What does NullSquare actually do?

NullSquare runs continuous security testing across websites, APIs, cloud assets, and private environments. It maps vulnerabilities and evidence directly to standard compliance controls in real time.

Do I need to install anything on my servers?

No install is required for public targeting. If you need to test internal private networks or keep testing payloads completely inside your isolated VPC boundaries, you can deploy a Private Runner with a single container execution command.

How does credit usage work?

Credits are utilized during runner active target exercises. Usage depends directly on target scope sizes, simulation test depths, and runner active time. You can expand capacities as your footprint grows.

What types of security assessments are supported?

The platform executes continuous web application scans, API request validation vetting, multi-cloud perimeter assessments, sandbox break-out simulations, and code exploitability audits.

Where can I learn how to operate the platform?

We maintain comprehensive customer documentation that covers everything from your first discovery run to deploying private runners. Read the documentation at nullsquare.net/docs for a complete operating guide.

NullSquare — pentest continu, revue de code et conformité

Besoin d’une démo ?

L’inconnu

Sécurisez l’inconnu.

Toute entreprise exploite plus qu’elle ne voit. Une machine installée il y a des années, un sous-domaine que personne n’a mis hors service, un port ouvert un après-midi et jamais refermé. L’inconnu n’est pas l’attaque que vous n’avez pas vue. C’est la surface que vous n’avez jamais regardée.

Construire avec les meilleurs

Nous nous appuyons sur les plateformes que vous utilisez déjà : votre cloud, votre hébergeur de code et les modèles de frontière sous les agents.

Microsoft
Amazon Web Services
Google
OpenAI
Anthropic
xAI
Moonshot AI
DeepSeek
GLM
GitHub
npm
Docker
Linux
Cloudflare
Cisco
Slack
Resend
Apollo
WordPress
Shopify
Wix
Squarespace

Rencontrez votre équipe de sécurité.

Quatre agents, chacun expert d’une discipline, sur votre périmètre en continu. Ils se passent aussi le travail : l’agent de veille trouve une nouvelle CVE, l’agent de pentest prouve si elle vous atteint, et l’agent de revue de code empêche la suivante de partir en production.

PENTEST

Un pentest continu qui prouve chaque résultat

Notre renard mène des évaluations black-box continues sur vos services en production. Il enchaîne les techniques comme le ferait un vrai attaquant et prouve chaque vulnérabilité avec un exploit fonctionnel. Puis il reteste après votre correctif : un résultat ne se ferme que lorsque l’agent ne peut plus entrer.

Découvrir cet agent →

CODE REVIEW

Chaque pull request relue avant le merge

Notre lézard lit la base de code que vous avez déjà et signale les défauts qui s’y trouvent aujourd’hui. Ensuite il surveille chaque pull request que vous ouvrez. Il commente la ligne exacte, dit ce qu’un attaquant en fait, et bloque le merge jusqu’à décision d’un responsable. Demandez-lui, et il écrit le correctif.

Découvrir cet agent →

READINESS

Prêt pour l’audit chaque jour, pas seulement la semaine de l’audit

Notre hibou fait office d’auditeur interne. Il garde vos politiques et vos preuves au même endroit, teste chaque contrôle testable et lit les documents derrière les autres. Il revérifie l’ensemble selon un calendrier, pour que vous soyez prêt le jour où un auditeur appelle.

Découvrir cet agent →

WATCH

Sachez quand une nouvelle CVE peut concerner un logiciel que vous utilisez

Notre œil surveille les nouvelles publications et les compare aux versions exactes et traçables de votre inventaire. Une correspondance éligible indique une exposition potentielle, pas une vulnérabilité confirmée ; une vérification ciblée détermine si le problème documenté est exploitable sur votre actif.

Découvrir cet agent →

Votre posture, et la direction qu’elle prend.

L’exposition ouverte sur tout le périmètre, ce qu’il faut corriger en premier, et la courbe qui compte — l’arriéré se referme-t-il ou grandit-il. Un tableau sain est presque entièrement noir, et c’est là tout l’argument.

Good evening, Operator.

demo.acme.io

B+

Security posture

Open exposure

Open risks

Critical & high

Potential

KEV listed

Vulnerability trajectory

Open and resolved backlog by day

2026-03-302026-04-012026-04-032026-04-052026-04-07

Open riskPotentialResolved

Top risks

Ranked by highest CVSS impact

View all

CVE-2021-44228 in Apache Log4j 2.14.110

Missing authorization on export endpoint9.8

Cross-account order history via unchecked accountId8.2

Tenant assignment bypass in signup7.7

Webhook signature compared with non-constant-time equality5.9

Severity distribution

Risk density mapped across assets

15Open

Critical3

High6

Medium4

Low2

Badge de confiance

Montrez à vos clients que vous prenez la sécurité au sérieux.

Chaque sceau de confiance sur Internet est un fichier image. Le nôtre ouvre une page de vérification sur nullsquare.net — pas sur le site qui l'affiche — pour que n'importe quel client vérifie l'affirmation à la source.

200 × 32 PX

Voir une page de vérification Obtenir votre badge

Choisissez le plan adapté à votre scope

Testez dès aujourd'hui tout ce qui est exposé sur Internet. Ajoutez des runs à mesure que vous grandissez et déployez un runner privé lorsque vous devez atteindre votre propre réseau.

Watch

Propriétaires de sites$19/moispar test planifié

Scans automatiques par mois
Une cible
Tableau de bord et alertes
Modèles standard

Commencer

Control

Équipes sécurité$50/moispar poste

Crédits rechargeables
La plateforme complète
Les modèles les plus puissants

Commencer

Customize

Opérations sur mesureSur mesure

Déploiement sur mesure
Utilisez votre propre modèle
Tout ce que contient Control

Contact

Chaque offre inclut un journal d'activité complet • des sandboxes isolées • des preuves rattachées à vos contrôles de conformité

Que fait réellement NullSquare ?

NullSquare place quatre agents de sécurité sur vos systèmes. Ils testent vos sites, vos API et votre cloud, relisent chaque pull request avant le merge, et rattachent au fil de l'eau ce qu'ils prouvent à vos contrôles de conformité.

Dois-je installer quelque chose sur mes serveurs ?

Aucune installation n’est nécessaire pour les cibles publiques. Pour tester des réseaux privés internes ou garder les payloads de test dans votre VPC isolé, vous pouvez déployer un Private Runner avec une seule commande de conteneur.

Comment fonctionne l’utilisation des crédits ?

Un crédit est consommé pendant qu'un agent travaille activement sur une cible. La vitesse dépend de trois choses : la taille du scope, la profondeur de test que vous réglez et la durée d'activité du runner. Vous pouvez ajouter des crédits à tout moment.

Quels types d’évaluations de sécurité sont pris en charge ?

Les agents testent cinq surfaces d'attaque :

Applications web, testées en continu
API, y compris l'authentification et l'autorisation défaillantes
Périmètre cloud, chez tous vos fournisseurs
Évasion de conteneur et de sandbox
Code source — les failles qu'un attaquant peut réellement atteindre

Où apprendre à utiliser la plateforme ?

Notre documentation client couvre tout, du premier discovery run au déploiement des private runners. Lire la documentation pour le guide opérationnel complet.

Sécurisez l'inconnu.

Sécurisez l’inconnu.

Construire avec les meilleurs

Rencontrez votre équipe de sécurité.

Un pentest continu qui prouve chaque résultat

Chaque pull request relue avant le merge

Prêt pour l’audit chaque jour, pas seulement la semaine de l’audit

Sachez quand une nouvelle CVE peut concerner un logiciel que vous utilisez

Votre posture, et la direction qu’elle prend.

Good evening, Operator.

Vulnerability trajectory

Top risks

Severity distribution

Montrez à vos clients que vous prenez la sécurité au sérieux.

Choisissez le plan adapté à votre scope