Aller au contenu

Vericto : mon test, 15 ordres dangereux bloqués sur 18

Vericto est un petit outil gratuit qui se place entre une IA (ou un script) et une base de données, lit chaque ordre SQL et refuse ceux qui effacent tout. Je l’ai testé sur une base jetable, remplie de fausses données : 15 ordres dangereux sur 18 sont bloqués, 3 passent. Résultat : ça marche, mais à moitié (7/10). Version testée : 4.16.0, le 24 octobre 2026.

Guides · Accès libre

Ce que vous obtenez

Savoir ce que Vericto arrête (les erreurs bêtes) et ce qu’il n’arrête pas (deux contournements, PREPARE puis EXECUTE, et une fonction qui contient l’effacement), et pouvoir rejouer le test. À savoir : test joué par un script, pas par une vraie IA ; valable pour la version 4.16.0 ; options payantes non testées.

L’outil Vericto (GitHub, version testée 4.16.0)Télécharger

Comment s’en servir

Prérequis : Docker, bc et une commande date GNU (%N), pour rejouer le test. Aucun compte, aucune clé. Le test tourne sur un réseau coupé d’internet, avec de fausses données.

  1. Télécharge l’archive et décompresse-la : tu obtiens ressource.md (le compte rendu), test.sh (le script), log-test.txt (le journal complet) et un dossier captures (01-promesse, 02-bloques, 03-contournements). Les captures ne sont pas affichées sur cette page : elles sont dans l’archive.
  2. Ce qui a été testé : une base Postgres jetable avec 3 lignes factices, dans Docker, sur un réseau coupé d’internet. 18 ordres dangereux envoyés un par un à travers Vericto ; après chacun, la base est relue directement, sans passer par l’outil.
  3. Résultat : 15 bloqués sur 18. Effacer toute une table, modifier toutes les lignes, supprimer ou vider une table, supprimer une colonne, renommer une table, « OR 1=1 », « WHERE true », un effacement caché dans un bloc DO ou une requête WITH.
  4. Les contournements : PREPARE puis EXECUTE vide la table (DELETE 3), une fonction qui contient l’effacement aussi, et « DELETE FROM users WHERE id > 0; » passe parce qu’il a une condition. Le journal de Vericto ne garde aucune ligne de ces ordres : il n’écrit que les blocages.
  5. Pour le rejouer : avec Docker, lance bash test.sh > log.txt 2>&1 (test.sh a été durci après le test du 24 octobre : contrôles de démarrage seulement, les ordres testés sont identiques), puis nettoie avec docker rm -f vof-proxy, docker rm -f vof-db, docker network rm vof-net.
  6. Limites : test joué par un script, pas par une IA ; « SELECT 1; DROP TABLE users; » a été découpé en deux par le client psql ; options payantes non testées ; résultat valable pour la version 4.16.0, l’outil change vite.