Questions fréquemment posées

Non. Stella Ops est conçu pour les environnements non-Kubernetes comme cas d'utilisation principal.

Nous prenons en charge les déploiements via SSH/WinRM. Ils sont sans agent (l'image Docker fait le travail).

Les scanners vous disent qu'un paquet vulnérable existe. Stella Ops vous dit si votre code l'appelle réellement.

Nous utilisons l'analyse d'atteignabilité pour tracer les chemins d'appels, ce qui réduit nettement les faux positifs. Nous sauvegardons également les enregistrements de scan complets que vous pouvez rejouer des mois plus tard — ce qu'aucun scanner n'offre.

vs Trivy · vs Snyk · Comparaison complète

L'atteignabilité détermine si votre application appelle réellement le chemin de code vulnérable dans une dépendance.

La plupart des CVE affectent des chemins de code que votre application n'utilise jamais. Stella analyse les graphes d'appels statiques, les imports de manifestes et optionnellement les traces d'exécution pour prouver quelles vulnérabilités sont réellement exploitables.

Résultat : concentrez-vous sur 12 CVE atteignables au lieu de 500 théoriques.

Une Capsule de décision regroupe tout ce qui est nécessaire pour comprendre et rejouer une décision de version :

• Digest de l'artefact (SHA-256)
• Snapshot SBOM?Software Bill of Materials – une liste complète de tous les packages et dépendances de votre logiciel (CycloneDX?Un format standard ouvert pour les SBOM utilisé dans toute l'industrie/SPDX?Software Package Data Exchange – un autre format standard ouvert pour les SBOMs, largement utilisé en open source)
• Preuves d'atteignabilité (graphes signés)
• État VEX?Vulnerability Exploitability eXchange – déclarations lisibles par machine indiquant si les vulnérabilités sont réellement exploitables dans votre contexte et version de la politique
• Enregistrements d'approbation

Chaque composant est signé DSSE. En savoir plus sur les preuves →

Oui. Stella fonctionne à 100 % hors ligne sans dépendances externes.

Le Kit hors ligne regroupe les flux de vulnérabilités, les images de conteneurs et les données de provenance. Vous obtenez des résultats de scan identiques en ligne ou dans un réseau souverain.

Voir le Kit hors ligne →

Les auditeurs reçoivent des Capsules de décision — des paquets de preuves signés cryptographiquement qui prouvent :

• Ce qui a été scanné (digest exact de l'artefact)
• Ce qui a été trouvé (SBOM?Software Bill of Materials – une liste complète de tous les packages et dépendances de votre logiciel + atteignabilité)
• Pourquoi c'a été approuvé (verdict de politique)
• Qui l'a approuvé (approbations signées)

Les auditeurs peuvent vérifier indépendamment les signatures et rejouer la décision hors ligne avec stella replay.

Stella Ops est disponible à la source (BUSL-1.1). Le niveau gratuit est limité à l'évaluation (3 environnements, 999 analyses/mois) : les charges de travail de production nécessitent un forfait payant (Plus ou Pro).

Les forfaits payants sont mesurés par les environnements et les nouvelles analyses approfondies sont effectuées. pas de frais par siège ou par projet. Toutes les fonctionnalités sont incluses à chaque niveau.

Voir l'offre client →

Stella Ops est en accès anticipé fermé pour les environnements non-Kubernetes.

• Maintenant : Accès anticipé fermé — images signées et bundles Offline Kit disponibles pour les candidats acceptés
• En cours : Formats de preuves rétrocompatibles et relecture déterministe
• Enterprise : Tickets de support limités disponibles sur demande

Voir FAQ →

Stella modélise les versions comme un graphe de promotion (Dev → Stage → Prod). À chaque porte :

• La politique est évaluée par rapport aux preuves de l'artefact
• Les approbations sont enregistrées avec des signatures cryptographiques
• Une Capsule de décision est générée pour l'audit

Les promotions sont liées aux digests des artefacts, pas aux tags. Même digest = mêmes preuves réutilisées.

Suivez le Guide d'installation puis exécutez le Démarrage rapide pour créer votre première promotion vérifiée.

Oui. Nous fournissons un pack sécurité & conformité avec réponses (SIG/CAIQ), notes d’architecture, profils crypto et étapes de vérification. Demander le pack ici.

Oui. Nous pouvons fournir des conditions PO/facturation, DPA et annexes de procurement si nécessaire.

Oui. Les conditions entreprise peuvent inclure des SLA négociés et l'escrow du code source. Contactez sales@stella-ops.org.

Stella Ops Suite est disponible en source sous BUSL-1.1. Vous pouvez lire, créer et auditer le code. La couche de vérification (validation des capsules, vérifications de signature) est sous licence Apache-2.0.

BUSL-1.1 permet une utilisation libre hors production. L'utilisation en production nécessite un forfait payant (Plus ou Pro). Après la date de modification (4 ans à compter de chaque version), le code est converti en Apache-2.0.

Ce modèle finance le développement durable tout en gardant la chaîne de preuves entièrement auditable.

Un environnement est une cible de déploiement nommée associée à une stratégie et à des règles d'approbation facultatives. Exemples : dev, staging, production.

Chaque environnement définit :

• Cibles : où les conteneurs s'exécutent réellement (hôte Docker, projet Compose, ECS cluster)
• Politique : conditions de réussite/échec pour la promotion (seuils CVE?Common Vulnerabilities and Exposures – un identifiant unique pour une vulnérabilité de sécurité publiquement connue, portes d'atteignabilité)
• Approbations : qui doit signer avant qu'une version n'entre dans cet environnement

Les versions sont promues entre les environnements via des portes de stratégie, chaque promotion étant enregistrée comme preuve signée.

Le niveau gratuit est destiné à l'évaluation et au développement uniquement. Il inclut une analyse complète et jusqu'à 3 environnements avec 999 analyses mensuelles de nouveau digest, mais ne permet pas le déploiement en production.

Pour une utilisation en production, vous avez besoin de Plus (jusqu'à 33 environnements) ou Pro (jusqu'à 333 environnements). Pour des besoins plus importants, contactez-nous.

Consultez les tarifications page pour plus de détails sur les niveaux.

Oui. Stella ne remplace pas votre scanner existant : il s'agit d'une couche de contrôle supérieure. Vous pouvez insérer les résultats d'analyse de Trivy, Snyk, Grype ou de toute source SARIF/CycloneDX dans Stella pour le filtrage de l'atteignabilité et le contrôle des politiques.

Stella ajoute ce qui manque aux scanners autonomes : analyse d'atteignabilité, VEX multi-émetteurs, portes de politique sensibles à l'environnement et exportation de preuves signées. Votre scanner trouve CVEs ; Stella décide lesquels sont importants et prouve la décision.