CI/CD souveraine européenne, Git inclus.

Ce que vous obtenez

Tout dans une seule offre à 30 € / utilisateur. Pas d’option « Advanced Security », pas de surprise sur la facturation d’Actions, pas de piège Marketplace.

Contrôles d’accès entreprise

Les contrôles entreprise que demandent les équipes réglementées, adossés à un véritable ensemble de politiques par organisation. Chaque modification déclenche un événement d’audit.

• SSO vers votre IdP. OIDC : Entra ID, ADFS, Okta, Google Workspace, Authentik, Keycloak. Liaison de session par organisation ; source d’authentification par organisation avec correspondances groupe-équipe propres à l’organisation.
• Une vraie MFA step-up. Transmission de acr_values dans la requête d’autorisation, plus vérification de la claim amr à chaque callback. Une session connectée prouve réellement que la MFA a eu lieu – pas une affirmation enfouie dans la première connexion.
• Provisionnement SCIM 2.0. Poussez utilisateurs et groupes depuis Okta, Entra, Authentik ou tout IdP conforme. Authentification par jeton bearer par organisation avec rotation à double jeton.
• Autorité de certification SSH. Déployez une AC SSH hébergée par fremforge par organisation, ou apportez la vôtre. Les clés ancrées par certificat portent une durée de validité, des principals et une révocation indépendants du matériel de clé.
• Clés matérielles. WebAuthn uniquement pour la 2FA (pas de repli TOTP). Imposable par organisation pour les organisations réglementées.
• Liste d’IP autorisées. Limitez la connexion à l’organisation et l’accès à l’API aux plages CIDR de votre entreprise. Appliquée au niveau de la passerelle API, pas seulement dans l’interface.
• Liste des domaines e-mail autorisés. Les membres ne peuvent ajouter que des adresses de type @acme.com correspondant à vos motifs. Caractères génériques pris en charge ; la connexion OIDC est exemptée (l’IdP en atteste).
• Durée de vie maximale des PAT. Plafonnez la durée de validité des jetons d’accès personnels sous la valeur par défaut de 90 jours de la plateforme. Réglable par organisation.
• Commits signés obligatoires. Bloquez les push non signés au niveau du contrôle pre-receive. La signature par clé SSH est native dans Forgejo ; GPG est aussi pris en charge.
• Protection de branche à l’échelle de l’organisation. Un seul jeu de valeurs par défaut pour tous les dépôts – exiger une pull request, des approbations et des vérifications obligatoires, une relecture par les propriétaires du code – appliqué aux dépôts existants dès l’enregistrement. Les dépôts dont la protection a été affaiblie sont signalés.

La sécurité en détail

GitHub vend Secret Protection et Code Security en option, 49 $ par mois pour chaque contributeur actif, en plus du prix par utilisateur. Nous incluons l’essentiel.

• Détection de secrets en pre-receive. Les secrets détectés avec un haut niveau de confiance sont rejetés avant que le commit n’entre dans l’historique immuable.
• Protection des push. Les secrets détectés sont refusés au moment du push ; système de dérogation basé sur le hachage avec revue opérateur inter-organisations ; mode d’échec réglable par organisation (fail-open pour la vélocité en dev, fail-closed pour les environnements réglementés).
• Analyse des dépendances sur les PR. Trivy + osv-scanner sur toutes les dépendances du dépôt ; résultats en commentaires de PR ; blocage de la fusion à partir de la gravité que vous choisissez.
• Atteignabilité. Chaque résultat de dépendance et d’image est marqué atteignable, non atteignable ou inconnu, avec le fichier et la ligne ou la fonction comme preuve, et les listes sont classées en conséquence. Go : govulncheck sur les binaires de vos images. JavaScript et TypeScript : Jelly. Python, Java et Kotlin : au niveau des imports. Rien n’est masqué ni écarté automatiquement ; ne pas bloquer sur les résultats non atteignables est un choix que vous activez.
• Vulnérabilités exploitées connues en priorité. Les vulnérabilités répertoriées dans la base européenne des vulnérabilités de l’ENISA ou dans le catalogue KEV de la CISA reçoivent un badge, sont classées au-dessus des autres résultats de même verdict et de même gravité, ne bénéficient jamais d’un SLA allongé et obtiennent leurs pull requests de correction en premier.
• Pull requests de correction de sécurité. Un clic ouvre une pull request qui fait passer un paquet vulnérable à la plus basse version corrective (npm, Go, PyPI, Maven, Gradle, NuGet, Cargo) ou met à jour l’image de base d’une image ; Tout corriger par dépôt, ou automatiquement pour les résultats les plus importants. Une pull request par paquet ; les failles exploitées d’abord, puis les atteignables, puis par gravité. Par défaut, elles attendent la relecture d’une personne, et ne fusionnent quand les vérifications passent que si vous l’activez (jamais d’une version majeure à l’autre, jamais pendant un gel des releases). Inutile d’activer les mises à jour de version.
• Analyse statique (SAST) sur les PR. OpenGrep s’exécute sur chaque pull request ; résultats en commentaire de PR + statut de commit ; activée par défaut.
• Analyse des licences. Liste d’autorisation SPDX par dépôt ; résultats sur la PR ; politique pouvant hériter du réglage par défaut de l’organisation.
• Analyse antimalware des paquets envoyés. ClamAV en amont de chaque envoi de paquet et d’image de conteneur, y compris depuis la CI ; les envois rejetés n’entrent jamais dans le stockage objet.
• SBOM par build. SBOM Syft généré avec chaque image construite par un runner, signé avec cosign et joint à la release.
• Provenance SLSA. Les runners hébergés émettent une provenance signée ; vérifiez-la avec slsa-verifier.
• Commits signés. Signature par clé SSH par défaut (Forgejo la vérifie nativement) ; GPG est aussi pris en charge. Aucune diffusion vers un journal tiers.
• Épinglage des workflows. Un clic pour épingler chaque uses: actions/checkout@v4 de vos workflows sur son digest SHA.
• RBAC à trois niveaux. Contrôles plancher de la plateforme, politique par défaut de l’organisation définie par le propriétaire ou l’administrateur, dérogation par dépôt qui peut librement renforcer les règles.
• Conformité. Rapport de conformité, preuves de contrôle et, à la demande, une attestation fournisseur signée en HTML/JSON de la chaîne d’audit et de la posture de sécurité de votre organisation. Générée à partir de l’état réel, à remettre à un client, un auditeur ou un régulateur sans partage d’écran.

La signature de commits sans clé est disponible via la pile Sigstore auto-hébergée de fremverk sur T Cloud Public eu-de (Fulcio + TSA ; pas de diffusion vers un journal de transparence Rekor). Points de terminaison : sign.frem.sh et tsa.frem.sh. Aucune requête ne transite par l’instance Sigstore publique de la Linux Foundation. Les clients l’activent par organisation dans Politique d’authentification → Exiger des commits signés OIDC. Voir docs.frem.sh/get-started/keyless-commit-signing.

Dependency proxy

Les paquets publics et les images de conteneur passent par frem.sh, mis en cache pour votre organisation et vérifiés selon votre politique de paquets. Ce proxy est activé par défaut pour toutes les organisations et utilisé par les runners hébergés.

Les logiciels malveillants connus (avis OSV MAL-*) sont refusés pour toutes les organisations, et une politique de paquets en mode Appliquer refuse ce qui l’enfreint. Le contenu en cache reste servi lorsqu’un registre en amont est indisponible. Si le proxy est injoignable au démarrage d’un job de runner, le job installe et récupère depuis les registres publics à la place. Docker Hub et les registres authentifiés de Red Hat utilisent les identifiants de votre organisation, ajoutés par un propriétaire. Voir docs.frem.sh/develop/packages/dependency-proxy.

Livrer et exploiter

Les outils d’exploitation dont une équipe SRE a besoin pour vraiment faire tourner la plateforme en production.

• Environnements de déploiement. Environnements nommés (prod / staging / preview) avec secrets par environnement, restrictions de branche par environnement et validations obligatoires par des relecteurs. Approbations visibles dans les vérifications de la PR et dans la console opérateur.
• Transfert SIEM. Envoyez par POST les événements d’audit fremforge vers votre point de terminaison Splunk/QRadar/Sentinel/Datadog. Contenu signé HMAC, conservation par point de terminaison, envoi de test depuis l’interface d’administration, désactivation par point de terminaison sans nouvelle intégration.
• SLA de correction. Définissez le nombre de jours pour corriger selon la gravité (par défaut 7 / 30 / 90 pour critique / élevée / moyenne). Les résultats en retard apparaissent dans les notifications et dans le récapitulatif de sécurité.
• Récapitulatif de sécurité. Récapitulatif hebdomadaire (ou quotidien) par e-mail des résultats ouverts + des nouvelles CVE critiques. Activation par utilisateur.
• Chaîne d’audit. Chaîne SHA-256 liée par hachage, par organisation, de chaque changement d’état. Ancrée dans un stockage WORM toutes les 2 minutes, répliquée entre régions.
• Conservation d’audit configurable. Charges utiles conservées 90 / 180 / 365 / 730 jours par organisation ; l’index chaîné par hachage est conservé indéfiniment. Conforme à ISO 27001 A.8.15 et aux exigences équivalentes de DORA en matière de tenue des registres.
• Reprise après sinistre. Restauration à un instant donné RDS sur 7 jours. Dumps nocturnes de la base de données chiffrés avec age vers eu-nl. Réplique interrégionale de l’ancrage d’audit WORM. Exercices de reprise à fréquence documentée.
• Export infalsifiable en un clic. Archive tar signée : dépôts + LFS + journaux Actions + extrait d’audit + attestations + manifeste SHA-256. Si vous voulez partir un jour, tout est en formats standard.

API publique pour les agents IA

Chaque action d’administration est un point de terminaison REST documenté. Les agents de codage IA opèrent sur la même interface que les humains, avec le même modèle d’authentification.

frembench – votre agent continue de travailler quand vous fermez votre portable

Une machine Linux louée à la minute et accessible depuis le navigateur. Apportez votre propre agent – Claude Code, Codex, opencode. 39 € / utilisateur / mois avec 200 heures incluses.

39 € par utilisateur et par mois : 200 heures d’exécution du bench incluses. Au-delà, 0,20 € de l’heure – et votre facture ne peut jamais dépasser 99 € par utilisateur sur un mois, quelle que soit l’intensité de votre usage. Les heures sont mutualisées entre les utilisateurs, comme les minutes de CI. Tous les tarifs · Documentation

Où tout s’exécute

Chaque traitement automatisé est opéré par des entités sans société mère américaine.

Consultez la page Confiance pour la liste complète des sous-traitants ultérieurs, les certifications héritées (T Cloud Public : ISO 27001, 27017, 27018, BSI C5 Type 2, TISAX), la feuille de route de nos propres certifications (audit d’étape 1 ISO 27001 sous 18 mois, certification sous 24 mois, conformément au DPA §12.1), et le DPA pour le cadre contractuel.

Ce que ce n’est pas

Questions