Un chercheur, deux CVE, un advisory Apple.

La plupart des sites d'audit affirment « une équipe d'experts ». C'est invérifiable. Voici plutôt ce qui est public, daté, et que vous pouvez contrôler vous-même en trois clics.

Qui calibre le moteur

Hydra est édité par Héra, une SAS française immatriculée sous le SIREN 104 229 869. Le moteur d'audit est calibré par Adel Bouachraoui, chercheur en sécurité offensive, président de la société.

Cela veut dire une chose précise : les règles de détection ne viennent pas d'une base de signatures achetée, mais de la recherche de vulnérabilités réelles — le même travail qui consiste à lire du code, modéliser ses invariants, et démontrer qu'une hypothèse d'exploitation tient ou ne tient pas.

Ce qui est public et vérifiable

Deux vulnérabilités trouvées et publiées, chez deux éditeurs indépendants l'un de l'autre.

CVE-2026-12478 — GNOME libsoup

Lecture hors limites dans le traitement des WebSockets (CWE-125), publiée le 14 juillet 2026. Le correctif a été intégré en amont dans le projet. Red Hat crédite nommément, dans son avis de sécurité :

À vérifier : access.redhat.com · NVD

CVE-2026-28962 — WebKit, advisory Apple 127121

Corrigée dans Safari 26.5, publiée le 13 mai 2026. Le crédit est partagé avec cinq autres chercheurs — Apple liste six noms pour cette entrée, et il serait malhonnête de la présenter autrement :

À vérifier : support.apple.com/127121 · cve.org · miroir Full Disclosure

Ce que ça ne prouve pas

Deux CVE ne font pas une garantie. Elles prouvent une chose limitée mais utile : que la personne qui règle le moteur a déjà démontré une exploitation devant des équipes de sécurité qui n'avaient aucune raison de lui faire plaisir, et que le correctif a été accepté en amont.

Ce que nous ne revendiquons pas, faute de pouvoir le prouver publiquement : aucune qualification PASSI de l'ANSSI, aucune certification ISO en propre, aucun chiffre de clients. Quand un texte ou un donneur d'ordre exige une qualification PASSI, nos prestations ne s'y substituent pas — nous le disons avant le devis, pas après.

Pourquoi la preuve d'exploitation, plutôt que le score

Un scanner classique rend une liste de constats probables. Le problème n'est pas qu'il se trompe : c'est qu'il ne sait pas lesquels de ses constats sont atteignables sur votre installation réelle. L'équipe qui reçoit le rapport passe alors son temps à trier au lieu de corriger.

Hydra prend le problème dans l'autre sens. Une faille n'est rapportée que lorsque son exploitation a été démontrée sur le périmètre autorisé, avec la manipulation exacte qui la reproduit. Ce qui n'a pas pu être démontré n'est pas présenté comme une faille.

C'est plus lent, ça produit moins de lignes, et c'est le seul format qui permette de répondre à la question qui compte : par quoi commencer lundi matin ?

Le cadre : rien sans autorisation

Un test d'intrusion non autorisé tombe sous l'article 323-1 du code pénal. C'est pour cela que le tunnel comporte deux étapes incompressibles avant le moindre test :

• La vérification de propriété du domaine, par fichier déposé sur votre serveur ou par enregistrement DNS. Nous ne testons pas un domaine sur simple déclaration.
• La signature d'un mandat d'audit par une personne habilitée à engager l'organisation, qui fixe le périmètre, les exclusions et la fenêtre de test.

Les données sont traitées sur un serveur situé en France. Le détail figure dans la politique de confidentialité.