Rustine
Je suis une agenceEN

Rustine et VICE : qu'est-ce qui change ?

Vérifié le 15 octobre 2026 · 6 min

Sommaire

Commençons par l'essentiel : une partie du moteur de Rustine est dérivée du code open source de VICE, publié sous licence MIT par Webba Creative Technologies. Sans ce travail ouvert, Rustine n'existerait pas sous cette forme. Les deux sont français et scannent les sites codés avec l'IA, mais ils ne s'adressent pas tout à fait aux mêmes personnes.

Faits relevés le 15 octobre 2026 sur le site, la documentation et le dépôt GitHub de VICE, liés sous le tableau et en bas de page. Les offres changent : vérifie sur leur site avant de choisir. Une erreur ? Écris-nous à hello@rustine.io, on corrige.

Point par point

CritèreRustineVICE (relevé le 15/10/2026)
Ce que c'estUn service hébergé : tu colles l'adresse de ton site, rien à installer.Un moteur open source (une CLI sous licence MIT) et une plateforme hébergée qui ajoute l'historique, les corrections et la surveillance. [4][15]
Pour quiLes vibecodeurs, freelances et petites agences, y compris ceux qui ne codent pas.Les « indie builders » : fondateurs solo, freelances et petites équipes qui publient un produit. [1]
Offre gratuite1 projet, 10 scans rapides par mois, 3 correctifs offerts en prompt. Pas d'audit complet.Des scans légers publics, 1 domaine suivi, les en-têtes de sécurité et TLS. [3]
Première offre payanteSolo : 19 € par mois, TTC. 1 projet, jusqu'à 5 adresses, 30 audits complets par mois.Solo : 9 euros par mois, ou 84 euros par an. 3 domaines, 10 scans complets ou spécialisés par mois. TVA non applicable (franchise en base). [3][13]
Plusieurs sitesPro : 49 € par mois, TTC. 10 projets.Pro : 29 euros par mois, ou 276 euros par an. 10 domaines, scans complets illimités, rapports en marque blanche. [3]
Revérification automatiqueL'audit complet de tes sites prouvés, refait chaque semaine, dès Solo.Des audits programmés chaque jour, chaque semaine ou chaque mois, sur un domaine vérifié. [9]
AlertesUn e-mail quand une faille publiée touche une version que tu utilises (Solo, Pro).Par e-mail et sur Discord. [3][9]
CorrectifsUn prompt à coller dans ton agent. Avec Solo et Pro, Rustine écrit aussi le code du correctif (AI Fix).Un prompt avec la preuve du problème, à donner à ton assistant de code. [5]
Serveur MCPEssai de 14 jours avec Solo, complet avec Pro.Aucun serveur MCP mentionné sur le site ni dans le dépôt. [5][15]
CLI et intégration continuePas encore : la CLI et l'intégration continue sont annoncées, pas sorties.Oui : CLI open source, mode CI qui fait échouer le build, GitHub Action qui commente la pull request et exporte en SARIF. [15][5]
Code du projetTon dépôt GitHub en lecture seule, Solo et Pro : JavaScript, TypeScript, React Native, Python, PHP, Swift (iOS), Kotlin (Android).Un audit local du dossier du projet : code source, fichiers .env, npm audit, migrations Supabase, historique git. [15]
SupabaseAprès preuve, l'audit complet compte les lignes lisibles avec la clé anon, sans en lire une. Supabase connecté : tes policies lues une à une, dont using (true).Un module dédié : avec l'URL du projet et la clé anon, les tables sans RLS, les policies trop larges, les buckets exposés et les edge functions. [6]
FirebaseAprès preuve : Realtime Database, Storage et Firestore testés en lecture anonyme. Sur GitHub : les règles en if true.Pas de module Firebase sur le site ; les clés Firebase sont repérées dans le code envoyé au navigateur. [5][15]
WordPressLes extensions et thèmes visibles sur ta page, leur version estimée, rapprochés de la base de failles Wordfence.Un module WordPress : énumération des utilisateurs, XML-RPC, page de connexion par défaut, cron public. [7]
Tests actifs et preuveSeulement après preuve que le site est à toi, en lecture. Jamais d'injection, jamais d'exploitation.Sur la plateforme, les scans complets attendent une preuve par DNS (TXT). La documentation de la CLI ne parle pas de preuve : elle rappelle qu'elle sert aux tests autorisés. [11][4][15]
LanguesFrançais et anglais : l'app, les rapports, les correctifs.Site en anglais et en français ; documentation en anglais. [2][12]
Éditeur, droit, hébergementMBEN DEV, SARL française. Droit français. L'app, l'API et la base en Finlande (Hetzner), les scans à Paris.Webba Creative Technologies, entrepreneur individuel à Nogent-sur-Marne. Droit français. Site hébergé par OVH, en France. [14][13]

D'où vient le moteur de Rustine

  • Le moteur de Rustine est parti d'une copie de vice-security 3.5.0, le moteur open source de VICE, publié sous licence MIT par Webba Creative Technologies. La notice de copyright et le texte de la licence sont gardés dans le code de Rustine et en tête des fichiers repris. [15]
  • On a gardé son socle de lecture et ses détecteurs passifs, avec leurs tests. On a réécrit en TypeScript ce qui les orchestre : la portée, la preuve, le score, les rapports, un fichier par contrôle.
  • Rustine construit par-dessus : un service hébergé pour qui ne code pas, la preuve de propriété avant tout test actif (article 323-1 du Code pénal), des correctifs écrits pour ton agent IA, l'analyse du code iOS et Android, le tout en français.
  • Merci à VICE et à son auteur d'avoir publié ce travail en open source.

Ce que VICE fait mieux aujourd'hui

  • Le code est ouvert : tu peux lire chaque règle et lancer le moteur toi-même, sur ta machine ou dans ta CI, sans compte. [4][15]
  • L'intégration continue est prête : GitHub Action, commentaire sur la pull request, export SARIF vers GitHub Code Scanning. Chez Rustine, la CLI et la CI ne sont pas encore sorties. [15]
  • L'entrée est moins chère : 9 euros par mois en Solo, contre 19 € TTC pour Solo chez Rustine. Et un scan complet à l'unité coûte 7 euros, sans abonnement. [3]
  • Plus de sites par offre : 3 domaines en Solo, quand Solo chez Rustine couvre 1 projet. [3]
  • La surveillance peut tourner chaque jour, et les alertes arrivent aussi sur Discord. Rustine revérifie chaque semaine et écrit par e-mail. [9]
  • Un module pour les apps IA et RAG : injection de prompt, fuite des instructions système, isolation entre clients. [8]
  • Les audits peuvent réutiliser une session de test pour atteindre les pages réservées aux membres. [10]

Ce que Rustine ajoute

  • Rien à installer ni à régler : tu colles l'adresse de ton site et tu lis le résultat en français, sans jargon.
  • Les tests actifs restent en lecture seule, et seulement après la preuve que le site est à toi : jamais d'injection ni d'exploitation, dans le cadre de l'article 323-1 du Code pénal.
  • Firebase : Realtime Database, Storage et Firestore testés en lecture anonyme après preuve, et les règles ouvertes repérées dans ton code.
  • WordPress : les extensions et thèmes reconnus sur ta page, rapprochés des failles connues de Wordfence.
  • AI Fix : avec Solo et Pro, Rustine écrit le code du correctif, pas seulement le prompt. Et un serveur MCP, pour que ton agent lance un scan et lise les résultats lui-même.
  • Le code GitHub en Python, PHP, Swift (iOS) et Kotlin (Android), en plus de JavaScript et TypeScript.

Qui devrait choisir quoi

  • VICE, si tu codes et veux un outil ouvert dans ton terminal et ta CI, si tu veux des scans authentifiés ou tester une app IA, ou si ton budget est serré. [4][3]
  • Rustine, si tu ne veux rien installer, si ton app tourne sur Firebase ou WordPress, si tu veux que l'outil écrive le correctif, ou si tu as une app mobile sans site.
  • Les deux ont une offre gratuite : lance-les sur ton site et compare ce qu'ils trouvent.

Scanne ton site, c'est gratuit

Colle ton adresse : le scan rapide lit ce que voit un visiteur, rien de plus. Le détail s'affiche une fois que tu as prouvé que le site est à toi.

Outils gratuitsTest des en-têtes de sécurité

Questions

Rustine est-il une copie de VICE ?

Le moteur de Rustine est parti du code open source de VICE, ce que sa licence MIT permet, avec la notice de copyright gardée. Le socle de lecture et les détecteurs passifs viennent de là. La portée, la preuve, le score, les correctifs, l'analyse du code GitHub et tout le service autour ont été écrits pour Rustine.

Pourquoi payer Rustine si le moteur de VICE est gratuit ?

Si tu sais lancer une CLI et lire ce qu'elle trouve, le moteur libre de VICE peut te suffire. Rustine s'adresse à ceux qui veulent un service prêt : rien à installer, la preuve de propriété gérée, des rapports en français et des correctifs pour leur agent.

VICE et Rustine sont-ils liés ?

Non, ce sont deux éditeurs indépendants. Rustine utilise le code de VICE comme sa licence MIT le permet, et le cite.

Sources

  1. VICE, Home page, consulté le 15/10/2026
  2. VICE, Page d'accueil (version française), consulté le 15/10/2026
  3. VICE, Pricing, consulté le 15/10/2026
  4. VICE, Verified, scoped, evidence-first security, consulté le 15/10/2026
  5. VICE, Features, consulté le 15/10/2026
  6. VICE, Supabase Deep Scan for RLS, storage and auth, consulté le 15/10/2026
  7. VICE, WordPress security scanning, consulté le 15/10/2026
  8. VICE, AI and RAG security scanning, consulté le 15/10/2026
  9. VICE, Website security monitoring and alerts (documentation), consulté le 15/10/2026
  10. VICE, Audits (documentation), consulté le 15/10/2026
  11. VICE, Audit modes and responsible security scanning (documentation), consulté le 15/10/2026
  12. VICE, VICE Docs: Platform, CLI, and GitHub Action, consulté le 15/10/2026
  13. VICE, Terms of service (version of July 11, 2026), consulté le 15/10/2026
  14. VICE, Legal notice and publisher information, consulté le 15/10/2026
  15. Webba Creative Technologies, vice (GitHub repository, MIT licence, release 3.5.0), consulté le 15/10/2026