Documentation Herozion

Herozion est un scanner de sécurité statique autonome. Il analyse votre code source localement, sans dépendances, et produit un score de sécurité de 0 à 100 basé sur 26 catégories OWASP et de performance.

Par où commencer

Deux parcours selon votre objectif, choisissez d'abord votre plateforme, puis le chemin qui vous correspond. Les commandes s'adaptent automatiquement (avec ou sans npx).

1. Choisissez votre plateforme

macOS Linux Windows Node.js (tous OS)

2. Choisissez votre parcours

herozion scan

herozion register

herozion login

herozion scan

herozion push

Installation

Choisissez votre plateforme, puis tapez les commandes dans l'ordre, une par une.

macOS Linux Windows Node.js (tous OS)

brew tap Herozion/herozion

brew install herozion

herozion --version

cd ~/mon-projet
herozion scan

xattr -d com.apple.quarantine $(which herozion)

brew update && brew upgrade herozion

# Apple Silicon (M1/M2/M3/M4)
curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-macos-arm64

# Intel
curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-macos-amd64

chmod +x herozion
sudo mv herozion /usr/local/bin/

curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-linux-amd64

chmod +x herozion

sudo mv herozion /usr/local/bin/

herozion --version

cd ~/mon-projet
herozion scan

sha256sum -c CHECKSUMS.sha256

cd C:\chemin\vers\votre\projet

npx herozion scan

npm install -g herozion

npm install -g herozion@latest --foreground-scripts

cd ~/mon-projet

npx herozion scan

herozion --version

npx herozion@latest --version

npm install -g herozion
herozion scan

Mettre à jour, toutes méthodes

Désinstallation

npm uninstall (sans -g) ne retire pas la possibilité d'utiliser npx herozion.

Dépannage installation

Erreur EEXIST sur macOS / Linux

Un binaire existe déjà dans /usr/local/bin/herozion (Homebrew, curl ou ancienne install npm). Retirez-le avant une install npm install -g herozion.

# 1. Identifier la source
ls -la /usr/local/bin/herozion
which -a herozion

# 2a. Si installé via Homebrew
brew uninstall herozion

# 2b. Sinon, retirer le fichier bloquant
sudo rm -f /usr/local/bin/herozion
rm -rf "$(npm root -g)/herozion"

# 3. Réinstaller
npm install -g herozion@latest --foreground-scripts

# 4. Vérifier
which herozion
herozion --version
npm list -g herozion

Ne pas mélanger Homebrew et npm global pour le même binaire.

Erreur Homebrew : brew link n'a pas pu créer /usr/local/bin/herozion

Cela arrive quand une ancienne installation npm globale a déjà créé ce lien. Homebrew a installé Herozion, mais votre terminal lance encore le wrapper npm cassé.

# 1. Supprimer l'ancienne installation npm globale
npm uninstall -g herozion

# 2. Si le lien existe encore, le retirer
rm -f /usr/local/bin/herozion
# Si permission refusée : sudo rm -f /usr/local/bin/herozion

# 3. Relier la version Homebrew déjà installée
brew link herozion

# 4. Vérifier
which herozion
herozion --version

Les avertissements Homebrew sur des taps non approuvés (mongodb/brew, stripe/stripe-cli, etc.) sont indépendants de Herozion.

Version affichée obsolète après update global

npm list -g herozion indique la bonne version mais herozion --version affiche une version plus ancienne — le binaire postinstall n'a pas été mis à jour.

npm uninstall -g herozion
npm install -g herozion
herozion --version

Pour une mise à jour classique, utilisez --foreground-scripts (le postinstall télécharge le binaire natif ; sans ce flag, npm peut mettre à jour le wrapper sans retélécharger le binaire) :

npm install -g herozion@latest --foreground-scripts

FAQ installation

Push & dashboard

← Retour aux parcours rapides

Référence détaillée sur la synchronisation cloud. Pour le parcours pas à pas, voir les parcours rapides.

Ce que push envoie (et ce qu'il n'envoie pas)

• Envoyé, score, grade, catégories, nombre de fichiers, métadonnées du rapport
• Jamais envoyé, votre code source. Le scan reste 100 % local ; push ne transmet que le rapport JSON.

Ce que vous débloquez

• Historique et tendances de score sur le dashboard
• Comparaison entre scans, voir ce qui s'améliore ou se dégrade
• Alertes email et exports PDF (selon votre plan)
• Accès équipe et projets partagés

Prérequis

Connecté via herozion login, avec au moins un scan local (herozion scan ). Session en cache dans ~/.herozion/auth.json. La session est valide plusieurs jours et se renouvelle automatiquement à chaque utilisation.

En CI/CD, utilisez HEROZION_API_KEY plutôt que herozion login pour éviter toute expiration de session.

← Retour aux parcours rapides

Détails du scan, référence

Section technique, si vous avez installé Herozion, vous avez probablement déjà scanné. Voici ce qui se passe en interne et à quoi ressemble la sortie. Ensuite : synchronisez avec herozion push.

Herozion va :

1. Parcourir récursivement les fichiers de code du répertoire (en respectant .gitignore)
2. Appliquer les 26 catégories d'analyse (OWASP + performance)
3. Afficher un rapport dans le terminal avec le score et les vulnérabilités trouvées
4. Sauvegarder le rapport JSON dans ~/.herozion/
5. Retourner un code de sortie (0, 1 ou 2)

Découverte des fichiers

Herozion respecte le .gitignore de votre projet lors de la découverte des fichiers. Les fichiers gitignorés (ex. credentials.json, firebase-service-account.json) ne sont pas analysés.

Pour exclure des fichiers supplémentaires, créez un fichier .herozionignore à la racine du projet (même syntaxe que .gitignore).

Plan gratuit, résultats partiels (top 5)

Sur le plan gratuit, le terminal et le JSON n'affichent que les 5 vulnérabilités les plus critiques. Le scan complet s'exécute quand même, seule l'affichage est limitée.

Champs JSON indicatifs :

{
  "partial_results": true,
  "shown_vulnerabilities": 5,
  "total_vulnerabilities": 10,
  "vulnerability_count": 5
}

Exemple de sortie

$ herozion scan

📁 Scanning: /mon-projet
✅ Scanned 128 files in 1.3s

┌─────────────────────────────────┐
│   Security Score: 72/100 (C)    │
└─────────────────────────────────┘

CRITICAL  SQL injection detected          db/queries.py:42
HIGH      Hardcoded password detected      config/settings.py:8
 MEDIUM   Debug mode enabled in prod       app.py:3

Commandes

Référence complète de toutes les commandes. Si vous débutez, commencez par les parcours rapides.

herozion history

herozion help

Options & flags

Sorties & codes de retour

Herozion retourne un code de sortie exploitable dans vos scripts CI/CD. Le blocage est déclenché par l'une ou l'autre condition, les deux messages sont affichés si les deux échouent :

Flags de politique d'échec

Sortie JSON (-o json)

Utilisez la sortie JSON pour intégrer le rapport dans vos outils d'analyse ou dashboards :

herozion scan -o json > rapport.json

Le fichier JSON contient : score, note (A–F), liste des vulnérabilités par catégorie, nombre de fichiers scannés, durée. Une clé "policy" est incluse avec fail_on et min_score pour permettre aux scripts CI de lire la politique active.

{
  "score": 74,
  "grade": "B",
  "policy": {
    "min_score": 80,
    "fail_on": "critical"
  },
  ...
}

Intégration CI/CD

Les flags CLI --fail-on et --min-score sont disponibles sur tous les plans, y compris gratuit.

À chaque push ou Pull Request, Herozion scanne votre code automatiquement et peut bloquer le merge si la politique de sécurité n'est pas respectée.

• Scan automatique sur chaque push et Pull Request
• Quality gate configurable, score minimum et sévérités bloquantes
• Commentaire automatique sur les Pull Requests (GitHub Actions)
• YAML généré sur mesure depuis votre dashboard, secrets pré-remplis

Pipelines supportés : GitHub Actions, GitLab CI, Bitbucket Pipelines.

Comment configurer (GitHub Actions)

Une fois votre plan activé, voici les 4 étapes pour connecter votre dépôt GitHub en moins de 5 minutes.

.github/workflows/herozion.yml

Configuration

Herozion fonctionne sans aucune configuration. Ces variables d'environnement sont optionnelles :