Ceci télécharge le binaire précompilé pour votre plateforme (Linux ou macOS, amd64/arm64) depuis la dernière version. Ensuite, exécutez l'assistant de configuration interactif :```bash
xalgorix --setup

`--privileged` donne à la boîte à outils le même accès de type hôte qu'elle a lorsqu'elle est exécutée nativement en tant que root. Le sandbox par défaut de Docker supprime les capacités (comme `NET_ADMIN`) et applique un filtre seccomp, ce qui casse les outils de bas niveau (iptables/changements de route, ARP-spoof/MITM, VPN tun/tap, débogueurs basés sur ptrace, réglage d'interface masscan). Comme une image ne peut pas s'accorder ces privilèges elle-même, ils doivent être définis au moment de l'exécution. Le conteneur est un sandbox d'analyse jetable et isolé du réseau fonctionnant en root — privilégié est la posture prévue ; n'exposez jamais le tableau de bord publiquement sans authentification. Vous préférez le moindre privilège ? Remplacez `--privileged` par `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Ouvrez `http://localhost:9137`. Vous **n'avez pas besoin d'une clé LLM pour démarrer** — le tableau de bord se lance sans elle ; définissez le modèle + la clé API sous **Settings → LLM** (elle persiste dans le volume `/data`). Si vous ne passez pas `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, un mot de passe administrateur aléatoire est généré et imprimé dans les journaux du conteneur au premier démarrage.

**Le plus simple — Docker Compose** (mappe le port + un volume persistant pour vous) :```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Vous préférez une configuration zéro ? Une version entièrement gérée est disponible sur [www.xalgorix.com](https://www.xalgorix.com/) — scan en un clic, sans installation ni clés API requises.

### 🤖 Examinez automatiquement les pull requests — application GitHub gratuite

Vous voulez une revue de sécurité sur chaque pull request sans configuration ? Installez l'**[application GitHub Xalgorix](https://github.com/apps/xalgorix)**. Elle lit le diff de chaque PR et commente une revue de sécurité — injections, auth/IDOR cassés, SSRF, secrets, schémas non sûrs — directement sur la pull request. Mise à jour sur place à chaque nouveau commit, et vous pouvez commenter **`@xalgorix review`** pour relancer à la demande. Aucun fichier de workflow, aucune clé API, aucun compte — et c'est gratuit.

<div align="center">

[**➕ Ajouter Xalgorix à GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Pour le contrôle des fusions et les pentests complets vérifiés par exploitation en CI, utilisez le [scanner hébergé](https://www.xalgorix.com/) ou l'action GitHub.

> [!IMPORTANT]
> Utilisez Xalgorix uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de test.

> [!TIP]
> Vous préférez ne pas auto-héberger ? Une version entièrement gérée est disponible sur [www.xalgorix.com](https://www.xalgorix.com/) — scan en un clic, sans installation ni clés API requises.

## 📚 Sommaire

| | | |
| --- | --- | --- |
| 📸 [Captures d'écran](#-captures-décran) | 🔩 [Configuration](#-configuration) | 🧾 [Variables d'environnement](#-variables-denvironnement) |
| 🚀 [Démarrage rapide](#-démarrage-rapide) | 🆙 [Mise à niveau](#-mise-à-niveau-depuis-les-versions-précédentes) | 🔤 [Préfixes de fournisseurs](#-préfixes-de-fournisseurs) |
| 🔎 [Vue d'ensemble](#-vue-densemble) | 🏃 [Exécution](#-exécution) | 💻 [Référence CLI](#-référence-cli) |
| 💡 [Pourquoi Xalgorix](#-pourquoi-xalgorix) | 🧰 [Mode service](#-mode-service) | 📡 [Résumé de l'API](#-résumé-de-lapi) |
| 🎯 [Cas d'utilisation](#-cas-dutilisation) | 🔁 [Flux de travail de l'interface Web](#-flux-de-travail-de-linterface-web) | 💾 [Stockage des données](#-stockage-des-données) |
| ✨ [Fonctionnalités](#-fonctionnalités) | 🔀 [Modes de scan](#-modes-de-scan) | 🧪 [Développement](#-développement) |
| 📥 [Installation](#-installation) | 📂 [Analysez votre code](#-analysez-votre-code-aucune-cible-requise) | 🚨 [Notes de sécurité](#-notes-de-sécurité) |
| 🧭 [Méthodologie](#-méthodologie) | 📄 [Rapports](#-rapports) | 📜 [Licence](#-licence) |
| 🔧 [Paramètres](#-paramètres) | 🔗 [Liens](#-liens) | |

## 🔎 Vue d'ensemble

Xalgorix est une plateforme d'IA de tests d'intrusion auto-hébergée pour les tests de sécurité autorisés, l'évaluation des vulnérabilités et les flux de chasse aux bugs. Elle combine un agent autonome piloté par LLM, l'automatisation de navigateur, des outils de terminal, une méthodologie de test complète en 22 phases, la télémétrie WebSocket en direct, la gestion des constats avec notation CVSS, la génération de rapports PDF personnalisés, ainsi que des intégrations pour AgentMail, Discord et Telegram.

Contrairement aux scanners DAST exclusivement cloud, Xalgorix s'exécute entièrement sur votre machine. Vous apportez votre propre fournisseur LLM (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) et contrôlez le modèle, l'effort de raisonnement, les limites de débit et la configuration du proxy. Aucune donnée de scan, clé API ou information sur la cible ne quitte votre infrastructure.

L'expérience par défaut est l'interface Web. Depuis un tableau de bord local unique, vous pouvez lancer des scans, surveiller les exécutions actives, inspecter les constats, configurer les paramètres du modèle/fournisseur, gérer les variables d'environnement, générer des rapports PDF personnalisés et supprimer ou reprendre les scans historiques.

## 💡 Pourquoi Xalgorix

La plupart des scanners **détectent**. Xalgorix **prouve**. Un agent autonome travaille selon une méthodologie en 22 phases, puis un vérificateur indépendant re-teste chaque constat candidat avant qu'il ne soit signalé — vous obtenez ainsi des résultats vérifiés par exploitation avec preuves, et non un mur de « peut-être » à trier.

- 🧠 **Un agent IA, pas un moteur de modèles** — raisonne sur les flux d'authentification, la logique métier, les IDOR/BOLA et les exploits en chaîne que les scanners à signatures manquent.
- ✅ **Constats vérifiés par exploitation** — un vérificateur distinct reproduit indépendamment chaque constat ; les cas non concluants sont signalés pour examen, jamais présentés comme confirmés.
- 🔒 **Auto-hébergé et privé** — s'exécute sur votre machine avec votre propre clé LLM ; aucune donnée cible, clé ou constat ne quitte votre infrastructure.
- 🧩 **Apportez votre propre LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama ou MiniMax — ou toute passerelle compatible OpenAI comme [LiteLLM](#-litellm--passerelles-compatibles-openai-github-copilot-claude-opus-codex-openrouter-azure-modèles-locaux) (GitHub Copilot, Codex, OpenRouter, Azure). Vous contrôlez le modèle, l'effort de raisonnement et le coût.
- 📄 **Rapports prêts pour l'audit** — PDF personnalisés avec scores CVSS, preuve de concept et remédiation.

### 📊 Comparaison

|                                              | **Xalgorix**             | Scanners à modèles (ex. Nuclei) | Scanners par exploration (ex. OWASP ZAP) | DAST commerciaux      |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------------- | --------------------- |
| Approche                                     | Agent IA autonome        | Signatures / modèles            | Spider + règles actives                  | Signatures + heuristiques |
| Couverture logique métier / IDOR / contournement d'auth | ✅                       | Limitée                         | Limitée                                  | Partielle             |
| Vérifié par exploitation (prouve l'impact)   | ✅ vérificateur indépendant | ❌                              | ❌                                       | Partielle             |
| Charge de faux positifs                      | Faible (prouvé)          | Dépendante du modèle            | Élevée                                    | Moyenne               |
| Auto-hébergé / données locales               | ✅                       | ✅                              | ✅                                       | Généralement cloud    |
| Apportez votre propre LLM                    | ✅                       | —                               | —                                        | ❌                     |
| Rapports PDF personnalisés                   | ✅                       | ❌                              | Basique                                  | ✅                     |
| Coût                                         | Open source + votre LLM  | Gratuit                         | Gratuit                                  | $$$                   |

> Comparaison indicative — Nuclei et ZAP sont excellents dans ce qu'ils font. Xalgorix ajoute par-dessus la couche de découverte à raisonnement intensif et de vérification par exploitation.

### ☁️ Auto-hébergé vs cloud hébergé

Xalgorix est gratuit et open source — auto-hébergez-le pour toujours, sans aucune condition. Le [cloud hébergé](https://www.xalgorix.com/) exécute le **même** moteur vérifié par exploitation ; il existe pour ceux qui préfèrent ne pas gérer les clés API, l'infrastructure et les factures LLM imprévisibles. Les deux sont de première classe — choisissez ce qui vous convient.

|                                    | **Auto-hébergé** (ce dépôt)              | **[Cloud hébergé](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ------------------------------------------------ |
| Prix de départ                     | Gratuit, Apache-2.0                      | Niveau gratuit · un scan complet à partir de 1 $ |
| Clé API LLM                        | Apportez et gérez la vôtre               | Incluse — rien à gérer                           |
| Coût par scan                      | Jetons LLM bruts — variables, peuvent grimper | 1 crédit par hôte en direct — prévisible          |
| Configuration et exploitation      | Vous installez, mettez à jour et exécutez la chaîne d'outils | Rien à exécuter — scan en ~60 s                  |
| Infrastructure hors bande (SSRF/RCE aveugle) | Montez votre propre serveur OOB        | OOB géré inclus                                  |
| Planification · équipe · RBAC      | À faire vous-même                        | Intégré                                          |
| Mises à jour                       | `git pull` + reconstruction              | Toujours sur le moteur le plus récent            |
| Résidence des données / hors ligne | ✅ reste sur votre infra · air-gap OK     | S'exécute sur notre infra (DPA disponible)       |

**Auto-hébergez si** les données doivent rester sur votre réseau, vous voulez un contrôle total, ou vous fonctionnerez hors ligne/air-gapped — c'est exactement à cela que cela sert. **Utilisez le cloud si** vous préférez éviter les clés API, l'infrastructure et les factures de jetons surprises, et payer uniquement pour les hôtes en direct que vous scannez réellement.

<div align="center">

[**☁️ Essayez le cloud hébergé — gratuit →**](https://www.xalgorix.com/) &nbsp;·&nbsp; [**⚖️ Comparez le coût réel (calculatrice) →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Si Xalgorix vous fait gagner un cycle de triage, merci de **[⭐ mettre une étoile au dépôt](https://github.com/xalgorix/xalgorix)** — cela aide réellement d'autres personnes à le trouver.

## 🎯 Cas d'utilisation

| Cas d'utilisation | Comment Xalgorix aide |
| -------- | ------------------ |
| **Tests d'intrusion** | Exécute une méthodologie complète en 22 phases contre des cibles autorisées. L'agent IA gère la reconnaissance, la découverte de vulnérabilités, les tests d'injection, le SSRF, l'IDOR, le contournement d'authentification, les conditions de course, et plus encore — puis vérifie les constats avant de les signaler. |
| **Chasse aux bugs** | Pointez Xalgorix sur une cible dans le périmètre et laissez l'agent énumérer la surface d'attaque, tester les classes de vulnérabilités courantes et remonter des constats vérifiés avec scores CVSS et preuves de concept. |
| **Opérations d'équipe rouge** | Utilisez les modes de scan par joker et multi-cibles pour cartographier la surface d'attaque externe d'une organisation. Le DAST assisté par navigateur gère les flux d'authentification, les formulaires et le comportement d'exécution que les scanners statiques manquent. |
| **Recherche en sécurité** | La phase de découverte de vulnérabilités nouvelles pousse l'agent au-delà de la correspondance de modèles connus. Apportez votre propre LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax) pour contrôler la profondeur de raisonnement et le coût. |
| **Tests de sécurité continus** | Exécutez comme service système avec `xalgorix --start`. Planifiez des scans, diffusez les constats vers Discord ou Telegram et générez des rapports PDF personnalisés pour les parties prenantes. |
| **Automatisation DAST** | Tests pilotés par navigateur pour les applications web — flux d'authentification, formulaires, contenu rendu en JavaScript et comportement d'exécution. Intégration avec Caido pour l'inspection du trafic proxy. |

## ✨ Fonctionnalités

| Domaine           | Capacités                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Tableau de bord      | Interface Web locale sur `127.0.0.1:9137` par défaut, gestion des scans, statut en direct, actions de scan groupées et récupération des scans historiques. |
| 🔍 Analyse       | Flux à cible unique, DAST, joker et multi-cibles avec phases de méthodologie sélectionnables.                                   |
| 📡 Télémétrie en direct | Appels d'outils, messages de l'agent, constats, erreurs, activité HTTP et activité LLM via WebSockets.                              |
| 🐞 Constats       | Pages de détail des scans, filtres de sévérité, détails CVSS, index des constats et flux de travail des constats vérifiés.                           |
| 📄 Rapports      | Rapports PDF personnalisés avec nom de la cible/entreprise, logo téléchargé, liste des rapports, actions d'ouverture/téléchargement/suppression.                     |
| 🔔 Intégrations   | Boîtes de réception de test AgentMail, e-mails de vérification, flux OTP, événements de triage des e-mails, notifications Discord et Telegram.            |
| ⚙️ Configuration  | Paramètres du tableau de bord pour LLM, AgentMail, Discord, Telegram, proxy, exécution, navigateur, authentification, limites de débit et ressources.       |
| 🛡️ Sécurité d'exécution | Limites d'instances sensibles aux ressources et liaison en boucle locale uniquement, sauf si un accès externe est explicitement configuré avec authentification.         |

## 📥 Installation

Les chemins les plus rapides ne nécessitent aucune chaîne d'outils.

### ⚡ Installation en une ligne (binaire précompilé)```bash
curl -sSL https://www.xalgorix.com/install | bash

L'assistant préserve les paramètres existants lorsqu'il est relancé, masque la saisie de la clé API dans un terminal et lance éventuellement l'interface Web une fois terminé.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Compilation depuis les sources```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Configuration

Xalgorix charge la configuration dans cet ordre. Les sources ultérieures remplacent les précédentes.

| Ordre | Source                                                         |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` lorsqu'il est lancé via `sudo` |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Variables d'environnement déjà présentes dans le processus     |

Créez le fichier d'environnement local :```bash
nano ~/.xalgorix.env

### 🔌 Exemples de fournisseurs

OpenAI :```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 Passerelles LiteLLM / compatibles OpenAI (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, modèles locaux)

Comme `XALGORIX_API_BASE` accepte n'importe quel point de terminaison `/v1/chat/completions` compatible OpenAI,
Xalgorix fonctionne avec un proxy [LiteLLM](https://docs.litellm.ai/) sans configuration supplémentaire — aucune
modification côté Xalgorix n'est nécessaire. LiteLLM gère l'authentification du fournisseur en amont (connexion
d'appareil Copilot, clés Azure, OpenRouter, Ollama, etc.) ; Xalgorix se contente de parler OpenAI à la passerelle.

Exécutez LiteLLM (exemple de `config.yaml`) :```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

Le même schéma couvre GitHub Copilot Business/CLI, Claude Opus, les modèles de type Codex,
OpenRouter, Azure OpenAI et les modèles Ollama locaux — tout ce que LiteLLM peut router. Conservez le
préfixe `custom/` (ou `openai/`) et un `XALGORIX_API_BASE` non-Anthropic/Gemini afin que Xalgorix
utilise le format de requête OpenAI standard attendu par LiteLLM.

### 🔔 Intégrations optionnelles```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Privilégiez `XALGORIX_PASSWORD_HASH` pour les déploiements en production.

## 🆙 Mise à niveau depuis les versions précédentes

Cette version apporte une passe de stabilité et d'isolation de l'espace de travail, avec un changement cassant et quelques nouveaux réglages à connaître.

### 💥 Changement cassant : l'espace de travail par défaut est déplacé vers `~/.xalgorix/data/`

Les résultats d'analyse, notes, planifications et autres artefacts générés se trouvent désormais sous `~/.xalgorix/data/` au lieu de `$CWD` (le répertoire depuis lequel le binaire a été lancé).

Pour conserver le comportement précédent, pointez `XALGORIX_DATA_DIR` vers votre répertoire de travail actuel :```bash
export XALGORIX_DATA_DIR=$(pwd)

Ouvrir :```text
http://127.0.0.1:9137

### 🌐 Accès externe

Ne liez à une autre interface qu’après avoir activé l’authentification du tableau de bord :```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Avec des instructions personnalisées :```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Gérez le service :```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Accès au service à distance

N'exposez le service aux navigateurs distants qu'après avoir activé l'authentification du tableau de bord :```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Le propre écouteur du tableau de bord est **toujours** protégé, même avec cette option activée.

> **⚠️ Déploiements partagés / multi-tenant / hébergés : gardez cette option DÉSACTIVÉE.** L'activer
> permettrait au scan d'un utilisateur d'atteindre la machine de l'opérateur et son réseau interne.
> Elle est désactivée par défaut, donc aucune action n'est nécessaire pour rester en sécurité — ne définissez pas
> `XALGORIX_ALLOW_LOCAL_TARGETS` (ou fixez `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> et n'exposez pas la page Settings du moteur à des utilisateurs non fiables.

## 🔁 Workflow de l'interface Web

1. Ouvrez le tableau de bord à `http://127.0.0.1:9137`.
2. Allez dans Settings et confirmez le fournisseur LLM, la clé API, les limites de débit et les intégrations optionnelles.
3. Créez un scan depuis New Scan.
4. Choisissez un mode de scan.
5. Sélectionnez les phases de méthodologie lorsque vous souhaitez une exécution ciblée.
6. Définissez des filtres de sévérité lorsque seules certaines sévérités doivent être signalées en direct. Le filtre n'affecte que le flux du tableau de bord en temps réel et les notifications ; le rapport PDF et `/api/findings` incluent toujours toutes les vulnérabilités découvertes par l'agent.
7. Ajoutez le nom de l'entreprise et téléversez un logo pour des rapports personnalisés.
8. Surveillez la progression depuis Overview, Scan Detail ou Live Feed.
9. Ouvrez les détails des findings, téléchargez les rapports ou gérez les scans historiques depuis Scans and Reports.

## 🔀 Modes de scan

| Mode             | Idéal pour                                                                      |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Cible unique    | Tester une URL ou un hôte connu.                                                |
| 🌐 Wildcard / multi | Énumérer les cibles associées et scanner la surface d'attaque découverte.       |
| 🧭 DAST             | Tests assistés par navigateur pour les applications web, les flux d'authentification, les formulaires et le comportement à l'exécution. |

## 📂 Scannez votre code (aucune cible requise)

Pointez Xalgorix vers une base de code — une URL Git, un chemin local ou un zip téléversé — et
il scanne directement la source. Aucune URL déployée, aucune infrastructure à mettre en place.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

Le serveur conserve les enregistrements historiques des scans sur le disque afin que l'interface puisse se rétablir après un rafraîchissement ou un redémarrage.

## 🧪 Développement

| Tâche                        | Commande                       |
| --------------------------- | ----------------------------- |
| 📦 Installer les dépendances de l'interface Web | `make webui-install`          |
| 🔨 Tout compiler            | `make build`                  |
| ✅ Exécuter les tests       | `go test ./...`               |
| 🖥️ Exécuter l'interface Web depuis la source | `go run ./cmd/xalgorix --web` |
| ⚡ Exécuter le serveur de développement frontend | `make webui-dev`              |

## 🚨 Notes de sécurité

- Utilisez Xalgorix uniquement contre des cibles autorisées.
- N'effectuez pas de tests actifs contre des systèmes tiers sans autorisation.
- Examinez les instructions de scan avant de lancer.
- Configurez les limites de débit et les paramètres de proxy pour respecter les règles d'engagement.
- L'exposition du tableau de bord à l'extérieur nécessite une authentification.
- L'installation automatique est désactivée par défaut pour les utilisateurs non root et ne doit être activée que lorsque vous faites confiance à l'environnement.

## 📜 Licence

Xalgorix est publié sous la licence Apache 2.0. Voir [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Liens

| Ressource      | Lien                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Hébergé (Cloud) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Documentation | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Problèmes        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Support       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |