Documentation Herozion

Herozion est un scanner de sécurité statique autonome. Il analyse votre code source localement, sans dépendances, et produit un score de sécurité de 0 à 100 basé sur 26 catégories OWASP et de performance.

Par où commencer

Deux parcours selon votre objectif — choisissez d'abord votre plateforme, puis le chemin qui vous correspond. Les commandes s'adaptent automatiquement (avec ou sans npx).

1. Choisissez votre plateforme

macOS Linux Windows Node.js (tous OS)

2. Choisissez votre parcours

herozion scan

herozion register

herozion login

herozion scan

herozion push

Installation

Choisissez votre plateforme — puis tapez les commandes dans l'ordre, une par une.

Choisir une méthode npm

Trois façons d'utiliser Herozion via npm — choisissez selon votre contexte :

• npx herozion fonctionne même après npm uninstall — npx utilise le registry npm, pas une install locale.
• Version via npx : npx herozion@latest --version
• Pour verrouiller la version en équipe : préférez --save-dev, pas l'install globale.

macOS Linux Windows Node.js (tous OS)

brew tap Herozion/herozion

brew install herozion

herozion --version

cd ~/mon-projet
herozion scan

xattr -d com.apple.quarantine $(which herozion)

cd ~/mon-projet

npx herozion@latest scan .

npm install herozion@latest --save-dev

brew update && brew upgrade herozion

# Apple Silicon (M1/M2/M3/M4)
curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-macos-arm64

# Intel
curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-macos-amd64

chmod +x herozion
sudo mv herozion /usr/local/bin/

cd ~/mon-projet

npx herozion@latest scan .

npm install herozion@latest --save-dev

curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-linux-amd64

chmod +x herozion

sudo mv herozion /usr/local/bin/

herozion --version

cd ~/mon-projet
herozion scan

npm install -g herozion@latest

npx herozion@latest scan .

sha256sum -c CHECKSUMS.sha256

cd C:\chemin\vers\votre\projet

npx herozion@latest scan .

npm install herozion --save-dev

npm install herozion@latest --save-dev

cd ~/mon-projet

npx herozion@latest scan .

npx herozion --version

npx herozion@latest --version

npm install herozion --save-dev
npx herozion scan

Mettre à jour — toutes méthodes

Désinstallation

npm uninstall (sans -g) ne retire pas la possibilité d'utiliser npx herozion.

Dépannage installation

Erreur EEXIST sur macOS / Linux

Un binaire existe déjà dans /usr/local/bin/herozion (Homebrew, curl ou ancienne install npm). L'install --save-dev ne touche pas ce chemin.

# 1. Identifier la source
ls -la /usr/local/bin/herozion
which -a herozion

# 2a. Si installé via Homebrew
brew uninstall herozion

# 2b. Sinon — retirer le fichier bloquant
sudo rm -f /usr/local/bin/herozion
rm -rf "$(npm root -g)/herozion"

# 3. Réinstaller
npm install -g herozion@latest

# 4. Vérifier
which herozion
herozion --version
npm list -g herozion

Ne pas mélanger Homebrew et npm global pour le même binaire.

Version affichée obsolète après update global

npm list -g herozion indique la bonne version mais herozion --version affiche une version plus ancienne — le binaire postinstall n'a pas été mis à jour.

rm -rf "$(npm root -g)/herozion"
npm install -g herozion@latest
herozion --version

Si le binaire ne se télécharge pas, vérifiez npm config get ignore-scripts (doit être false) puis :

npm install -g herozion@latest --foreground-scripts

FAQ installation

Push & dashboard

← Retour aux parcours rapides

Référence détaillée sur la synchronisation cloud. Pour le parcours pas à pas, voir les parcours rapides.

Ce que push envoie (et ce qu'il n'envoie pas)

• Envoyé — score, grade, catégories, nombre de fichiers, métadonnées du rapport
• Jamais envoyé — votre code source. Le scan reste 100 % local ; push ne transmet que le rapport JSON.

Ce que vous débloquez

• Historique et tendances de score sur le dashboard
• Comparaison entre scans — voir ce qui s'améliore ou se dégrade
• Alertes email et exports PDF (selon votre plan)
• Accès équipe et projets partagés

Prérequis

Connecté via herozion login, avec au moins un scan local (herozion scan). Session en cache 24 h dans ~/.herozion/auth.json.

← Retour aux parcours rapides

Détails du scan — référence

Section technique — si vous avez installé Herozion, vous avez probablement déjà scanné. Voici ce qui se passe en interne et à quoi ressemble la sortie. Ensuite : synchronisez avec herozion push.

Herozion va :

1. Parcourir récursivement les fichiers de code du répertoire (en respectant .gitignore)
2. Appliquer les 26 catégories d'analyse (OWASP + performance)
3. Afficher un rapport dans le terminal avec le score et les vulnérabilités trouvées
4. Sauvegarder le rapport JSON dans ~/.herozion/
5. Retourner un code de sortie (0, 1 ou 2)

Découverte des fichiers

Herozion respecte le .gitignore de votre projet lors de la découverte des fichiers. Les fichiers gitignorés (ex. credentials.json, firebase-service-account.json) ne sont pas analysés.

Pour exclure des fichiers supplémentaires, créez un fichier .herozionignore à la racine du projet (même syntaxe que .gitignore).

Plan gratuit — résultats partiels (top 5)

Sur le plan gratuit, le terminal et le JSON n'affichent que les 5 vulnérabilités les plus critiques. Le scan complet s'exécute quand même — seule l'affichage est limitée.

Champs JSON indicatifs :

{
  "partial_results": true,
  "shown_vulnerabilities": 5,
  "total_vulnerabilities": 10,
  "vulnerability_count": 5
}

Exemple de sortie

$ herozion scan

📁 Scanning: /mon-projet
✅ Scanned 128 files in 1.3s

┌─────────────────────────────────┐
│   Security Score: 72/100 (C)    │
└─────────────────────────────────┘

CRITICAL  SQL injection detected          db/queries.py:42
HIGH      Hardcoded password detected      config/settings.py:8
 MEDIUM   Debug mode enabled in prod       app.py:3

Commandes

Référence complète de toutes les commandes. Si vous débutez, commencez par les parcours rapides.

herozion history

herozion help

Options & flags

Sorties & codes de retour

Herozion retourne un code de sortie exploitable dans vos scripts CI/CD. Le blocage est déclenché par l'une ou l'autre condition — les deux messages sont affichés si les deux échouent :

Flags de politique d'échec

Sortie JSON (-o json)

Utilisez la sortie JSON pour intégrer le rapport dans vos outils d'analyse ou dashboards :

herozion scan -o json > rapport.json

Le fichier JSON contient : score, note (A–F), liste des vulnérabilités par catégorie, nombre de fichiers scannés, durée. Une clé "policy" est incluse avec fail_on et min_score pour permettre aux scripts CI de lire la politique active.

{
  "score": 74,
  "grade": "B",
  "policy": {
    "min_score": 80,
    "fail_on": "critical"
  },
  ...
}

Intégration CI/CD

À chaque push ou Pull Request, Herozion scanne votre code automatiquement et peut bloquer le merge si la politique de sécurité n'est pas respectée.

• Scan automatique sur chaque push et Pull Request
• Quality gate configurable — score minimum et sévérités bloquantes
• Commentaire automatique sur les Pull Requests (GitHub Actions)
• YAML généré sur mesure depuis votre dashboard, secrets pré-remplis

Pipelines supportés : GitHub Actions, GitLab CI, Bitbucket Pipelines.

Comment configurer (GitHub Actions)

Une fois votre plan activé, voici les 4 étapes pour connecter votre dépôt GitHub en moins de 5 minutes.

.github/workflows/herozion.yml

Configuration

Herozion fonctionne sans aucune configuration. Ces variables d'environnement sont optionnelles :