Bien démarrer avec GVO

GVO (GoodVibesOnly) est un moteur d'audit technique indépendant conçu pour évaluer la sécurité, la fiabilité, les flux financiers et la qualité des applications web modernes, en particulier celles construites ou accélérées avec l'assistance d'outils IA (vibe coding).

Contrairement aux outils de scanning génériques, GVO n'utilise pas d'intelligence artificielle pour décider arbitrairement si votre code est vulnérable. Son analyse repose sur des vérifications statiques déterministes qui tracent les flux de données depuis leurs points d'entrée (sources) jusqu'aux points d'exécution sensible (sinks).

Ce guide présente les étapes concrètes pour prendre en main l'application dès votre première connexion.

Le parcours utilisateur en 6 étapes

flowchart LR
    A[1. Sélection du projet] --> B[2. Lancement de l'audit]
    B --> C[3. Consultation de la synthèse]
    C --> D[4. Inspection des findings]
    D --> E[5. Application du prompt de correction]
    E --> F[6. Qualification avec Review Memory]

1. Lancer un premier audit

Pour analyser votre application, vous disposez de deux modes d'accès selon votre contexte :

1. L'Audit Express par URL : accessible directement depuis la page d'accueil ou l'onglet Express. Il analyse les en-têtes HTTP publics, la surface réseau exposée, les métadonnées et la configuration externe d'un site en production sans nécessiter d'accès au code source.
2. L'Audit de Dépôt Complet : depuis votre Tableau de bord, vous connectez votre organisation GitHub et sélectionnez le dépôt à examiner. GVO clone temporairement l'arborescence dans un environnement éphémère et lance les packs d'analyse de code (sécurité, authentification, données, fiabilité, paiements).

Une fois l'analyse lancée, l'interface bascule sur un écran de suivi en direct (/audit/[id]/running) qui affiche l'avancement étape par étape : découverte des fichiers, construction du graphe d'appels, exécution des règles du catalogue et synthèse du rapport.

2. Lire le résumé de l'audit

À la fin de l'exécution, vous arrivez sur la vue du rapport (/audit/[id]). Le haut de page présente une vue synthétique :

• Le Score GVO et la Note de Santé : un indice global calculé à partir de la criticité des signaux détectés et du volume de règles validées avec succès.
• Les Compteurs par Verdict : la répartition stricte entre les problèmes confirmés, les risques probables, les protections non démontrées et les points à vérifier. Pour comprendre ces catégories de preuve, consultez le guide des Statuts GVO.
• La Répartition par Domaine : l'état d'évaluation des 10 familles d'ingénierie (Sécurité, Authentification, Données, Paiements, Fiabilité, Observabilité, Performance, Santé du code, Conformité, Mobile).

3. Ouvrir et inspecter un finding

La liste détaillée regroupe l'ensemble des observations techniques identifiées dans votre application. Chaque carte d'observation synthétise :

• L'intitulé métier du problème et sa sévérité (Critique, Élevé, Moyen, Faible, Info).
• Le domaine d'ingénierie concerné.
• Un résumé concis du constat.

En cliquant sur la carte, vous dépliez les détails exhaustifs :

1. Pourquoi c'est important : une explication claire de l'impact opérationnel ou de sécurité en langage naturel.
2. Ce qu'il faut faire : la consigne technique ciblée pour éliminer le problème.
3. Extraits de code & preuves : le fichier précis, le numéro de ligne et l'extrait incriminé détecté par le moteur.
4. Lien vers le Wiki : lorsque le signal correspond à un concept architectural fondamental, un lien direct vers l'encyclopédie technique (par exemple le guide des webhooks Stripe ou la sécurité XSS) est affiché.

Pour en savoir plus sur l'anatomie complète d'une détection, consultez Comprendre un finding GVO.

4. Comprendre le niveau de preuve

Tous les findings n'ont pas la même valeur d'affirmation :

• Un signal Confirmé signifie que GVO a identifié dans le code à la fois la source non fiable et le sink sensible sans aucune barrière de protection observable.
• Un signal À vérifier ou Protection non démontrée signale une structure potentiellement risquée mais dont la mitigation complète dépend peut-être d'une configuration externe (proxy, passerelle cloud, middleware déporté) que l'analyse locale du dépôt ne peut pas affirmer seule.

Consultez le guide détaillé Comprendre les statuts GVO pour adapter votre réaction selon le niveau de certitude.

5. Corriger avec les prompts déterministes

GVO ne modifie pas vos fichiers source de manière autonome. Pour chaque problème détecté, l'application génère un prompt de correction structuré prêt à l'emploi :

1. Cliquez sur « Copier prompt de correction » ou dépliez le tiroir du terminal dark mode.
2. Collez le prompt directement dans votre assistant de code (Cursor, Claude Code, GitHub Copilot ou ChatGPT).
3. Le prompt contient le rôle, le chemin du fichier, le contexte incriminé, l'explication du risque et le patron de code sécurisé à appliquer.
4. Une fois la correction validée et commitée dans votre dépôt Git, relancez un audit pour constater la résolution du signal.

6. Qualifier avec Review Memory

Dans certains cas légitimes, une observation signalée par GVO est protégée par un mécanisme externe démontrable (par exemple un endpoint fixe vérifié ou une politique de sécurité externe).

Au lieu d'ignorer arbitrairement l'alerte ou de la masquer d'un simple clic sans justification :

1. Utilisez l'action « Importer qualification » associée au finding.
2. Review Memory enregistre formellement votre justification technique liée à la version exacte de la règle.
3. Lors des prochains audits, GVO revalide statiquement que la condition de protection est toujours vérifiée dans le code avant de projeter le finding comme résolu.

Pour comprendre le fonctionnement de ce système de mémoire déterministe, consultez Review Memory.

Le bon réflexe

Le but d'un audit technique n'est pas de faire disparaître tous les compteurs à zéro de manière impulsive :

• Ne modifiez pas du code fonctionnel sans comprendre le risque sous-jacent.
• Donnez la priorité absolue aux signaux Critiques et Élevés sur vos routes de paiement, d'authentification et de mutations de base de données.
• Utilisez la documentation produit et le Knowledge Center pour monter en compétences sur les patterns d'ingénierie sécurisés.