---

Ce que c'est

Penthera vérifie votre application, ses dépendances et vos outils de codage IA sur votre propre machine. Il corrige ce qu'il peut, avec votre approbation. Chaque résultat provient d'une règle que vous pouvez lire, avec sa preuve à file:line. Un modèle peut proposer ; une règle décide.

C'est aussi un projet de R&D ouvert. Nous mesurons chaque vérification en public et publions les résultats, bons ou mauvais, afin que vous puissiez voir à quel point lui faire confiance.

Il détecte des classes de problèmes connues, pas des problèmes inédits. Il ne remplace pas un pentester humain.

Démarrer en 30 secondes

Vous avez besoin de Node.js 22 ou ultérieur. Aucune installation, aucun compte.

Vous développez avec Cursor, Claude Code, Codex, VS Code, Windsurf, Gemini CLI, Zed, JetBrains ou Kiro, ou un constructeur d'applications comme Lovable, Bolt, Base44, Replit ou v0 ? Penthera dans votre outil de codage contient la configuration pour chacun.

Dans votre terminal. Exécutez ceci dans le dossier de votre projet :

npx penthera

Il détecte votre configuration hors ligne, demande ce qu'il faut vérifier et vous donne une note par domaine ainsi que les trois choses à corriger en priorité. Il n'analyse votre application en cours d'exécution qu'après que vous ayez confirmé qu'elle vous appartient. Rien n'est commité ni poussé (démarrage guidé).

Dans votre agent de codage, en tant que skill. Demandez ensuite « scan my app for security issues » :

npx skills add danoszz/penthera

Dans votre agent de codage, en tant que serveur MCP. Six outils en lecture seule pour Claude Code, Cursor, Codex, VS Code et Windsurf. Épinglez la version :

claude mcp add penthera -- npx -y [email protected] mcp

Dans Claude Code, en tant que plugin. Depuis l'invite de Claude Code :

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

Dans Gemini CLI, en tant qu'extension. Il exécute le serveur MCP épinglé dans gemini-extension.json, qui suit la version la plus récente, candidats de version inclus :

gemini extensions install https://github.com/danoszz/penthera

Autres clients : docs/commands/mcp.md. Autres modes d'installation des compétences : docs/commands/skill.md.

Pour l'exécuter dans un conteneur : docker build -t penthera . && docker run --rm penthera https://your-app.example.

Benchmarks publics

Nous testons Penthera sur des jeux de données publics construits par d'autres, aux côtés des outils libres et open source qui remplissent la même tâche, évalués de la même manière. Chaque jeu de données a été divisé en deux avant que nous ne l'examinions : nous avons amélioré Penthera sur une moitié et l'avons évalué une seule fois sur l'autre moitié, scellée. Les règles d'évaluation et de classement ont été consignées avant cette exécution (protocole).

Benchmark	Score	Penthera 1.9.0	Penthera 2.0.0	Rang parmi les outils gratuits	Meilleur autre outil gratuit
Secrets divulgués (Samsung CredData)	F1	0.18	0.74	2e sur 10	deepsecrets 0.78
Paquets npm malveillants (DataDog)	détectés moins fausses alertes	0.57	0.71	1er sur 6, ex æquo 1er à 3e ⁴	malcontent 0.63
Paquets PyPI malveillants (DataDog)	détectés moins fausses alertes	0.74	0.82	1er sur 8, ex æquo 1er à 3e ⁴	GuardDog 0.74
Bugs d'injection dans les bibliothèques JS (SecBench.js)	trouvés dans le bon fichier	0.16	0.70	1er sur 8, ex æquo 1er à 4e ⁴	odgen 0.68

⁴ Une plage ex æquo est un intervalle de rang : la plage dans laquelle le rang de Penthera s'est situé, dans 95 % de 10 000 rééchantillonnages bootstrap des décomptes de chaque outil (sur SecBench.js, de ses 64 bugs de test). Penthera seul est arrivé premier dans 76 % des rééchantillonnages sur npm, 82 % sur PyPI et 60 % sur SecBench.js. Exploratoire : calculé après le classement enregistré.

Secrets divulgués : 2e au F1, le score enregistré ; 1er au F0.5, qui accorde plus de poids à la précision (0.82 contre deepsecrets 0.80) ; 2e au F2, qui accorde plus de poids au rappel (0.68 contre deepsecrets 0.77).