Quatre formats, quatre prix écrits

Ce que vous me donnez pour commencer : rien

Pour une prestation d’une heure, personne ne devrait avoir à ouvrir son dépôt de code — le dossier où vit son projet — à quelqu’un qu’il rencontre pour la première fois. La bonne réponse est de concevoir la séance pour qu’elle se passe d’accès, plutôt que de vous demander de me faire confiance.

Pour la séance d’une heure

Je vous envoie un script de lecture adapté à votre langage. Vous le lancez vous-même, sur votre machine. Il n’écrit rien dans votre projet — sa seule écriture est un dossier temporaire du système, effacé automatiquement en sortant. Il ne contacte aucun serveur. Il n’installe rien. Il n’exécute aucun code de votre projet.

Il produit une centaine de lignes de mesures : volumétrie, historique Git résumé (aucun message de commit, aucun nom d’auteur), duplication apparente, état des tests, dépendances et plages de versions, configuration de déploiement, documentation, et l’inventaire des emplacements où un secret semble écrit — leur emplacement, leur type, leur nombre d’occurrences. Jamais leur valeur : le script est construit pour en être incapable, il compte et il localise, il n’affiche pas.

Il fait six cents lignes. Je ne vous promettrai pas qu’il se relit en deux minutes, ce serait faux. Son en-tête énumère précisément les commandes qui n’y figurent pas — aucun accès réseau, aucune écriture dans le dépôt — pour que vous puissiez le vérifier vous-même au lieu de me croire. Cette vérification prend trente secondes.

Le résultat part dans un fichier texte, sur votre machine. Ouvrez-le avant de me l’envoyer : je vous y encourage. Si une ligne vous gêne, supprimez-la et envoyez le reste — je vous dirai en séance si ça me manque.

Vous pouvez aussi venir sans rien envoyer. La séance se fait alors en lecture partagée : « regardons ensemble » plutôt que « voici ce que j’ai trouvé ». On couvre deux ou trois zones du projet, et mes constats sont des hypothèses que votre équipe confirme ensuite. C’est utile, et c’est autre chose — autant le savoir avant.

À partir de l’audit, il me faut le code

Trois jours d’analyse ne se font pas par-dessus l’épaule. Mes engagements sont alors écrits, annexés au devis, et ils valent engagement contractuel.

Ce que je consulte

Le code source, la configuration, les dépendances, l’historique Git. Rien d’autre — ni vos bases de données, ni vos environnements déployés, ni vos outils internes, ni vos données clients. Si je croise des données réelles dans le dépôt, je vous le signale et j’arrête de regarder ce fichier.

Un secret trouvé

Je ne l’ouvre pas, je ne le note pas, je ne vous le renvoie pas par écrit. Vous en recevez l’emplacement et le type ; si nous devons en parler, c’est oralement, en séance.

Ce qui sort de ma machine

Rien, hormis ce qui est décrit dans ma note sur l’usage d’outils d’IA — le seul transfert existant, détaillé ligne à ligne, et que vous pouvez refuser.

Ce que je supprime, et quand

Sous sept jours : la copie de votre code sur ma machine s’il y en a eu une, les fichiers de sortie, mes notes de travail et mes conversations avec mes outils d’IA. Je vous envoie un message quand c’est fait. Ce qui survit, c’est le rapport que je vous ai remis — dont vous avez une copie.

L’accès, s’il y en a eu un

Je vous préviens dès la fin de mon analyse. La révocation vous appartient ; je vous la rappelle deux fois au maximum, et je ne me reconnecte pas entre-temps.

Votre projet comme référence

Je ne le cite nulle part, sous aucune forme, même anonymisée, sans votre accord écrit.

Sur l’accord de confidentialité : si vous en avez un, envoyez-le. Je le lis, je vous dis ce que j’accepte, et je signe si c’est raisonnable.

Ces engagements et cette note d’usage d’IA tiennent en une page. Demandez-les avant de signer quoi que ce soit.