Rapports et exports

Scanyze produit plusieurs formats de rapports adaptés à chaque audience et à chaque flux de travail.

Vue d'ensemble

Rapports IA pour Code Scanning

Voir la page dédiée : Rapports IA — 3 formats. Trois artefacts générés simultanément à chaque rapport AI : executive.pdf, technical.pdf, machine.md, tous uploadés sur S3 avec hash SHA-256.

Rapports EASM

PDF Exécutif EASM

5-10 pages :

• Couverture avec branding (logo tenant si custom branding actif)
• Synthèse de la posture (score, tendance vs précédent)
• Top 10 findings critiques
• Carte des sous-domaines/services exposés
• Recommandations stratégiques
• Méthodologie résumée

PDF Technique EASM

30-100 pages selon le périmètre :

• Tous les findings groupés par catégorie (TLS, DNS, HTTP, Vulns, Email, etc.)
• Pour chaque finding : description, severity, CVSS, CWE, CVE, evidence brute, recommandation
• Attack Paths : chaînes d'exploitation détectées
• SBOM : technologies détectées avec versions
• Annexes : raw outputs Nmap, Nuclei, TestSSL

Rapports Pentest IA

PDF Exécutif Pentest

• Résumé de la mission, scope effectif, durée
• Top findings avec impact business
• Score de posture pentest
• Conformité avec les autorisations
• Recommandations stratégiques

PDF Technique Pentest

• Méthodologie détaillée par phase
• Pour chaque finding : steps to reproduce, evidence (payloads, captures), recommandation
• Exploit chains reconstituées
• Annexes raw

Exports vers d'autres produits SecuAAS

vCISO Platform

Si vous utilisez vCISO Platform, vous pouvez exporter automatiquement les findings de Scanyze comme evidence d'audit :

1. Settings → Intégrations → vCISO Platform → connecter
2. Choisir le mode :
   • Push automatique : tous les findings critiques sont automatiquement envoyés à vCISO
   • Push manuel : sur la page d'un finding, bouton Envoyer à vCISO
3. Côté vCISO, le finding apparaît dans le module Evidence avec un lien retour vers Scanyze.

Endpoints utilisés : /v1/findings/{id}/vciso-evidence (secuscan-api/internal/api/handlers/vciso_evidence.go).

ConformVault

Pour archiver les rapports PDF dans ConformVault (stockage chiffré conforme Loi 25) :

1. Settings → Intégrations → ConformVault → connecter
2. Choisir le dossier ConformVault de destination
3. À chaque rapport généré, une copie est automatiquement uploadée dans ConformVault
4. Les rapports sont chiffrés AES-256-GCM avec votre clé d'organisation, accessibles uniquement par vos utilisateurs ConformVault autorisés

Exports vers tickets

Jira

1. Settings → Intégrations → Jira → connecter (URL + email + API token)
2. Mapper les sévérités vers les priorités Jira (critical → Highest, etc.)
3. Choisir le projet Jira de destination
4. Sur un finding : Créer un ticket Jira crée un issue avec titre, description, sévérité, lien retour

Slack

Pour notifications uniquement (pas de création de ticket) :

1. Settings → Intégrations → Slack → ajouter le webhook
2. Choisir le canal et les types d'événements (new finding critical, scan completed, etc.)

Teams

Idem Slack, via Microsoft Teams Incoming Webhook.

PagerDuty

Pour les findings critical uniquement, déclenche un incident PagerDuty (plan Business+).

Exports automatisés (batch reports)

Disponible plan Business+. /reports/batch permet de :

• Générer des rapports périodiques (hebdo, mensuel, trimestriel)
• Avec agrégation multi-cibles ou multi-workspaces
• Envoyés automatiquement par email à une liste de destinataires
• En PDF + Markdown
• Avec comparaison vs période précédente (deltas)

Idéal pour les rapports board-level mensuels, les revues client trimestrielles, les rapports de gouvernance.

SBOM (Software Bill of Materials)

Format CycloneDX 1.5 standard. Contient :

• Tous les composants logiciels détectés (web servers, frameworks, librairies front, dépendances back)
• Version de chaque composant
• Licences détectées
• Vulnérabilités CVE associées (cross-référencées avec OSV.dev)

Téléchargeable depuis /scans/{id}/sbom ou /code/scans/{id}/sbom.

SARIF (pour GitHub, GitLab Code Scanning)

Format SARIF 2.1.0 standard supporté nativement par GitHub Code Scanning et GitLab :

• Téléchargeable depuis /code/scans/{id}/sarif
• Peut être uploadé directement dans GitHub Security via code-scanning/upload-sarif action
• Tous les findings sont mappés en SARIF rules avec ruleId, level, message, locations

Rétention des rapports

Au-delà de la période, les rapports sont supprimés du stockage S3 mais les findings restent en base (avec leur evidence). La régénération d'un rapport à partir des findings reste possible (consomme à nouveau des crédits IA).

Sources de cette page

• Backend : secuscan-api/internal/services/report/, secuscan-api/internal/api/handlers/batch_reports.go, secuscan-api/internal/services/scanner/report_pdf.go
• Renderer PDF : johnfercher/maroto v2
• S3 / MinIO : secuscan-api/internal/services/storage/

---

À jour pour Scanyze v0.130.x.