wopt 0.1.0__tar.gz

wopt-0.1.0/.github/workflows/ci.yml

@@ -0,0 +1,34 @@
+name: CI
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+    branches: [main]
+
+jobs:
+  test:
+    runs-on: ubuntu-latest
+    strategy:
+      matrix:
+        python-version: ["3.10", "3.11", "3.12"]
+
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: Set up Python ${{ matrix.python-version }}
+        uses: actions/setup-python@v5
+        with:
+          python-version: ${{ matrix.python-version }}
+
+      - name: Install dependencies
+        run: |
+          pip install -r requirements.txt
+          pip install -r requirements-dev.txt
+          pip install -e .
+
+      - name: Lint with ruff
+        run: ruff check .
+
+      - name: Run tests
+        run: pytest -v

wopt-0.1.0/.github/workflows/publish.yml

@@ -0,0 +1,29 @@
+name: Publish to PyPI
+
+on:
+  push:
+    tags:
+      - "v*"
+
+jobs:
+  publish:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: Set up Python
+        uses: actions/setup-python@v5
+        with:
+          python-version: "3.12"
+
+      - name: Install build tools
+        run: pip install build twine
+
+      - name: Build package
+        run: python -m build
+
+      - name: Publish to PyPI
+        env:
+          TWINE_USERNAME: __token__
+          TWINE_PASSWORD: ${{ secrets.PYPI_API_TOKEN }}
+        run: twine upload dist/*

wopt-0.1.0/.gitignore

@@ -0,0 +1,16 @@
+__pycache__/
+*.py[cod]
+*.egg-info/
+.eggs/
+build/
+dist/
+.venv/
+venv/
+.pytest_cache/
+.ruff_cache/
+*.egg
+wopt-report.html
+*.json
+!package.json
+.env
+.DS_Store

wopt-0.1.0/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 eloundou nkolo ryan
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

wopt-0.1.0/PKG-INFO

@@ -0,0 +1,112 @@
+Metadata-Version: 2.4
+Name: wopt
+Version: 0.1.0
+Summary: Mini audit de sécurité web en ligne de commande : headers, TLS, cookies, CORS, fichiers exposés.
+Project-URL: Homepage, https://github.com/eloundou-nkolo/wopt
+Project-URL: Repository, https://github.com/eloundou-nkolo/wopt
+Project-URL: Issues, https://github.com/eloundou-nkolo/wopt/issues
+Project-URL: Portfolio, https://eloundounkolo.com
+Author-email: Eloundou Nkolo Ryan <ryan@eloundounkolo.com>
+License: MIT
+License-File: LICENSE
+Keywords: audit,cli,cors,http-headers,security,tls,web
+Classifier: Development Status :: 3 - Alpha
+Classifier: Environment :: Console
+Classifier: Intended Audience :: Developers
+Classifier: License :: OSI Approved :: MIT License
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3.10
+Classifier: Programming Language :: Python :: 3.11
+Classifier: Programming Language :: Python :: 3.12
+Classifier: Topic :: Security
+Classifier: Topic :: Software Development :: Quality Assurance
+Requires-Python: >=3.10
+Requires-Dist: cryptography
+Requires-Dist: httpx
+Requires-Dist: jinja2
+Requires-Dist: rich
+Requires-Dist: typer
+Provides-Extra: dev
+Requires-Dist: pytest; extra == 'dev'
+Requires-Dist: pytest-httpx; extra == 'dev'
+Requires-Dist: ruff; extra == 'dev'
+Description-Content-Type: text/markdown
+
+# wopt
+
+test audit de sécurité web en ligne de commande — non-intrusif, sans configuration, sans infrastructure.
+
+`wopt` scanne un site web et vérifie les points de sécurité les plus fréquemment négligés : en-têtes HTTP, configuration TLS, cookies, CORS, et exposition de fichiers sensibles. Conçu pour s'intégrer facilement à un pipeline CI/CD.
+## Auteurs
+
+Développé par [Eloundou Nkolo Ryan](https://eloundounkolo.com) — développeur web & intégration de solutions numériques.
+
+## Installation
+
+```bash
+pip install wopt
+```
+
+Ou en local depuis le code source :
+
+```bash
+git clone https://github.com/eloundou-nkolo/wopt.git
+cd wopt
+pip install -r requirements.txt
+pip install -e .
+```
+
+## Utilisation
+
+```bash
+# Scan simple, affichage table dans le terminal
+wopt exemple.com
+
+# Export JSON (pour CI/CD)
+wopt exemple.com --format json --output rapport.json
+
+# Export HTML lisible
+wopt exemple.com --format html --output rapport.html
+
+# Rapport formaté pour être collé dans un agent IA (Claude Code, Cursor...)
+wopt exemple.com --ai-context
+
+# Scan plus léger, sans vérification des chemins sensibles
+wopt exemple.com --no-probes
+```
+
+## Ce que wopt vérifie
+
+| Catégorie | Vérifications |
+|---|---|
+| **Headers** | CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, divulgation de stack |
+| **TLS** | Version du protocole, expiration du certificat, redirection HTTPS |
+| **Cookies** | Flags Secure, HttpOnly, SameSite |
+| **CORS** | Combinaison dangereuse wildcard + credentials |
+| **Exposition** | Fichiers sensibles accessibles (`.env`, `.git/HEAD`, backups...) |
+
+## Philosophie
+
+- **100% passif et non-intrusif** : aucun scan de ports, aucune tentative d'exploitation, aucun brute-force. Uniquement des requêtes HTTP GET standards.
+- **Zéro infrastructure** : tourne entièrement en local, aucune donnée envoyée à un serveur tiers.
+- **Pensé pour l'ère du vibe coding** : conçu pour combler les lacunes de sécurité fréquentes dans le code généré par IA (absence de headers de sécurité, CSRF, CORS mal configuré).
+
+## Score
+
+Chaque scan produit un score de A à F, calculé par pondération de sévérité (inspiré de l'approche Mozilla Observatory).
+
+## Développement
+
+```bash
+pip install -r requirements-dev.txt
+pytest
+ruff check .
+```
+
+## Avertissement
+
+`wopt` est un outil d'audit passif destiné à un usage sur des sites que vous possédez ou êtes autorisé à tester. L'auteur décline toute responsabilité en cas d'usage non autorisé.
+
+## Licence
+
+MIT

wopt-0.1.0/README.md

@@ -0,0 +1,78 @@
+# wopt
+
+test audit de sécurité web en ligne de commande — non-intrusif, sans configuration, sans infrastructure.
+
+`wopt` scanne un site web et vérifie les points de sécurité les plus fréquemment négligés : en-têtes HTTP, configuration TLS, cookies, CORS, et exposition de fichiers sensibles. Conçu pour s'intégrer facilement à un pipeline CI/CD.
+## Auteurs
+
+Développé par [Eloundou Nkolo Ryan](https://eloundounkolo.com) — développeur web & intégration de solutions numériques.
+
+## Installation
+
+```bash
+pip install wopt
+```
+
+Ou en local depuis le code source :
+
+```bash
+git clone https://github.com/eloundou-nkolo/wopt.git
+cd wopt
+pip install -r requirements.txt
+pip install -e .
+```
+
+## Utilisation
+
+```bash
+# Scan simple, affichage table dans le terminal
+wopt exemple.com
+
+# Export JSON (pour CI/CD)
+wopt exemple.com --format json --output rapport.json
+
+# Export HTML lisible
+wopt exemple.com --format html --output rapport.html
+
+# Rapport formaté pour être collé dans un agent IA (Claude Code, Cursor...)
+wopt exemple.com --ai-context
+
+# Scan plus léger, sans vérification des chemins sensibles
+wopt exemple.com --no-probes
+```
+
+## Ce que wopt vérifie
+
+| Catégorie | Vérifications |
+|---|---|
+| **Headers** | CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, divulgation de stack |
+| **TLS** | Version du protocole, expiration du certificat, redirection HTTPS |
+| **Cookies** | Flags Secure, HttpOnly, SameSite |
+| **CORS** | Combinaison dangereuse wildcard + credentials |
+| **Exposition** | Fichiers sensibles accessibles (`.env`, `.git/HEAD`, backups...) |
+
+## Philosophie
+
+- **100% passif et non-intrusif** : aucun scan de ports, aucune tentative d'exploitation, aucun brute-force. Uniquement des requêtes HTTP GET standards.
+- **Zéro infrastructure** : tourne entièrement en local, aucune donnée envoyée à un serveur tiers.
+- **Pensé pour l'ère du vibe coding** : conçu pour combler les lacunes de sécurité fréquentes dans le code généré par IA (absence de headers de sécurité, CSRF, CORS mal configuré).
+
+## Score
+
+Chaque scan produit un score de A à F, calculé par pondération de sévérité (inspiré de l'approche Mozilla Observatory).
+
+## Développement
+
+```bash
+pip install -r requirements-dev.txt
+pytest
+ruff check .
+```
+
+## Avertissement
+
+`wopt` est un outil d'audit passif destiné à un usage sur des sites que vous possédez ou êtes autorisé à tester. L'auteur décline toute responsabilité en cas d'usage non autorisé.
+
+## Licence
+
+MIT

wopt-0.1.0/pyproject.toml

@@ -0,0 +1,61 @@
+[build-system]
+requires = ["hatchling"]
+build-backend = "hatchling.build"
+
+[project]
+name = "wopt"
+version = "0.1.0"
+description = "Mini audit de sécurité web en ligne de commande : headers, TLS, cookies, CORS, fichiers exposés."
+readme = "README.md"
+requires-python = ">=3.10"
+license = { text = "MIT" }
+authors = [
+    { name = "Eloundou Nkolo Ryan", email="ryan@eloundounkolo.com", website = "eloundounkolo.com"}
+]
+keywords = ["security", "web", "audit", "cli", "http-headers", "tls", "cors"]
+classifiers = [
+    "Development Status :: 3 - Alpha",
+    "Environment :: Console",
+    "Intended Audience :: Developers",
+    "License :: OSI Approved :: MIT License",
+    "Programming Language :: Python :: 3",
+    "Programming Language :: Python :: 3.10",
+    "Programming Language :: Python :: 3.11",
+    "Programming Language :: Python :: 3.12",
+    "Topic :: Security",
+    "Topic :: Software Development :: Quality Assurance",
+]
+
+dependencies = [
+    "httpx",
+    "typer",
+    "rich",
+    "jinja2",
+    "cryptography",
+]
+
+[project.optional-dependencies]
+dev = [
+    "pytest",
+    "pytest-httpx",
+    "ruff",
+]
+
+[project.scripts]
+wopt = "wopt.cli:main"
+
+[project.urls]
+Homepage = "https://github.com/eloundou-nkolo/wopt"
+Repository = "https://github.com/eloundou-nkolo/wopt"
+Issues = "https://github.com/eloundou-nkolo/wopt/issues"
+Portfolio = "https://eloundounkolo.com"
+
+[tool.hatch.build.targets.wheel]
+packages = ["src/wopt"]
+
+[tool.ruff]
+line-length = 100
+target-version = "py310"
+
+[tool.pytest.ini_options]
+testpaths = ["tests"]

wopt-0.1.0/requirements-dev.txt

@@ -0,0 +1,3 @@
+pytest
+pytest-httpx
+ruff

wopt-0.1.0/requirements.txt

@@ -0,0 +1,5 @@
+httpx
+typer
+rich
+jinja2
+cryptography

wopt-0.1.0/src/wopt/__init__.py

@@ -0,0 +1,7 @@
+"""wopt — mini audit de sécurité web en ligne de commande."""
+
+__version__ = "0.1.0"
+
+from wopt.core.scanner import scan
+
+__all__ = ["scan", "__version__"]

wopt-0.1.0/src/wopt/checks/__init__.py

@@ -0,0 +1,36 @@
+"""
+wopt.checks
+
+Registre central des checks disponibles. Pour ajouter un nouveau
+check : créer la classe dans un module de ce package, puis
+l'ajouter à ALL_CHECKS. Le scanner n'a rien d'autre à connaître.
+"""
+
+from wopt.checks.cookies import CookiesCheck
+from wopt.checks.cors import CORSCheck
+from wopt.checks.exposure import ExposurePathsCheck
+from wopt.checks.headers import SecurityHeadersCheck
+from wopt.checks.tls import TLSCheck
+
+# Checks "standards" exécutés directement sur le ScanContext
+ALL_CHECKS = [
+    SecurityHeadersCheck,
+    TLSCheck,
+    CookiesCheck,
+    CORSCheck,
+]
+
+# Checks nécessitant des requêtes HTTP additionnelles (probing actif)
+PROBE_CHECKS = [
+    ExposurePathsCheck,
+]
+
+__all__ = [
+    "ALL_CHECKS",
+    "PROBE_CHECKS",
+    "SecurityHeadersCheck",
+    "TLSCheck",
+    "CookiesCheck",
+    "CORSCheck",
+    "ExposurePathsCheck",
+]

wopt-0.1.0/src/wopt/checks/base.py

@@ -0,0 +1,29 @@
+"""
+wopt.checks.base
+
+Contrat que tout check de sécurité doit respecter.
+Chaque nouveau check hérite de Check et implémente run().
+Le scanner orchestrateur n'a besoin de rien connaître de la
+logique interne de chaque check : il les découvre et les exécute
+tous de la même façon.
+"""
+
+from __future__ import annotations
+
+from abc import ABC, abstractmethod
+
+from wopt.models import Finding, ScanContext
+
+
+class Check(ABC):
+    """Classe abstraite : tout check de sécurité l'implémente."""
+
+    id: str = "base.check"
+    name: str = "Base Check"
+    category: str = "general"  # headers | tls | cookies | cors | exposure
+
+    @abstractmethod
+    def run(self, ctx: ScanContext) -> list[Finding]:
+        """Exécute la vérification et retourne une liste de Finding.
+        Une liste vide = rien à signaler (tout est conforme)."""
+        raise NotImplementedError

wopt-0.1.0/src/wopt/checks/cookies.py

@@ -0,0 +1,58 @@
+"""
+wopt.checks.cookies
+
+Vérifie que chaque cookie détecté sur la réponse HTTP est
+correctement sécurisé : Secure, HttpOnly, SameSite.
+"""
+
+from __future__ import annotations
+
+from wopt.checks.base import Check
+from wopt.models import Finding, ScanContext, Severity
+
+
+class CookiesCheck(Check):
+    id = "cookies.flags"
+    name = "Cookie Security Flags"
+    category = "cookies"
+
+    def run(self, ctx: ScanContext) -> list[Finding]:
+        findings: list[Finding] = []
+
+        for cookie in ctx.cookies:
+            if not cookie.secure:
+                findings.append(
+                    Finding(
+                        check_id=f"{self.id}.{cookie.name}_not_secure",
+                        title=f"Cookie '{cookie.name}' sans flag Secure",
+                        severity=Severity.MEDIUM,
+                        category=self.category,
+                        description="Ce cookie peut être transmis en clair sur une connexion non chiffrée.",
+                        recommendation=f"Ajouter le flag Secure au cookie '{cookie.name}'.",
+                    )
+                )
+            if not cookie.http_only:
+                findings.append(
+                    Finding(
+                        check_id=f"{self.id}.{cookie.name}_not_httponly",
+                        title=f"Cookie '{cookie.name}' sans flag HttpOnly",
+                        severity=Severity.MEDIUM,
+                        category=self.category,
+                        description="Ce cookie est accessible via JavaScript, ce qui facilite son vol en cas de XSS.",
+                        recommendation=f"Ajouter le flag HttpOnly au cookie '{cookie.name}'.",
+                    )
+                )
+            if not cookie.same_site or cookie.same_site.lower() == "none":
+                findings.append(
+                    Finding(
+                        check_id=f"{self.id}.{cookie.name}_samesite_weak",
+                        title=f"Cookie '{cookie.name}' avec SameSite absent ou 'None'",
+                        severity=Severity.LOW,
+                        category=self.category,
+                        description="Ce cookie peut être envoyé lors de requêtes cross-site, augmentant le risque CSRF.",
+                        recommendation=f"Définir 'SameSite=Lax' ou 'Strict' sur le cookie '{cookie.name}'.",
+                        evidence=cookie.same_site or "absent",
+                    )
+                )
+
+        return findings

wopt-0.1.0/src/wopt/checks/cors.py

@@ -0,0 +1,60 @@
+"""
+wopt.checks.cors
+
+Détecte les configurations CORS dangereuses, en particulier
+la combinaison Access-Control-Allow-Origin: * associée à
+Access-Control-Allow-Credentials: true, qui permet à n'importe
+quel site tiers de lire des réponses authentifiées.
+"""
+
+from __future__ import annotations
+
+from wopt.checks.base import Check
+from wopt.models import Finding, ScanContext, Severity
+
+
+class CORSCheck(Check):
+    id = "cors.configuration"
+    name = "CORS Configuration"
+    category = "cors"
+
+    def run(self, ctx: ScanContext) -> list[Finding]:
+        findings: list[Finding] = []
+        headers_lower = {k.lower(): v for k, v in ctx.response_headers.items()}
+
+        acao = headers_lower.get("access-control-allow-origin")
+        acac = headers_lower.get("access-control-allow-credentials", "").lower() == "true"
+
+        if acao == "*" and acac:
+            findings.append(
+                Finding(
+                    check_id=f"{self.id}.wildcard_with_credentials",
+                    title="CORS critique : origine wildcard combinée aux credentials",
+                    severity=Severity.CRITICAL,
+                    category=self.category,
+                    description=(
+                        "Access-Control-Allow-Origin est réglé sur '*' alors que "
+                        "Access-Control-Allow-Credentials est à 'true'. N'importe quel "
+                        "site tiers peut lire des réponses authentifiées de l'utilisateur."
+                    ),
+                    recommendation=(
+                        "Remplacer '*' par une liste blanche explicite d'origines de confiance, "
+                        "ou désactiver les credentials si le wildcard est nécessaire."
+                    ),
+                    evidence=f"Access-Control-Allow-Origin: {acao}",
+                )
+            )
+        elif acao == "*":
+            findings.append(
+                Finding(
+                    check_id=f"{self.id}.wildcard_origin",
+                    title="CORS permissif : origine wildcard",
+                    severity=Severity.LOW,
+                    category=self.category,
+                    description="Access-Control-Allow-Origin accepte toute origine ('*').",
+                    recommendation="Restreindre aux origines réellement nécessaires si l'API contient des données sensibles.",
+                    evidence=f"Access-Control-Allow-Origin: {acao}",
+                )
+            )
+
+        return findings

wopt-0.1.0/src/wopt/checks/exposure.py

@@ -0,0 +1,60 @@
+"""
+wopt.checks.exposure
+
+Vérifie passivement si des chemins sensibles connus répondent
+avec un statut 200 (fichier accessible). Aucune tentative de
+lecture/exploitation du contenu au-delà de la détection : on
+observe uniquement le code de statut HTTP renvoyé.
+
+Ce check nécessite des requêtes HTTP additionnelles, effectuées
+par le scanner (pas par ScanContext initial) via check.probe_paths().
+"""
+
+from __future__ import annotations
+
+from wopt.checks.base import Check
+from wopt.models import Finding, ScanContext, Severity
+
+SENSITIVE_PATHS = {
+    "/.env": Severity.CRITICAL,
+    "/.git/HEAD": Severity.HIGH,
+    "/.git/config": Severity.HIGH,
+    "/wp-config.php.bak": Severity.CRITICAL,
+    "/config.php.bak": Severity.CRITICAL,
+    "/.DS_Store": Severity.LOW,
+    "/backup.zip": Severity.MEDIUM,
+    "/.aws/credentials": Severity.CRITICAL,
+}
+
+
+class ExposurePathsCheck(Check):
+    """Ce check est particulier : il a besoin de requêtes HTTP
+    supplémentaires (une par chemin testé). Le scanner l'invoque
+    via `probe_paths()` plutôt que `run()` classique -- voir
+    core/scanner.py pour l'intégration."""
+
+    id = "exposure.sensitive_paths"
+    name = "Sensitive Paths Exposure"
+    category = "exposure"
+
+    def paths_to_probe(self) -> dict[str, Severity]:
+        return SENSITIVE_PATHS
+
+    def build_finding(self, path: str, severity: Severity, status_code: int) -> Finding:
+        return Finding(
+            check_id=f"{self.id}.{path.strip('/').replace('/', '_').replace('.', '_')}",
+            title=f"Chemin sensible potentiellement exposé : {path}",
+            severity=severity,
+            category=self.category,
+            description=(
+                f"La requête vers '{path}' a retourné un statut {status_code}, "
+                "suggérant que ce fichier pourrait être accessible publiquement."
+            ),
+            recommendation=f"Vérifier manuellement '{path}' et bloquer son accès public si confirmé.",
+            evidence=f"HTTP {status_code}",
+        )
+
+    def run(self, ctx: ScanContext) -> list[Finding]:
+        # Ce check ne fait rien via run() seul -- voir probe_paths()
+        # dans le scanner qui gère les requêtes réseau réelles.
+        return []