Documentation Herozion

Herozion est un scanner de sécurité statique autonome. Il analyse votre code source localement, sans dépendances, et produit un score de sécurité de 0 à 100 basé sur 14 catégories OWASP et de performance.

brew tap Herozion/herozion && brew install herozion
herozion scan .

Installation

🍎 macOS — Homebrew (recommandé)

Homebrew est la méthode recommandée sur macOS. Il détecte automatiquement votre architecture (Intel ou Apple Silicon) et gère les mises à jour.

brew tap Herozion/herozion

brew install herozion

herozion --version

xattr -d com.apple.quarantine $(which herozion)

Mettre à jour

Toujours lancer brew update avant brew upgrade. Sans cela, Homebrew ne détecte pas les nouvelles versions disponibles.

brew update && brew upgrade herozion

Installation manuelle (sans Homebrew)

Téléchargez le binaire correspondant à votre architecture directement depuis GitHub Releases.

# Apple Silicon (M1/M2/M3/M4)
curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-macos-arm64

# Intel
curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-macos-amd64

chmod +x herozion
sudo mv herozion /usr/local/bin/

chmod +x rend le fichier exécutable. sudo mv ... /usr/local/bin/ le place dans le PATH système pour pouvoir l'appeler depuis n'importe quel dossier.

🐧 Linux

Téléchargez le binaire, rendez-le exécutable et déplacez-le dans votre PATH.

curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-linux-amd64
chmod +x herozion
sudo mv herozion /usr/local/bin/
herozion --version

npx herozion scan .

🪟 Windows

Deux méthodes disponibles selon votre environnement :

Méthode 1 — npm / npx (recommandé, sans modifier le PATH)

Nécessite Node.js installé. Le binaire est isolé dans node_modules/ — aucun accès système global.

# Exécuter sans installation
npx herozion scan .

# Ou ajouter comme dépendance de développement
npm install herozion --save-dev
npx herozion scan .

Mettre à jour :

npm install herozion@latest --save-dev

Méthode 2 — Binaire .exe direct

Téléchargez le fichier .exe et exécutez-le directement dans votre terminal Windows.

Renommez le fichier téléchargé en herozion.exe et exécutez-le depuis votre terminal :

.\herozion.exe --version
.\herozion.exe scan .

Premier scan

Ouvrez un terminal dans le dossier de votre projet et lancez :

herozion scan .

Le . désigne le répertoire courant. Vous pouvez remplacer par n'importe quel chemin, par exemple herozion scan /home/user/mon-projet.

Herozion va :

1. Parcourir récursivement tous les fichiers de code du répertoire
2. Appliquer les 14 règles d'analyse (OWASP + performance)
3. Afficher un rapport dans le terminal avec le score et les vulnérabilités trouvées
4. Sauvegarder le rapport JSON dans ~/.herozion/
5. Retourner un code de sortie (0, 1 ou 2)

Exemple de sortie

$ herozion scan .

📁 Scanning: /mon-projet
✅ Scanned 128 files in 1.3s

┌─────────────────────────────────┐
│   Security Score: 72/100 (C)    │
└─────────────────────────────────┘

CRITICAL  SQL injection detected          db/queries.py:42
HIGH      Hardcoded password detected      config/settings.py:8
 MEDIUM   Debug mode enabled in prod       app.py:3

Commandes

Herozion dispose de trois commandes principales :

herozion history

herozion help

Options & flags

Sorties & codes de retour

Herozion retourne un code de sortie exploitable dans vos scripts CI/CD :

Sortie JSON (-o json)

Utilisez la sortie JSON pour intégrer le rapport dans vos outils d'analyse ou dashboards :

herozion scan . -o json > rapport.json

Le fichier JSON contient : score, note (A–F), liste des vulnérabilités par catégorie, nombre de fichiers scannés, durée.

Intégration CI/CD

Herozion s'intègre dans n'importe quel pipeline via son code de sortie et sa sortie JSON. Un score inférieur à 60 retourne exit 1 — ce qui bloque automatiquement le déploiement.

GitHub Actions

- name: Télécharger Herozion
  run: |
    curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-linux-amd64
    chmod +x herozion

- name: Scanner la sécurité
  run: |
    ./herozion scan . -o json > security-report.json
    ./herozion scan .   # retourne exit 1 si score < 60

- name: Archiver le rapport
  if: always()
  uses: actions/upload-artifact@v4
  with:
    name: security-report
    path: security-report.json

GitLab CI

security_scan:
  stage: test
  before_script:
    - curl -fSL -o herozion https://github.com/Herozion/scanner-releases/releases/latest/download/herozion-linux-amd64
    - chmod +x herozion
  script:
    - ./herozion scan . -o json > security-report.json
    - ./herozion scan .
  artifacts:
    paths:
      - security-report.json
    when: always

when: always conserve le rapport même si le scan a bloqué le pipeline. stage: test positionne l'analyse avant le déploiement.

Configuration

Herozion fonctionne sans aucune configuration. Ces variables d'environnement sont optionnelles et utiles pour les intégrations CI/CD ou les setups multi-projets :

Exemple de fichier .env

# URL de l'API (self-hosted)
HEROZION_API_URL=https://api.example.com

# Clé API pour --push
HEROZION_API_KEY=sk-xxxxxxxxxxxx

# Répertoire des rapports
HEROZION_REPORT_DIR=/tmp/rapports

# Langue par défaut
HEROZION_LANG=en

# Parallélisme
HEROZION_PARALLEL_WORKERS=4

14 catégories d'analyse

Herozion analyse votre code selon 13 catégories OWASP API Top 10+ et 1 catégorie performance. Chaque catégorie contribue au score final.

Confidentialité

Herozion est conçu pour ne jamais quitter votre machine sans votre consentement explicite.