foxguard

Analyse de sécurité locale rapide pour le code, les secrets, les dépendances et les risques cryptographiques.

npx foxguard .

Pourquoi

•   Plus de 200 règles intégrées couvrant 12 langages sources, ainsi que des vérifications de configuration et de manifeste
•   Traçage de flux (taint tracking) pour 14 langages, avec une analyse inter-fichiers pour Python, JavaScript, Go, Java, Ruby, PHP, C# et Kotlin
•   Analyses locales et CI rapides, avec un mode diff pour « qu'est-ce que cette branche a ajouté ? »
•   Analyse des secrets, analyse des dépendances basée sur OSV, et audit cryptographique post-quantique
•   Pont YAML compatible avec Semgrep/OpenGrep qui charge environ 98% du registre public (rapport de couverture)
•   Sortie terminal, JSON, SARIF, CycloneDX 1.6 CBOM et JSON compatible Semgrep

Install

npx foxguard .                                      # installation zéro
curl -fsSL https://foxguard.dev/install.sh | sh     # binaire pré-compilé (macOS/Linux)
cargo install foxguard                              # depuis les sources

Les installations pré-compilées vérifient les binaires de version par rapport à checksums.txt. Les binaires de version publient également des attestations d'artefact GitHub ; utilisez gh attestation verify pour une vérification manuelle, ou consultez la provenance des versions.

GitHub Action :

- uses: 0sec-labs/foxguard/[email protected]
  with:
    path: .
    severity: medium
    fail-on-findings: "true"
    upload-sarif: "true"

pre-commit :

repos:
  - repo: https://github.com/0sec-labs/foxguard
    rev: v0.12.0
    hooks:
      - id: foxguard

Intégrations : Application GitHub, VS Code, plugin Claude Code et serveur MCP.

Prise en main rapide

foxguard .                              # analyser tout
foxguard diff main .                    # uniquement les nouveaux résultats par rapport à main
foxguard secrets .                      # informations d'identification et clés divulguées
foxguard sca .                          # vulnérabilités des dépendances depuis OSV
foxguard pqc .                          # audit cryptographique post-quantique
foxguard --format sarif . > results.sarif
foxguard --format semgrep-json .        # JSON compatible avec l'interface CLI de Semgrep

Couverture des langages

Le traçage de flux couvre également C, Bash et Solidity. Les analyses de configuration, de manifeste et de règles externes couvrent Dockerfile, Nginx, Apache, HAProxy, HCL/Terraform, YAML/JSON/XML/HTML, C via Semgrep YAML/Coccinelle, et plus encore.

Modes de sécurité

foxguard sca .
foxguard pqc .
foxguard --rules ./semgrep-rules .

L'SCA prend en charge Cargo.lock, package-lock.json, pnpm-lock.yaml, requirements.txt, poetry.lock et Pipfile.lock. L'audit PQC est un tableau de bord à deux faces : il signale les primitives vulnérables au quantique (RSA, ECDSA/DSA, ECDH/DH) avec les échéances de migration CNSA 2.0, et il détecte également les algorithmes post-quantiques déjà utilisés (ML-KEM, ML-DSA, SLH-DSA, FN-DSA, HQC, et les hybrides comme X25519MLKEM768) en tant qu'inventaire informatif et résistant au quantique — rapportant un pourcentage de préparation à la migration. Les deux faces s'exportent vers un CBOM CycloneDX 1.6, où les algorithmes post-quantiques apparaissent comme des actifs résistants au quantique plutôt que comme des vulnérabilités.

Configuration

foxguard découvre automatiquement .foxguard.yml à partir du chemin d'analyse vers le haut.

scan:
  baseline: .foxguard/baseline.json
  disable_rules: [py/no-eval]

secrets:
  exclude_paths: [fixtures, testdata]

Supprimez un résultat accepté en ligne avec // foxguard: ignore[rule-id].

Benchmarks

Reproduisez avec ./benchmarks/run.sh ; les résultats varient selon la machine. Voir benchmarks/README.md.

Contribuer

Voir CONTRIBUTING.md pour la création de règles, les tests et la configuration de développement.

Licence

MIT OU Apache-2.0 -- 0sec Labs