Foire aux questions

Une plateforme qui mesure si vos développeurs savent relire du code — celui d’un collègue ou d’un assistant IA — et vous permet de montrer leur progression à vos clients. Vos développeurs passent des évaluations de vingt questions notées sur l’OWASP Top 10:2025 ; vous obtenez leur niveau par famille de vulnérabilités, un niveau de formation recommandé pour chacun, et un rapport partageable qui prouve leur engagement dans le temps. Nous ne vendons pas de formation : nous mesurons.

Aux DSI, RSSI et lead développeurs qui doivent arbitrer un budget de formation ou répondre à un questionnaire de sécurité fournisseur, et aux développeurs eux-mêmes, qui utilisent gratuitement toute la plateforme pour situer leur niveau. Un compte entreprise se crée avec une adresse e-mail professionnelle.

Oui, jusqu’à dix développeurs, sans limite de durée et sans carte bancaire. Le plan Free donne l’essentiel du produit : la banque entière, dans les quatre langues, enrichie au fil de l’actualité, le tableau de bord, l’export CSV et le rapport partageable. Les rôles admin et manager, les équipes et le retrait de membres sont réservés au plan Pro. Au-delà de dix développeurs, le plan Pro coûte 40 € par mois, facturés à l’année (480 € HT par an), sans limite de développeurs. Le plan Enterprise, pour un déploiement sur votre propre infrastructure, est étudié sur devis.

L’OWASP Top 10:2025 : contrôle d’accès, mauvaises configurations, chaîne d’approvisionnement logicielle, cryptographie, injection, conception non sécurisée, authentification, intégrité, journalisation et gestion des conditions exceptionnelles. Des questions sur les dix familles, réparties sur trois niveaux, dont du code à relire en JavaScript, Python, C#, Go, Java, PHP, SQL, TypeScript et YAML ; les autres portent sur les principes, les mécanismes et les erreurs de conception que l’on rencontre en relecture. Chaque évaluation en tire vingt au hasard. Ce qui distingue la banque n’est pas sa taille mais son mouvement : une veille suit l’actualité des failles exploitées, les évolutions des recommandations OWASP et le réglementaire, et ce qui change une pratique de développement devient une question, ajoutée à la mise à jour suivante de la banque. Chaque réponse est expliquée.

Non. Rien ne se connecte à votre code : ni dépôt, ni chaîne d’intégration, ni jeton. Nous évaluons vos développeurs, pas vos applications.

Oui. Relire du code est une seule compétence, quel qu’en soit l’auteur — un collègue ou un assistant IA. Nous évaluons la personne qui approuve le code, pas l’outil qui l’a écrit.

Non. Il rapporte la progression de vos développeurs, famille par famille. Il ne nomme ni vos outils, ni vos dépôts.

Non : NakamaCyber ne délivre pas de certificat, il mesure dans la durée. Vos développeurs passent régulièrement des évaluations de relecture de code sur l’OWASP Top 10:2025, et le rapport montre leur engagement, leur régularité et leur progression mois après mois : une preuve datée, que votre client ou votre auditeur ouvre sans compte.

Non. Nous évaluons, nous recommandons un niveau de formation par développeur, et nous mesurons l’écart ensuite. Le choix du prestataire vous appartient : un juge qui vend ses propres cours n’est plus un juge.

C’est le niveau immédiatement supérieur au plus haut niveau que le développeur a déjà réussi avec au moins quatre-vingts pour cent de bonnes réponses. Un développeur qui n’a pas encore atteint ce seuil en débutant reste conseillé en débutant ; celui qui a réussi l’expert est signalé comme n’ayant plus de niveau au-dessus. La règle est simple exprès : elle doit pouvoir être expliquée à la personne concernée.

C’est un document en lecture seule que vous publiez en un clic depuis l’onglet Conformité et que vous envoyez à un client, à un donneur d’ordres ou à un service achats. Il s’ouvre sans compte, dans la langue de votre choix, et montre la participation de vos développeurs, leur régularité mois par mois, leur progression en indice base cent sur douze mois et la couverture mesurée des dix familles OWASP. Il ne contient aucune donnée personnelle : ni nom, ni adresse, ni résultat individuel. En dessous de cinq participants actifs, il se réduit automatiquement. Le lien est révocable, expire au bout de trente, quatre-vingt-dix ou cent quatre-vingts jours, et son contenu est figé au moment de la publication. Un exemple complet est consultable sur la page Rapport d’exemple.

Voir un rapport d’exemple

Non, et ce n’est pas son rôle. Le rapport partagé est volontairement anonyme parce qu’il est destiné à un tiers. Pour votre audit interne, les admins et les managers exportent un fichier CSV de vingt-trois colonnes contenant, développeur par développeur, la moyenne, les scores par niveau, la catégorie prioritaire, la date de la dernière évaluation et le niveau de formation recommandé. Deux documents, deux destinataires.

Non. NakamaCyber n’atteste d’aucune conformité et ne délivre aucun agrément. Le rapport cite ces textes pour vous aider à situer ce qu’il apporte à un dossier — une trace datée d’évaluations régulières de vos développeurs, ce que PCI-DSS attend tous les douze mois au titre de son exigence 6.2.2 — et il indique, ligne par ligne, ce qu’il n’apporte pas : le caractère obligatoire des modules, la couverture de l’ensemble du personnel ou la preuve nominative que réclame un auditeur.

Un développeur ne voit que ses propres résultats. Un manager ne voit que les développeurs de son équipe. Un admin voit toute l’entreprise et peut promouvoir des admins, nommer des managers et publier des rapports. Le compte propriétaire ne passe pas d’évaluation : c’est un compte de gestion. Ce cloisonnement est appliqué côté serveur par les règles d’accès à la base, pas seulement par l’interface, et il est rejoué à chaque déploiement par une suite de tests dédiée. L’interface et les questions existent en français, anglais, espagnol et portugais.

La base de données de l’application (Firestore) est hébergée sur Google Cloud, dans la multi-région européenne eur3, entre la Belgique et les Pays-Bas ; les comptes de connexion sont gérés par Firebase Authentication, dont la localisation et les transferts sont décrits dans notre politique de confidentialité. Nous ne vendons ni ne cédons vos données ; la même politique détaille les traitements et les sous-traitants. NakamaCyber est édité par Nakama, Sociedade por Quotas, Lda, société portugaise, et financé par ses abonnements Pro et Enterprise, pas par de la publicité ni par la revente de données. Le plan Free est notre canal d’acquisition : il n’a pas vocation à disparaître, mais nous n’écrivons pas « gratuit pour toujours », parce que personne ne peut l’écrire honnêtement.