Checkmarx Ltd. est une entreprise israélienne de cybersécurité spécialisée dans la sécurité applicative, également appelée AppSec. Son métier consiste à aider les organisations à repérer les failles dans les logiciels qu’elles développent, avant leur mise en production mais aussi au fil de leurs évolutions. Présente sur le marché international, elle s’adresse notamment aux entreprises dont les équipes doivent concilier des livraisons fréquentes, des architectures complexes et des exigences de sécurité croissantes.
Des racines dans l’analyse du code
Créée en 2006 par Maty Siman et Emmanuel Benzaquen, Checkmarx s’est d’abord fait connaître grâce à l’analyse statique de sécurité des applications, ou SAST. Cette technique examine le code sans exécuter le programme, afin d’identifier des constructions susceptibles de provoquer des vulnérabilités. Elle permet d’intervenir pendant le développement plutôt que d’attendre les derniers contrôles précédant le déploiement.
L’entreprise a ensuite élargi son périmètre à mesure que les applications incorporaient davantage de composants externes et de services cloud. En 2020, son acquisition par le fonds Hellman & Friedman a marqué une étape importante de son histoire capitalistique. Checkmarx a poursuivi le développement d’une offre réunissant plusieurs familles de tests de sécurité.
Une plateforme pour rapprocher sécurité et développement
Checkmarx One constitue le socle de cette stratégie. La plateforme associe notamment l’analyse statique du code, l’analyse des composants logiciels, ou SCA, et des tests dynamiques, qui observent une application en fonctionnement. L’objectif est de couvrir des risques complémentaires : erreurs de programmation, dépendances open source vulnérables ou comportements exploitables à l’exécution.
L’offre comprend également des capacités consacrées à la sécurité des interfaces de programmation et aux configurations d’infrastructure décrites sous forme de code. Sur ce dernier terrain, Checkmarx porte le projet open source KICS, destiné à détecter des configurations problématiques dans les fichiers d’infrastructure. Ces contrôles répondent à l’élargissement du périmètre applicatif, désormais étroitement lié aux environnements de déploiement.
Au-delà de la détection, l’enjeu est d’intégrer les résultats aux outils quotidiens des développeurs et aux chaînes d’intégration et de livraison continues. Checkmarx propose des intégrations et des indications de remédiation pour faciliter le traitement des alertes. La valeur de ces dispositifs dépend notamment de leur capacité à contextualiser les résultats, à limiter le bruit et à orienter les équipes vers les corrections prioritaires.
Et maintenant ?
La diffusion des assistants de programmation fondés sur l’intelligence artificielle renforce le besoin de vérifier le code, quelle que soit son origine. Pour Checkmarx, la perspective est double : contrôler des volumes de logiciels potentiellement plus importants et employer l’automatisation pour accélérer l’analyse et la remédiation. Dans un marché concurrentiel, sa trajectoire dépendra de la pertinence des alertes, de la simplicité d’intégration et de sa capacité à démontrer une réduction effective des risques. La sécurité applicative ne se résume toutefois pas à un outil : elle suppose aussi des pratiques de développement et une gouvernance adaptées.