FAQ de Codex Security Cloud

Ces réponses concernent Codex Security Cloud. Pour l’installation et une première analyse, consultez Configuration du cloud. Les analyses locales disposent de guides distincts pour le plugin et la CLI.

Facturation

Comment les analyses cloud sont-elles facturées ?

Les analyses de dépôts et les analyses continues configurées après le 1er octobre 2026 à 12 h 53, heure du Pacifique, sont facturées selon les tokens utilisés, aux tarifs de votre forfait, en crédits ou en USD selon votre formule de facturation. Pour les comptes éligibles, les crédits d’analyse gratuits sont utilisés avant toute facturation de l’utilisation payante.

Cette utilisation n’est pas couverte par le quota d’utilisation inclus dans votre forfait.

Les analyses continues configurées avant cette date limite sont gratuites jusqu’au 21 octobre 2026. Passé cette date, elles sont facturées aux tarifs habituels des tokens selon la formule de facturation de votre compte si vous activez l’utilisation payante. Sinon, elles sont suspendues.

Ai-je droit à une période d’analyse gratuite ou à des crédits d’analyse gratuits ?

Ce dont vous bénéficiez dépend de la configuration ou non de l’analyse continue sur votre compte avant le 1er octobre 2026 à 12 h 53, heure du Pacifique :

• Si elle était configurée, vos analyses continues concernées restent gratuites jusqu’au 21 octobre 2026. Cette période gratuite ne couvre pas les analyses de dépôts ni l’analyse continue configurée après le 1er octobre 2026 à 12 h 53, heure du Pacifique.
• Dans le cas contraire, les comptes éligibles reçoivent 500 USD de crédits d’analyse gratuits à la place de la période d’analyse continue gratuite.

Comment fonctionnent les crédits d’analyse gratuits ?

Les analyses de dépôts et l’analyse continue utilisent le même solde gratuit. Dans un espace de travail, tout le monde partage ce solde. Ces crédits d’analyse gratuits n’ont pas de date d’expiration.

Une fois le solde gratuit épuisé, les analyses suivantes sont facturées selon la formule de facturation de votre compte ou de votre espace de travail.

Que se passe-t-il à la fin de la période d’analyse continue gratuite ?

Sélectionnez Maintenir les analyses actives et activez l’utilisation payante pour poursuivre ces analyses après la période gratuite. Elles sont alors facturées aux tarifs habituels des tokens selon la formule de facturation de votre compte ou de votre espace de travail.

Si vous refusez ou n’activez pas l’utilisation payante, ces analyses sont suspendues à la fin de la période gratuite. Sélectionnez Réactiver les analyses pour activer l’utilisation payante par la suite. Dans un espace de travail, demandez à un propriétaire de l’espace de travail de faire ce choix si vous n’avez pas l’autorisation nécessaire.

Où puis-je consulter l’utilisation des tokens et les frais ?

Ouvrez une analyse dans Analyses pour consulter son utilisation des tokens et son coût. Survolez le nombre de tokens pour afficher les tokens d’entrée, d’entrée en cache et de sortie. Les tokens d’entrée en cache sont inclus dans le nombre de tokens d’entrée et ne s’y ajoutent pas.

La rubrique Utilisation affiche le coût avant application des crédits d’analyse gratuits ou des exemptions de facturation, ainsi que tout montant couvert par les crédits d’analyse gratuits.

Les analyses portant la mention « Exemptée de facturation. Aucun frais ne s’applique. » n’entraînent aucuns frais, même si elles affichent une utilisation des tokens et un coût.

Analyse

Le projet doit-il être compilé pour être analysé ?

Codex Security peut analyser le code source sans compilation réussie. La validation peut nécessiter des dépendances ou une compilation fonctionnelle pour reproduire un problème. Configurez ces prérequis dans l’environnement cloud Codex.

Si la validation ne peut pas s’exécuter, examinez ce que le problème détecté permet d’établir à partir du code source et ce qui dépend encore du comportement à l’exécution ou du déploiement.

Quels langages sont pris en charge ?

Codex Security analyse le code source dans différents langages. Les résultats dépendent de la capacité du modèle à raisonner sur le langage et le framework, ainsi que du contexte disponible dans le dépôt. Une analyse réussie n’implique pas une couverture identique de tous les langages ou composants. Consultez le rapport pour connaître le périmètre réellement examiné.

Quelle est la différence entre les analyses de dépôt et la surveillance des commits ?

Une Analyse ponctuelle examine le dépôt une seule fois. L’Analyse continue surveille les nouveaux commits et peut examiner une sélection de l’historique des commits. Activez-la après la première analyse en suivant Surveiller les nouveaux commits.

Puis-je suspendre la surveillance des commits ?

Ouvrez Dépôts, sélectionnez le dépôt, puis ouvrez Paramètres de surveillance. Réglez la surveillance sur En pause, puis sélectionnez Enregistrer. Vous pouvez la réactiver depuis ces mêmes paramètres.

Puis-je modifier le modèle de menaces ?

Oui. Mettez-le à jour dans les Paramètres de surveillance du dépôt surveillé lorsque l’architecture, le déploiement ou les hypothèses de sécurité changent. Le guide du modèle de menace explique les éléments à inclure. Les modifications s’appliquent aux analyses futures.

Problèmes détectés et validation

Que permet d’établir la validation ?

Consultez les éléments probants associés au constat concerné. L’analyse du code source peut établir l’existence d’un chemin d’exécution vulnérable. Les preuves d’exécution peuvent montrer qu’un scénario ou un test précis a mis le problème en évidence.

Le statut et la gravité enregistrés pour un constat aident à organiser l’examen. Utilisez les éléments probants sous-jacents et les conditions préalables pour déterminer s’il s’applique à votre système et ce qu’il faut corriger.

Que se passe-t-il si la validation échoue ?

Examinez la tentative de validation et tous les journaux disponibles. L’échec d’un scénario de reproduction peut signifier que le problème ne s’applique pas, mais aussi que l’environnement ou le test était inadapté. Comblez la lacune signalée avant d’écarter le constat ou d’affirmer que le problème a été reproduit.

Que faire si l’analyse ne signale aucun constat ?

Vérifiez que l’analyse s’est terminée et qu’elle a examiné le dépôt et la révision prévus. Consultez les limites ou les travaux inachevés consignés. Une analyse qui ne signale aucun constat peut tout de même manquer des vulnérabilités.

Correctifs

Codex Security applique-t-il automatiquement les correctifs ?

L’action dépend du constat. Corriger avec Codex sur un constat lié à un dépôt lance une conversation qui demande à Codex de vérifier le problème, d’implémenter un correctif et d’exécuter les tests pertinents. Examinez les modifications dans cette conversation.

Pour un constat accompagné d’un correctif suggéré, examinez le diff avant de sélectionner Créer une pull request en brouillon. La création du brouillon ne fusionne pas le correctif.

Comment savoir si un correctif a résolu le problème ?

Examinez les éléments de validation du correctif, notamment si le problème initial se reproduit encore et si les comportements légitimes fonctionnent toujours. Si la validation n’a pas été menée à terme, conservez cette incertitude avec le constat. Une proposition de correctif, une pull request en brouillon ou un changement de statut ne suffisent pas à valider un correctif.