MARKETIA
ConnexionInscription

Avis MagicMate : Trivy, ce que dit la source

Source vérifiée le 18 octobre 2026 (analyse rédigée le 18 octobre 2026).

Analyse statique des sources publiques : sauf mention contraire sur cette page, rien n'a été installé ni exécuté. Les tests réellement exécutés sont sur la page Tests. Cette page ne donne aucune note. Notre méthode.

Verdict

Un scanner de sécurité polyvalent, publié sous licence Apache-2.0, qui cherche des vulnérabilités connues dans les dépendances et les images, des erreurs de configuration (Dockerfile, Kubernetes, infrastructure) et des secrets. Il se distribue en binaire unique, mais sa base de vulnérabilités se télécharge à la première exécution (1,6 Go sur disque lors de notre test). Notre test d'usage du 2026-10-18 a porté, via trivy fs, sur des dépendances npm/pip, un Dockerfile et de faux secrets, sur un petit jeu synthétique ; les images et Kubernetes n'ont pas été testés.

Pour qui (PME française)

  • Une équipe qui développe ou fait développer du code et veut vérifier ses dépendances, ses Dockerfile et ses secrets avant mise en production : intégrateur, agence, DSI de PME.
  • Utilisable en ligne de commande ; l'intégration CI demande un peu plus de travail.

Points forts prouvés

  • Le README présente un seul outil avec plusieurs cibles (image de conteneur, système de fichiers, dépôt, Kubernetes) et plusieurs scanners : paquets et dépendances, configurations d'infrastructure, secrets, licences (README lu).
  • Dans notre test (Trivy 0.76.0, Windows 11), trivy fs a signalé des vulnérabilités dans un fichier npm et un fichier pip, cinq problèmes de configuration dans un Dockerfile et deux faux secrets AWS, avec des exécutions de l'ordre d'une seconde une fois les bases en cache. Détails : Trivy 0.76.0 testé pour de vrai.
  • Formats de sortie observés : tableau, JSON, SARIF, CycloneDX (SBOM). Le code de sortie se règle par --exit-code.
  • Licence permissive, dépôt actif : dernière release v0.76.0 le 2026-10-14, précédente v0.75.0 le 2026-10-01 (API GitHub).

Limites et risques

  • Téléchargement initial lourd : la première exécution exige le réseau et écrit une base de 1,6 Go sur le disque lors de notre test ; un environnement sans accès au réseau doit préparer cette base à l'avance. Nous n'avons testé que --offline-scan avec une base déjà en cache.
  • Le code de sortie vaut 0 par défaut même quand des problèmes sont trouvés : sans --exit-code, une étape CI passe au vert malgré les alertes.
  • Certaines options ne sont pas communes à toutes les sous-commandes : trivy config a refusé --skip-db-update lors de notre test.
  • Le dépôt compte environ 270 tickets et demandes de fusion ouverts (API GitHub, chiffre brut non examiné). Nous n'avons pas lu les tickets.
  • Un scanner à règles et à base de données ne trouve pas tout : l'absence de résultat n'est pas une preuve d'absence de problème, et une vulnérabilité signalée n'est pas toujours exploitable dans votre usage. Un secret détecté doit être révoqué, pas seulement supprimé.

Effort d'installation réel

Faible pour un essai : un binaire à décompresser et une commande ; l'intégration CI, le choix des gravités bloquantes et le tri des alertes demandent le vrai temps. Estimation, pas mesure.

Alternatives

Licence et attention commerciale

Apache-2.0 (fichier LICENSE lu). Usage commercial permis, avec conservation des mentions de licence. Les rapports contiennent des noms de fichiers et des extraits de code : à stocker avec des droits restreints.

Ce que nous n'avons pas testé

Cet avis repose sur les sources publiques lues le 2026-10-18 et sur un test d'usage limité : voir Trivy 0.76.0 testé pour de vrai. Restent non testés : le scan d'images de conteneur, Kubernetes, Terraform, l'intégration CI, Linux et macOS, les projets réels, la mesure de faux positifs et l'historique de sécurité de la distribution de l'outil lui-même.

Sources (lues le 2026-10-18)

Aller plus loin

Recevoir la newsletter Marketia