d'injection, SSRF, IDOR, le contournement d'authentification, les conditions de course, et plus encore — puis vérifie les findings avant de les rapporter. |
| **Bug bounty** | Pointez Xalgorix vers une cible dans le périmètre et laissez l'agent énumérer la surface d'attaque, tester les classes de vulnérabilités courantes, et faire remonter des findings vérifiés avec scores CVSS et preuves de concept. |
| **Opérations red team** | Utilisez les modes de scan wildcard et multi-cibles pour cartographier la surface d'attaque externe d'une organisation. Le DAST assisté par navigateur gère les flux d'authentification, les formulaires et le comportement à l'exécution que les scanners statiques manquent. |
| **Recherche en sécurité** | La phase de découverte de vulnérabilités inédites pousse l'agent au-delà de la correspondance de templates connus. Apportez votre propre LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax) pour contrôler la profondeur de raisonnement et le coût. |
| **Tests de sécurité continus** | Exécutez en tant que service système avec `xalgorix --start`. Scannez selon une planification, diffusez les findings vers Discord ou Telegram, et générez des rapports PDF personnalisés pour les parties prenantes. |
| **Automatisation DAST** | Tests pilotés par navigateur pour les applications web — flux d'authentification, formulaires, contenu rendu en JavaScript et comportement à l'exécution. S'intègre avec Caido pour l'inspection du trafic proxy. |

## ✨ Fonctionnalités

| Domaine           | Capacités                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Tableau de bord      | Interface Web locale sur `127.0.0.1:9137` par défaut, gestion des scans, statut en direct, actions de scan en masse et récupération des scans historiques. |
| 🔍 Scan       | Cible unique, DAST, wildcard et flux multi-cibles avec phases de méthodologie sélectionnables.                                   |
| 📡 Télémétrie en direct | Appels d'outils, messages de l'agent, findings, erreurs, activité HTTP et activité LLM via WebSockets.                              |
| 🐞 Findings       | Pages de détail de scan, filtres de sévérité, détails CVSS, index des findings et workflows de findings vérifiés.                           |
| 📄 Rapports      | Rapports PDF personnalisés avec nom de cible/société, logo téléversé, liste des rapports, actions d'ouverture/téléchargement/suppression.                     |
| 🔔 Intégrations   | Boîtes de réception de test AgentMail, e-mails de vérification, flux OTP, événements de tri d'e-mails, notifications Discord et Telegram.            |
| ⚙️ Configuration  | Paramètres du tableau de bord pour LLM, AgentMail, Discord, Telegram, proxy, runtime, navigateur, auth, limites de débit et ressources.       |
| 🛡️ Sécurité d'exécution | Limites d'instances tenant compte des ressources et liaison loopback uniquement, sauf si l'accès externe est explicitement configuré avec authentification.         |

## 📥 Installation

Les chemins les plus rapides ne nécessitent aucune chaîne d'outils.

### ⚡ Installation en une ligne (binaire précompilé)```bash
curl -sSL https://www.xalgorix.com/install | bash

Le wizard préserve les paramètres existants lors d'une réexécution, masque la saisie de la clé API dans un terminal et lance éventuellement l'interface Web une fois terminé.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Compiler depuis les sources```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Configuration

Xalgorix charge la configuration dans cet ordre. Les sources suivantes remplacent les précédentes.

| Ordre | Source                                                         |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` lorsqu'il est lancé via `sudo` |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Variables d'environnement déjà présentes dans le processus     |

Créez le fichier d'environnement local :```bash
nano ~/.xalgorix.env

### 🔌 Exemples de fournisseurs

OpenAI :```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 Passerelles LiteLLM / compatibles OpenAI (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, modèles locaux)

Comme `XALGORIX_API_BASE` accepte n'importe quel point de terminaison `/v1/chat/completions` compatible OpenAI,
Xalgorix fonctionne avec un proxy [LiteLLM](https://docs.litellm.ai/) dès l'installation — aucune
modification côté Xalgorix n'est nécessaire. LiteLLM gère l'authentification du fournisseur en amont (connexion
par appareil Copilot, clés Azure, OpenRouter, Ollama, etc.) ; Xalgorix parle simplement OpenAI à la passerelle.

Lancer LiteLLM (exemple `config.yaml`) :```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

Le même schéma couvre GitHub Copilot Business/CLI, Claude Opus, les modèles de style Codex,
OpenRouter, Azure OpenAI et les modèles Ollama locaux — tout ce que LiteLLM peut router. Conservez le
préfixe `custom/` (ou `openai/`) et un `XALGORIX_API_BASE` non-Anthropic/Gemini afin que Xalgorix
utilise la forme de requête OpenAI standard attendue par LiteLLM.

### 🔔 Intégrations optionnelles```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Préférez `XALGORIX_PASSWORD_HASH` pour les déploiements en production.

## 🆙 Mise à niveau depuis les versions précédentes

Cette version apporte une passe de stabilité et d'isolation de l'espace de travail avec un changement incompatible et quelques nouveaux réglages qu'il vaut la peine de connaître.

### 💥 Changement incompatible : l'espace de travail par défaut est déplacé vers `~/.xalgorix/data/`

La sortie de scan, les notes, les planifications et les autres artefacts générés résident désormais sous `~/.xalgorix/data/` au lieu de `$CWD` (le répertoire depuis lequel le binaire a été lancé).

Pour conserver le comportement précédent, pointez `XALGORIX_DATA_DIR` vers votre répertoire de travail actuel :```bash
export XALGORIX_DATA_DIR=$(pwd)

Ouvrir :```text
http://127.0.0.1:9137

### 🌐 Accès externe

Ne liez une autre interface qu'après avoir activé l'authentification du tableau de bord :```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Avec des instructions personnalisées :```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Gérer le service :```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Accès aux services distants

N'exposez le service aux navigateurs distants qu'après avoir activé l'authentification du tableau de bord :```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Le listener propre du tableau de bord est **toujours** protégé, même lorsque cette option est activée.

> **⚠️ Déploiements partagés / multi-tenant / hébergés : laissez cette option DÉSACTIVÉE.** L'activer
> permettrait au scan d'un utilisateur d'atteindre la machine de l'opérateur et son réseau interne.
> Elle est désactivée par défaut, donc aucune action n'est nécessaire pour rester en sécurité — ne définissez pas
> `XALGORIX_ALLOW_LOCAL_TARGETS` (ou fixez `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> et n'exposez pas la page Settings du moteur à des utilisateurs non fiables.

## 🔁 Flux de travail de l'interface web

1. Ouvrez le tableau de bord à l'adresse `http://127.0.0.1:9137`.
2. Allez dans Settings et confirmez le fournisseur LLM, la clé API, les limites de débit et les intégrations optionnelles.
3. Créez un scan depuis New Scan.
4. Choisissez un mode de scan.
5. Sélectionnez les phases de méthodologie lorsque vous souhaitez une exécution ciblée.
6. Définissez les filtres de sévérité lorsque seules certaines sévérités doivent être signalées en direct. Le filtre affecte uniquement le flux du tableau de bord en temps réel et les notifications ; le rapport PDF et `/api/findings` incluent toujours toutes les vulnérabilités découvertes par l'agent.
7. Ajoutez le nom de l'entreprise et téléchargez un logo pour des rapports personnalisés.
8. Surveillez la progression depuis Overview, Scan Detail ou Live Feed.
9. Ouvrez les détails des findings, téléchargez les rapports ou gérez les scans historiques depuis Scans and Reports.

## 🔀 Modes de scan

| Mode             | Idéal pour                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Cible unique    | Tester une URL ou un hôte connu.                                                  |
| 🌐 Wildcard / multi | Énumérer les cibles associées et scanner la surface d'attaque découverte.         |
| 🧭 DAST             | Tests assistés par navigateur pour les applications web, les flux d'authentification, les formulaires et le comportement à l'exécution. |

## 📂 Scannez votre code (aucune cible nécessaire)

Pointez Xalgorix vers une base de code — une URL Git, un chemin local ou un zip téléversé — et
il scanne directement le code source. Aucune URL déployée, aucune infrastructure à mettre en place.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

Le serveur conserve les enregistrements de scans historiques sur disque afin que l'interface utilisateur puisse récupérer après un rafraîchissement ou un redémarrage.

## 🧪 Développement

| Tâche                        | Commande                       |
| --------------------------- | ----------------------------- |
| 📦 Installer les dépendances de l'interface Web | `make webui-install`          |
| 🔨 Tout compiler            | `make build`                  |
| ✅ Exécuter les tests                   | `go test ./...`               |
| 🖥️ Exécuter l'interface Web depuis les sources      | `go run ./cmd/xalgorix --web` |
| ⚡ Exécuter le serveur de développement frontend     | `make webui-dev`              |

## 🚨 Notes de sécurité

- Utilisez Xalgorix uniquement contre des cibles autorisées.
- Ne lancez pas de tests actifs contre des systèmes tiers sans autorisation.
- Vérifiez les instructions de scan avant de lancer.
- Configurez les limites de débit et les paramètres de proxy en fonction des règles de l'engagement.
- Exposer le tableau de bord à l'extérieur nécessite une authentification.
- L'installation automatique est désactivée par défaut pour les utilisateurs non-root et ne doit être activée que si vous faites confiance à l'environnement.

## 📜 Licence

Xalgorix est publié sous la licence Apache License 2.0. Voir [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Liens

| Ressource      | Lien                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Hébergé (Cloud) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Documentation | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Problèmes        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Soutien       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |