Ces réponses concernent Codex Security Cloud. Pour l’installation et la première analyse, consultez le guide de configuration du Cloud. Pour les analyses locales, consultez le guide du plugin ou celui de la CLI.
Facturation
Comment les analyses Cloud sont-elles facturées ?
Les analyses de dépôt et les analyses continues configurées après le 1er octobre 2026 à 12 h 53 (heure du Pacifique) sont facturées selon le nombre de tokens utilisés, aux tarifs de votre offre. La facturation se fait en crédits ou en dollars américains selon votre formule de facturation. Pour les comptes éligibles, les crédits d’analyse gratuits sont utilisés en priorité. Seule la consommation restante est facturée.
Le quota d’utilisation inclus dans votre offre ne couvre pas cette consommation.
Les analyses continues configurées avant cette échéance restent gratuites jusqu’au 21 octobre 2026. Après cette date, si vous activez l’utilisation payante, elles sont facturées au tarif habituel par token prévu pour votre compte. Sinon, elles sont suspendues.
Ai-je droit à une période d’analyse gratuite ou à des crédits d’analyse gratuits ?
Cela dépend de la configuration de votre compte avant le 1er octobre 2026 à 12 h 53 (heure du Pacifique) :
- Si l’analyse continue était déjà configurée, les analyses continues couvertes restent gratuites jusqu’au 21 octobre 2026. Cette période de gratuité ne couvre ni les analyses de dépôt ni les analyses continues configurées après le 1er octobre 2026 à 12 h 53 (heure du Pacifique).
- Si l’analyse continue n’était pas encore configurée, les comptes éligibles reçoivent 500 dollars américains en crédits d’analyse gratuits à la place de la période d’analyse continue gratuite.
Comment fonctionnent les crédits d’analyse gratuits ?
Les analyses de dépôt et les analyses continues utilisent le même solde de crédits gratuits. Dans un espace de travail, tous les membres partagent ce solde. Ces crédits d’analyse gratuits n’expirent pas.
Une fois le solde épuisé, les analyses suivantes sont facturées selon la formule de facturation de votre compte ou de votre espace de travail.
Que se passe-t-il à la fin de la période d’analyse continue gratuite ?
Sélectionnez Poursuivre les analyses et activez l’utilisation payante pour poursuivre ces analyses après la période de gratuité. Elles sont alors facturées au tarif habituel par token prévu pour votre compte ou votre espace de travail.
Si vous choisissez d’arrêter ces analyses ou si vous n’activez pas l’utilisation payante, elles sont suspendues à la fin de la période de gratuité. Sélectionnez Réactiver les analyses pour activer l’utilisation payante par la suite. Si vous ne disposez pas des autorisations nécessaires dans votre espace de travail, demandez à l’un de ses propriétaires de faire ce choix.
Où consulter la consommation de tokens et les frais ?
Dans Analyses, ouvrez une analyse pour consulter sa consommation de tokens et son coût. Survolez le nombre de tokens pour afficher le détail des tokens d’entrée, des tokens d’entrée mis en cache et des tokens de sortie. Le total des tokens d’entrée comprend déjà ceux mis en cache.
La vue de consommation indique le coût avant application des crédits d’analyse gratuits ou des exonérations de facturation, ainsi que le montant éventuellement couvert par les crédits gratuits.
Les analyses portant la mention « Exonération de facturation. Aucun frais ne s’applique. » ne vous sont pas facturées, même si une consommation de tokens et un coût sont affichés.
Analyses
Faut-il compiler le projet pour l’analyser ?
Codex Security peut analyser le code source même si la compilation échoue. Pour reproduire un problème lors de la validation, il peut être nécessaire de disposer de certaines dépendances ou d’une version compilée fonctionnelle. Configurez ces prérequis dans l’environnement cloud de Codex.
Si la validation ne peut pas s’exécuter, examinez le problème signalé pour distinguer ce que le code source permet d’établir de ce qui dépend encore du comportement à l’exécution ou lors du déploiement.
Quels langages sont pris en charge ?
Codex Security analyse du code source écrit dans différents langages. Les résultats dépendent de la capacité du modèle à raisonner sur le langage et le framework utilisés, ainsi que du contexte disponible dans le dépôt. Une analyse réussie ne garantit pas une couverture identique pour tous les langages ou composants. Consultez le rapport pour savoir ce qui a effectivement été examiné.
Quelle est la différence entre l’analyse d’un dépôt et la surveillance des commits ?
Une analyse ponctuelle examine le dépôt une seule fois. L’analyse continue surveille les nouveaux commits et peut aussi examiner la partie de l’historique des commits que vous sélectionnez. Après la première analyse, activez cette option en suivant les instructions de la section Surveiller les nouveaux commits.
Puis-je suspendre la surveillance des commits ?
Ouvrez Dépôts, sélectionnez le dépôt, puis ouvrez Paramètres de surveillance. Réglez la surveillance sur En pause, puis sélectionnez Enregistrer. Vous pouvez la réactiver depuis ces mêmes paramètres.
Puis-je modifier le modèle de menaces ?
Oui. Mettez-le à jour dans les Paramètres de surveillance du dépôt surveillé lorsque l’architecture, le déploiement ou les hypothèses de sécurité changent. Le guide du modèle de menaces précise les éléments à inclure. Les modifications s’appliquent aux analyses futures.
Problèmes signalés et validation
Que permet d’établir la validation ?
Examinez les éléments de preuve associés au problème signalé. L’analyse du code source peut établir l’existence d’un chemin d’exécution vulnérable. Les données d’exécution peuvent montrer qu’un scénario de reproduction ou un test précis a mis le problème en évidence.
Le statut et le niveau de gravité consignés pour chaque problème permettent d’organiser l’examen des résultats. Appuyez-vous sur les éléments de preuve et les conditions nécessaires pour déterminer si le problème concerne votre système et ce qu’il faut corriger.
Que se passe-t-il si la validation échoue ?
Examinez la tentative de validation et les journaux disponibles. Si la tentative de reproduction échoue, il se peut que le problème ne concerne pas votre système ou que l’environnement ou le test soit inadapté. Clarifiez le point resté en suspens avant d’écarter le problème signalé ou d’affirmer qu’il a été reproduit.
Que faire si l’analyse ne signale aucun problème ?
Vérifiez que l’analyse est arrivée à son terme et qu’elle a porté sur le dépôt et la révision prévus. Consultez les éventuelles limites signalées et les indications sur les travaux restés inachevés. Même si l’analyse ne signale aucun problème, certaines vulnérabilités peuvent lui avoir échappé.
Correctifs
Codex Security applique-t-il automatiquement les correctifs ?
L’action dépend du problème signalé. Pour un problème détecté dans un dépôt, Corriger avec Codex ouvre une conversation dans laquelle il est demandé à Codex de vérifier le problème, d’apporter un correctif et d’exécuter les tests pertinents. Examinez les modifications dans cette conversation.
Si un correctif est proposé, examinez le diff avant de sélectionner Créer une pull request en brouillon. La création du brouillon ne fusionne pas le correctif.
Comment vérifier qu’un correctif a résolu le problème ?
Examinez les éléments de preuve issus de la validation du correctif. Vérifiez notamment si le problème initial est encore reproductible et si les usages légitimes fonctionnent toujours. Si la validation n’a pas été menée à terme, consignez cette incertitude avec le problème signalé. La proposition d’un correctif, une pull request en brouillon ou un changement de statut ne suffisent pas à confirmer que le problème est résolu.