Scandar et Socket
Socket est un pare-feu et scanner hébergé de la chaîne d'approvisionnement. Scandar lit le lockfile du dépôt et ouvre une pull request.
Informations vérifiées le 25 octobre 2026 ; les plans évoluent, consultez leur site.
| Scandar | Socket | Source | |
|---|---|---|---|
| Prix publié | Les prix sont ceux que Polar est configuré pour vendre sur ce serveur, affichés sur la page Tarifs. Tant que les paiements ne sont pas configurés, toutes les fonctionnalités sont ouvertes et toutes les limites sont illimitées. Le produit n'a pas de prix par développeur. | Le tableau comparatif liste Free à 0 $, Team à 25 $ et Business à 50 $ par siège développeur et par mois. Enterprise est sur mesure. | Tarifs Socket Vérifié le 25 octobre 2026 |
| Sièges développeurs | Pas de nombre de sièges. Plusieurs personnes partagent un plan via une organisation quand cette fonctionnalité est active. | Le tableau comparatif liste 1 siège sur Free, à partir de 5 sur Team, à partir de 20 sur Business, et sur mesure sur Enterprise. | Tarifs Socket Vérifié le 25 octobre 2026 |
| Scans par mois | Les scans publics et connectés suivent les limites de cette app, pas un compteur tiers. | Le tableau comparatif liste 1 000 scans/mois sur Free, 5 000 sur Team et un nombre illimité sur Business et Enterprise. | Tarifs Socket Vérifié le 25 octobre 2026 |
| Atteignabilité | Atteignabilité par import et require pour le code lisible. Pas au niveau des fonctions. | Le tableau comparatif indique l'analyse d'atteignabilité comme non incluse dans Free et incluse à partir de Team. L'atteignabilité complète des CVE au niveau des fonctions est réservée à Enterprise. | Tarifs Socket Vérifié le 25 octobre 2026 |
| Paquets malveillants | Les alertes OSV dont l'identifiant commence par MAL- apparaissent en premier, avec la consigne de retirer le paquet. | Le tableau comparatif indique le blocage des paquets malveillants à l'installation comme inclus dans tous les plans. | Tarifs Socket Vérifié le 25 octobre 2026 |
| SAST, secrets, conteneurs | Ne fait pas partie de Scandar. | Sous Socket Basics, le tableau comparatif liste les langages SAST et les détecteurs de secrets comme non inclus jusqu'à Enterprise, qui affiche plus de 15 langages et plus de 800 détecteurs de secrets. Les registres publics de conteneurs sont listés sur Enterprise. | Tarifs Socket Vérifié le 25 octobre 2026 |
| Code source | L'archive du dépôt est téléchargée pour que le scan voie quels paquets le code importe. | La FAQ tarifaire indique que le code source ne quitte jamais votre ordinateur ni votre environnement CI. Seule la liste des dépendances est envoyée à Socket. | Tarifs Socket Vérifié le 25 octobre 2026 |
| Open source et facturation annuelle | Les pages publiques de paquets et de CVE se lisent gratuitement. Les scans de dépôts suivent les limites ci-dessus. | La FAQ indique que Socket est gratuit pour l'open source et que le paiement annuel économise jusqu'à 20 % par rapport au mensuel. Un développeur est une personne ayant commité sur un dépôt analysé par Socket au cours des 90 derniers jours. | Tarifs Socket Vérifié le 25 octobre 2026 |
Là où Scandar convient
- Une pull request de correction liste chaque paquet, la version de départ et d'arrivée, si le changement est direct ou un override, et les identifiants d'alerte. Quand une explication est déjà en cache, la pull request ajoute une section « In plain words ». Ouvrir la page n'appelle pas le modèle.
- La priorité tient compte du fait que le projet importe ou non le paquet, pas seulement de la sévérité de l'alerte.
- Un processus Node que vous hébergez. Le scan lit le lockfile que vous avez déjà commité.
Là où Socket va plus loin
- Le tableau comparatif liste « block malicious packages at install » comme inclus dans Free, Team, Business et Enterprise. Scandar signale les alertes malware d'OSV ; il ne se place pas devant npm install.
- L'analyse d'atteignabilité est listée à partir de Team, et l'atteignabilité complète des CVE au niveau des fonctions seulement dans Enterprise. Scandar s'arrête aux imports et aux require.
- Leur FAQ indique que le code source ne quitte jamais votre ordinateur ni votre CI, et que seule la liste des dépendances est envoyée. Scandar télécharge l'archive du dépôt pour voir quels paquets sont importés.
- Enterprise liste le SAST (plus de 15 langages), plus de 800 détecteurs de secrets et les registres publics de conteneurs. Scandar ne fait rien de tout cela.
Lequel choisir
Choisissez Socket si vous voulez un pare-feu hébergé qui bloque les installations malveillantes, une atteignabilité au-delà des imports, ou du SAST, des secrets et des conteneurs avec le plan Enterprise.
Choisissez Scandar si vous voulez le correctif écrit sous forme de pull request sur votre dépôt, avec l'alerte expliquée simplement quand ce texte est déjà en cache.