Premiers pas : espace de travail, gestion de code source et premier scan

Connexion et assistant d’onboarding

Votre espace de travail est votre organisation Plexicus : le compte qui regroupe vos membres, vos connexions, vos dépôts et vos constats. Le produit et la suite de ce cours parlent d’organisation.

La façon dont vous accédez à Plexicus la première fois dépend de la manière dont votre entreprise l’exploite. Sur Plexicus SaaS, vous vous connectez sur app.plexicus.ai. Un déploiement auto-hébergé utilise votre propre nom d’hôte. Si un administrateur vous a invité dans une organisation existante, acceptez d’abord l’e-mail d’invitation. Ne vous inscrivez pas de votre côté au préalable : l’auto-inscription crée une organisation distincte. Les invitations, les rôles et la configuration du SSO sont traités dans le module 10.

Inscription et connexion

La page Register propose une inscription en un clic avec GitHub, Google ou Microsoft, ainsi que « or register with email » (Email, Password, Confirm Password). Dans certaines régions, la page n’affiche que le formulaire par e-mail. Cochez la case Terms avant de vous inscrire, que ce soit avec le bouton d’un fournisseur ou par e-mail. Sinon, la case est signalée et l’inscription n’aboutit pas. Pour une inscription par e-mail, le mot de passe doit comporter au moins 8 caractères, dont une majuscule, une minuscule, un chiffre et un caractère spécial. Une fois le formulaire envoyé, Plexicus affiche « Check your email ». Cliquez sur le lien de vérification, attendez le message « Your email is verified », puis connectez-vous.

La page Login propose les trois mêmes fournisseurs, « Login via SSO », où vous saisissez le slug de connexion SSO de votre organisation (demandez-le à votre administrateur ; le texte d’exemple du champ ressemble à une adresse e-mail), ainsi que l’e-mail et le mot de passe, avec un lien « Forgot password? ». Si votre organisation a configuré le SSO, utilisez-le : c’est alors votre fournisseur d’identité qui contrôle qui peut entrer.

Les quatre étapes

Dans une nouvelle organisation, votre première connexion ouvre l’assistant d’onboarding. Sa colonne de gauche suit quatre étapes :

Étape	Ce que vous faites
Connect	Choisir un fournisseur de gestion de code source et l’autoriser, ou choisir une base de code de démonstration
Choose repos	Rechercher vos dépôts, en cocher jusqu’à 5 et choisir une branche pour chacun
Basic config	Définir un nom d’organisation facultatif, les référentiels de conformité et la langue des scans et des rapports
Scanning	Suivre l’analyse de vos dépôts par Plexalyzer, le moteur de scan de Plexicus

Connect. « Connect your repository » affiche une carte par fournisseur : GitHub (avec le badge « Most popular »), GitLab, Bitbucket Cloud, Gitea, Forgejo et Azure DevOps. Cliquez sur Configure sur une carte pour l’autoriser ou saisir des identifiants ; la leçon 2 détaille chaque fournisseur. Une carte connectée affiche Configured, et le bouton Continue devient actif.

L’option base de code de démonstration. Sous les cartes, dans « Or try it instantly », cliquez sur Try sample repo. « Select a Demo Codebase » liste des dépôts d’exemple sûrs et préconfigurés, qui contiennent des vulnérabilités volontaires. Cochez-en un ou plusieurs, puis cliquez sur Continue. Choisissez cette voie si vous voulez voir de vrais constats avant que votre équipe sécurité n’approuve une connexion au code de production, ou si vous formez un collègue.

Choose repos. Recherchez, cochez jusqu’à 5 dépôts et définissez la branche de chaque dépôt qui en compte plusieurs. Pour la plupart des fournisseurs, vous pourrez ajouter d’autres dépôts plus tard depuis Assets (leçon 3).

Basic config. Trois paramètres déterminent le premier scan :

Organization name (facultatif).
Compliance standards : choisissez-en un ou plusieurs, par exemple NIS2, DORA, CRA, GDPR, ISO 27001
, PCI DSS v4.0.1 ou SOC 2, ou choisissez « None for now ». Les constats sont mis en correspondance avec chaque référentiel, afin que les rapports fassent apparaître les écarts de couverture. Plexicus fournit des correspondances et des preuves pour vos audits, pas un verdict de conformité. Les référentiels non inclus dans votre offre apparaissent verrouillés.
Scan & report language : les notes de remédiation, le texte des pull requests et les rapports sont rédigés dans cette langue. L’anglais et l’espagnol sont disponibles.

L’ordre compte à cette étape. Plexicus ne crée les dépôts et ne lance leur premier scan que lorsque vous cliquez sur Start scan. C’est ainsi que le tout premier scan applique déjà vos référentiels et votre langue. Utilisez « Back to repositories » si vous devez d’abord modifier la sélection.

Scanning. « Scanning in progress » suit l’analyse. Inutile d’attendre sur cet écran : le bandeau « Your scan is running in the background » vous permet de passer à Assets pendant que le scan se poursuit sur le serveur. Le bouton du bandeau s’intitule Go to dashboard, mais il ouvre Assets, où vous pouvez suivre le scan. Lorsque tous les dépôts atteignent Enriched, l’onboarding se termine et Plexicus vous amène au Dashboard.

Connecter la gestion de code source

Plexicus scanne le code qu’il lit chez votre fournisseur de gestion de code source (SCM), et il livre les correctifs au même endroit, sous forme de pull requests et d’issues. Les autorisations demandées par une connexion correspondent directement à ces deux fonctions. Votre code n’est pas utilisé pour entraîner des modèles d’IA, et les données SaaS restent dans l’UE par défaut.

Après l’onboarding, gérez les connexions dans Settings Configuration Integrations . La section « Source Control (SCM) » indique pour chaque fournisseur Connected ou Not connected, avec un bouton Connect ou Manage. Vous pouvez connecter plusieurs fournisseurs, et Plexicus scanne les dépôts de chacun d’eux.

Référence des fournisseurs

Fournisseur	Mode de connexion	Ce que vous fournissez
GitHub.com	Redirection OAuth, puis installation de l’app GitHub Plexicus	Approuver l’accès à l’organisation, choisir les dépôts
GitHub Enterprise Server	Identifiants de l’instance	URL GitHub Enterprise, avec un jeton d’accès personnel, l’ID client et le secret d’une OAuth App, ou l’ID et la clé privée (PEM) d’une GitHub App
GitLab.com	Redirection OAuth	Approuver les scopes
GitLab Self-Hosted	Application OAuth sur votre GitLab	Gitlab URL, Gitlab Client ID, Gitlab Client Secret
Bitbucket Cloud	Redirection OAuth	Approuver l’accès ; Server et Data Center ne sont pas pris en charge
Gitea	Jeton d’accès	Gitea URL, Token
Forgejo	Jeton d’accès	Forgejo URL, Token
Azure DevOps	Jeton d’accès	Personal Access Token (PAT), Organization URL facultative

Dans Settings Configuration Integrations , les cartes GitHub et GitLab demandent d’abord le type d’instance. C’est là que vous connectez GitHub Enterprise Server ou une instance GitLab autogérée. Avant de planifier un déploiement qui en dépend, faites confirmer par Plexicus la prise en charge de GitHub Enterprise Server pour votre instance.

Les accès nécessaires à Plexicus, et pourquoi

L’accès en lecture couvre la découverte et le scan ; l’accès en écriture couvre la livraison. Le nom des scopes varie selon le fournisseur :

Accès	Pourquoi Plexicus le demande
Lecture des dépôts et des branches	Lister les dépôts, charger les branches et cloner la branche sélectionnée pour le scan
Lecture de l’utilisateur ou du compte	Vérifier le jeton ou le compte et afficher le profil connecté
Écriture des pull requests ou merge requests	Ouvrir des pull requests de remédiation soumises à votre revue (module 7) ainsi que la pull request du pipeline CI
Écriture des issues ou work items	Créer une issue lorsqu’un correctif ne peut pas être livré sous forme de pull request
Webhooks	Savoir quand une pull request Plexicus est fusionnée ou qu’une issue liée est fermée, pour que le constat passe à Fixed
Variables et secrets CI/CD	Enregistrer le jeton du scanner comme secret du dépôt lorsque vous configurez un pipeline

L’accès en écriture ne signifie jamais que Plexicus fusionne. Il ouvre des pull requests ; votre équipe les relit et garde la maîtrise des fusions, et rien ne change automatiquement en production.

Remarques par fournisseur

GitHub.com. Après la redirection OAuth, installez l’app GitHub Plexicus sur le compte ou l’organisation propriétaire de vos dépôts, sélectionnez les dépôts à partager et approuvez explicitement l’accès aux ressources de l’organisation. Si GitHub apparaît comme connecté mais qu’aucun dépôt ne s’affiche, utilisez le bouton Install GitHub App dans le sélecteur de dépôts.
GitLab. Plexicus demande huit scopes : api, read_api, read_user, read_repository, write_repository, openid, profile et email. Pour une instance autogérée, enregistrez une application OAuth sur votre GitLab, cochez Trusted, sélectionnez ces scopes et définissez la Redirect URI sur votre hôte Plexicus suivi de /api/callback/gitlab (en SaaS, https://app.plexicus.ai/api/callback/gitlab). Saisissez ensuite dans Plexicus l’origine de l’instance, l’ID client et le secret, puis cliquez sur Connect.
Bitbucket Cloud. Seul bitbucket.org est pris en charge. Si vous utilisez Bitbucket Data Center, mettez les dépôts en miroir vers un fournisseur pris en charge.
Gitea et Forgejo. Le jeton doit disposer des droits de lecture sur les dépôts et sur l’utilisateur, ainsi que du droit d’écriture sur les dépôts pour les pull requests de remédiation. Plexicus le valide auprès de votre instance avant de l’enregistrer : l’instance doit donc être joignable depuis Plexicus.
Azure DevOps. Accordez au PAT les scopes indiqués dans le texte d’aide du connecteur : Code (Read & Write) et Work Items (Read & Write). La documentation publique mentionne aussi Pull Request Threads (read & write). Laissez Organization URL vide pour https://dev.azure.com, ou saisissez l’URL de votre serveur sur site. La même connexion couvre les projets TFVC ; comme TFVC n’a pas de pull requests, les correctifs TFVC arrivent toujours sous forme d’issues.

Ajouter et gérer les dépôts dans Assets

Assets regroupe vos dépôts, vos registres de conteneurs et vos comptes cloud dans trois onglets : Repo Scan, Registry Audit et Cloud Assessment. Les cibles AI Pentest se trouvent sous Pentest. Cette leçon porte sur Repo Scan.

Ajouter des dépôts

Ouvrez Assets Repo Scan Add Repository . Le même bouton figure aussi dans la barre d’outils de Findings. La suite dépend de vos connexions :

Un seul fournisseur connecté : Manage Repositories s’ouvre directement.
Plusieurs fournisseurs : « Select Source Control » vous demande depuis lequel ajouter. Si Azure DevOps est connecté, la liste comprend « TFVC (Azure DevOps / TFS) ».
Aucun : un message indique que vous n’avez pas encore configuré de gestion de code source et vous redirige vers la page du connecteur.

Dans Manage Repositories :

Recherchez dans la liste. Chaque dépôt porte un badge Private ou Public, et les dépôts déjà ajoutés sont marqués « Repository already exists ».
Cochez jusqu’à 5 dépôts par lot.
Choisissez une Branch pour chaque dépôt sélectionné qui en compte plusieurs.
Si besoin, ouvrez Advanced Options pour choisir les outils de sécurité à exécuter (module 3).
Cliquez sur Launch. Plexicus crée les dépôts et met un scan en file d’attente pour chacun.

Choisissez la branche à partir de laquelle vous livrez réellement. Le scan d’une branche de fonctionnalité obsolète peut signaler une dépendance vulnérable que vous avez déjà mise à jour sur main, ou passer à côté d’une injection SQL fusionnée la semaine dernière.

Le tableau Repo Scan

Les colonnes sont Actions, SCM, Repo, Findings (nombre par sévérité), Pipeline, Priority, Tags, Branch, Creation Date et Finished Scan At. Download exporte la liste au format repositories.csv. Chaque ligne propose les actions suivantes :

Action	Effet
Configure	Choisir les outils de sécurité pour ce dépôt
Re-Scan	Supprimer puis recréer le dépôt, et le scanner à nouveau
Show Findings	Ouvrir Findings filtré sur ce dépôt
Exposure Map	Ouvrir l’analyse d’exposition du dépôt
Show Repository	Ouvrir le dépôt dans votre SCM
Configure Schedule	Ouvre, en lecture seule, le paramètre Schedule Scan commun à toute l’organisation. Il ne s’agit pas d’une planification par dépôt. Disponibilité selon votre offre
Delete Repository	Retirer le dépôt de Plexicus

Pour une cadence de scan fiable, lancez les scans depuis votre pipeline CI (module 3) plutôt que de compter sur une planification.

Tant qu’un dépôt est à l’état queued, running ou enriching, son indicateur d’état remplace ces actions. Sélectionnez plusieurs lignes pour accéder aux actions groupées Re-Scan, Configure et Delete Repository. La suppression groupée est réservée aux rôles Admin et Cyberoper.

Re-Scan ou Finalize Now

Re-Scan repart de zéro. Sa confirmation le dit clairement : il supprime puis recrée le dépôt, en effaçant tous les constats existants. Pour scanner à nouveau un dépôt en conservant ses constats, utilisez Relaunch scan dans l’Activity Center (leçon suivante).

Un scan qui ne progresse plus affiche un badge « Scan Stuck ». Son infobulle indique la dernière activité et le nombre d’outils ayant livré des résultats. Cliquez sur le badge pour ouvrir « Scan Stuck — Action Required », puis choisissez Finalize Now. Plexicus recalcule le nombre de constats et marque le dépôt comme terminé, sans perte de données. Si le scan se déroule en fait normalement, Plexicus refuse de le finaliser et le laisse continuer. Si personne n’intervient, Plexicus finalise de lui-même un scan bloqué depuis plusieurs heures.

Configuration du pipeline CI

Pour les fournisseurs pris en charge, Setup Pipeline dans la colonne Pipeline devient cliquable une fois le dépôt enrichi. Il ouvre une pull request qui ajoute le workflow Plexalyzer au dépôt, et rien ne change dans votre CI tant qu’un membre de votre équipe ne l’a pas fusionnée. Le module 3 présente les fournisseurs pris en charge, les statuts du pipeline et le jeton Plexalyzer.

Suivre un scan

Dans le tableau Repo Scan, la colonne Actions affiche queued, running ou enriching pendant qu’un scan est en cours. Enriching signifie que les scanners ont terminé et que l’enrichissement par IA est toujours en cours. Une fois le dépôt enrichi, cet indicateur disparaît, et les actions de ligne, le nombre de constats et le bouton Pipeline réapparaissent. Enriched signifie que le scan est terminé.

L’Activity Center

Sur la page Assets, la barre d’activité indique combien de scans sont en cours et combien se sont terminés aujourd’hui. Cliquez sur Assets Open Activity Center pour ouvrir le panneau complet. Définissez la portée sur « This view » (le type d’actif courant) ou « All assets », puis filtrez :

Overview : les scans en cours et le dernier résultat de chaque actif.
Running : uniquement les scans en cours.
Issues : les exécutions bloquées ou partielles qui demandent votre attention.
History : toutes les exécutions, des plus récentes aux plus anciennes.

Chaque exécution est une carte dotée d’un indicateur d’étapes :

Phase	Ce qui se passe
Queued	La demande est acceptée et attend un créneau
Preparing environment	L’environnement d’analyse est en cours de préparation
Scanning	Les outils de sécurité s’exécutent
Processing results	Les résultats sont normalisés et ingérés sous forme de constats
Completed	Le scan est terminé
Enriched	L’analyse et la priorisation par IA ont été appliquées

Les cartes proposent View findings, Relaunch scan sur les exécutions terminées (y compris partielles) et Cancel sur celles en cours (après confirmation). Relaunch scan demande un nouveau scan du même dépôt et ne supprime rien. C’est donc l’alternative non destructive à Re-Scan.

Deux états de carte méritent votre attention :

Stalled : aucune progression récente. Plexicus réessaie automatiquement, et l’indicateur d’étapes affiche la tentative en cours.
Partial : certains outils ne se sont pas terminés, et l’indicateur d’étapes l’explique par l’état Degraded. Les constats livrés sont réels, mais les parties non couvertes n’ont pas été scannées : rien ne garantit donc qu’elles soient saines. Cliquez sur Relaunch scan sur la carte pour scanner à nouveau en conservant vos constats. Le texte du produit indique « re-scan recommended », mais l’action de ligne Re-Scan efface tous les constats.

Notifications

La cloche de l’en-tête liste les notifications récentes, avec Mark all as read et Show All Notifications. La page Notifications comporte les onglets All, Success, Failures, Review Requests et Flagged, et vous pouvez sélectionner des éléments pour les supprimer ou les marquer comme lus. Pendant un premier scan, vous pouvez voir des messages comme « Repository created » et « Scan completed ». Un message « Repository creation failed » nomme le dépôt concerné, et un message de couverture partielle vous indique quelle partie du scan ne s’est pas terminée.

Support, dans le pied de la barre latérale ou dans le menu du profil, ouvre un formulaire Contact support : saisissez un Subject, choisissez une Category et une Priority, rédigez un Message et cliquez sur Send ticket. L’équipe répond par e-mail.

Ce que signifie « enriching »

La sortie des scanners est brute. L’enrichissement la transforme en constats que vous pouvez prioriser :

Validation. Chaque constat conserve la sévérité attribuée par le scanner et reçoit en plus une sévérité validée par IA.
Déduplication. Un constat qui répète un constat antérieur au même emplacement devient un doublon. Un constat de dépendance portant sur la même bibliothèque, la même version et la même CVE au même emplacement devient un sous-constat du constat principal.
Contexte. Atteignabilité, EPSS pour les constats associés à une CVE, correspondance CWE vers OWASP Top 10, contrôles OWASP CI/CD Top 10 et vos référentiels de conformité.
Score et responsabilité. Un score de priorité de 0 à 100, une valeur de confiance et un responsable (issue owner) déduit du blame SCM du fichier concerné.

Si votre organisation a activé AI False-Positive Detection, une passe d’IA s’exécute aussi après le scan. Les constats encore en cours d’enrichissement sont masqués par défaut dans la liste des constats, et ceux dont l’analyse est terminée portent la mention « AI-Analysed ». C’est pourquoi la liste peut paraître courte juste après qu’un scan a atteint Completed. Le module 4 détaille chaque champ.

Premier tour du Dashboard

À la fin de l’onboarding, vous arrivez sur le Dashboard. La barre latérale et la palette de commandes ⌘K fonctionnent comme décrit dans le module 1. La palette permet uniquement de passer d’une section à l’autre ; elle ne recherche ni dans les constats ni dans les dépôts.

L’essentiel du cours se trouve derrière les entrées de la barre latérale. Pentest accueille AI Swarm Pentest, affiché sous le nom « AI Pentest » (module 6). Findings est l’espace de triage (module 4), XBOM l’inventaire des composants (module 8) ; la page Automations (Plexicus Automation) est traitée dans le module 9, et Settings dans le module 10.

Filtres et onglets

La barre de filtres définit la période (7d, 30d, 90d, All ou Custom) et le dépôt, et les widgets s’y adaptent. L’onglet actif est conservé dans l’URL : un lien qui se termine par ?tab=compliance ouvre donc directement l’onglet Compliance.

Onglet	Principaux widgets
CISO	Your value, Risk Posture Score, New vs Fixed, Findings Report, Top Risky Repositories, Total Findings, Supply Chain, Internet exposure
DevSecOps	Reachability Split, Aging Buckets, MTTR / Remediation Velocity, Scanner Coverage, Language Risk, OWASP Top 10, OWASP CI/CD Top 10
Compliance	Indicateurs par référentiel (Controls, Open findings, Critical / High, Fixed, Affected assets) et un tableau contrôle par contrôle, selon votre offre
Developer	My repositories, Fix Impact Simulator et des raccourcis « Jump into findings » comme Critical & High et Reachable
Custom	Vos propres tableaux de bord nommés : Create a dashboard, Add widget, Edit layout

Lire vos premiers chiffres

Les totaux ne comptent que ce qui reste à traiter. Ils excluent les doublons, les sous-constats, les faux positifs, les constats supprimés et les constats déjà Fixed : ils peuvent donc être inférieurs au nombre brut signalé par un scan. Les constats de durcissement sont comptés à part des chiffres de vulnérabilités.
Your value affiche des estimations de référence (benchmarks) du temps économisé par les développeurs. Vous pouvez configurer le taux horaire et la devise, mais il s’agit de chiffres de référence, pas de mesures de votre environnement. Présentez-les comme tels.
Risk Posture Score va de 0 à 100 : plus il est élevé, plus le risque est important. Il pondère les constats ouverts par sévérité, accorde plus de poids aux constats dont l’atteignabilité est prouvée, et s’affiche face à une ligne d’appétence au risque, fixe pour l’instant et non configurable.
Scanner Coverage indique à quand remonte le dernier scan de chaque dépôt et de chaque outil. Un dépôt marqué « Never scanned » n’a encore terminé aucun scan.
Compliance affiche « No compliance frameworks configured » si vous avez choisi « None for now » pendant l’onboarding. Son bouton Configure frameworks ouvre l’onglet Regulations des paramètres de votre organisation.

Un widget qui affiche « No data yet » n’a rien à montrer pour les filtres actuels. Élargissez la période, ou vérifiez dans l’Activity Center que l’exécution a atteint Enriched.

Points clés à retenir

L’onboarding comporte quatre étapes : Connect, Choose repos, Basic config et Scanning. Le premier scan ne démarre que lorsque vous cliquez sur Start scan : définissez donc les référentiels de conformité et la langue au préalable. Une base de code de démonstration vous permet d’explorer sans connecter votre propre code.
Chaque autorisation SCM correspond à une tâche : la lecture pour découvrir et scanner, l’écriture pour ouvrir des pull requests et des issues, les webhooks pour passer à Fixed les correctifs fusionnés. Plexicus ne fusionne jamais ; votre équipe garde la maîtrise des fusions.
Ajoutez des dépôts par lots de 5 au maximum depuis Assets Repo Scan , et scannez la branche que vous livrez réellement.
Sur un scan bloqué, utilisez Finalize Now pour conserver les constats. Re-Scan supprime puis recrée le dépôt et efface tous ses constats, tandis que Relaunch scan dans l’Activity Center ne supprime rien.
Un scan est terminé à Enriched, pas à Completed. L’enrichissement ajoute la sévérité validée, la déduplication, l’atteignabilité, l’EPSS, les correspondances, la priorité et la responsabilité. Une exécution Partial (Degraded) livre de vrais constats, mais une couverture incomplète ; comblez l’écart avec Relaunch scan, pas avec Re-Scan.
Les totaux du Dashboard ne comptent que ce qui reste à traiter. Utilisez les onglets et les filtres pour confirmer la couverture avant de commencer le triage.