Probo

Plateforme GRC sous MIT pour équipes d'ingénierie et de sécurité

Probo est une plateforme GRC (gouvernance, risque, conformité) écrite en Go et publiée sous licence MIT par la société Probo Inc. Risques, contrôles des référentiels, fournisseurs, analyses d'impact RGPD, revues d'accès, audits et documents à faire approuver y partagent la même base. Le README la destine aux équipes d'ingénierie et de sécurité, et chaque objet se manipule depuis la console web, la CLI prb, l'API GraphQL ou le serveur MCP.

Probo Inc. vend autre chose que le logiciel : sa page d'accueil titre « Compliance, Done For You » et propose une conformité menée par un responsable conformité de l'éditeur.

Le comparatif des logiciels GRC open source met en regard les référentiels que fournit Probo et le travail qu'il laisse à l'équipe.

Agents LLM branchés par MCP, fournisseurs déjà catalogués

• Treize référentiels à importer depuis la console : ISO 27001:2022, ISO 27701, ISO 42001, SOC 2, NIS 2, DORA, RGPD, HDS, HIPAA, PCI DSS, CCPA, FERPA et 21 CFR Part 11. Un référentiel maison s'importe depuis un fichier JSON, et la déclaration d'applicabilité se tient dans l'outil.
• Plus de 270 outils MCP : un agent LLM lit et écrit risques, contrôles, preuves et documents. La CLI prb couvre les mêmes ressources pour les scripts et la CI, et un nœud n8n passe par l'API GraphQL.
• Revues d'accès branchées sur les sources : une décision par compte, avec des connecteurs vers des SaaS, l'infrastructure cloud et les forges de code.
• Fournisseurs et risques pré-remplis : le dépôt livre un catalogue de 562 fournisseurs courants (raison sociale, DPA, liste des sous-traitants) et 82 modèles de risques.
• Des preuves présentables : journaux d'audit immuables, documents versionnés avec quorum d'approbation et signature électronique, et un portail public où montrer ses certifications aux clients.

Service vendu par l'éditeur, logiciel encore en 0.x

L'éditeur vend un service. Sur probo.com, un responsable conformité de Probo prend en charge politiques, contrôles, revues et évaluations, et répond depuis Slack. Aucun tarif n'est publié ; dans un témoignage, le client Verso évoque une tarification au résultat plutôt qu'à l'heure. Probo Cloud, hébergé dans l'Union européenne ou aux États-Unis, s'ouvre après un onboarding, et la documentation le recommande à la plupart des organisations.

Des équipes qui visent une certification. Les témoignages publiés par l'éditeur viennent de fondateurs, d'ingénieurs et d'équipes sécurité d'une vingtaine d'entreprises, qui annoncent pour la plupart une certification ISO 27001 ou un rapport SOC 2.

Probo ne fait pas l'audit. La documentation le précise : l'outil range les preuves et prépare le dossier, il ne remplace pas l'auditeur. EDUCENTRIC, l'un de ces clients, a obtenu son ISO 27001 après un audit de Tempo Audits.

Les référentiels livrés sont des listes de contrôles. Le fichier ISO 27001:2022 compte 123 entrées (clauses 4 à 10 et 93 mesures de l'annexe A), chacune réduite à un identifiant et un titre. SOC 2 en compte 61, NIS 2 en compte 17, et seul HDS décrit ses contrôles. Après l'import, la documentation demande de créer ou de lier les mesures qui satisfont chaque contrôle, de leur attribuer un responsable et d'y joindre les preuves. CISO Assistant annonce, lui, plus de 220 référentiels inclus.

MIT pour le code, CC BY-SA pour deux jeux de données. Aucune partie du dépôt ne relève d'une licence commerciale, là où CISO Assistant réserve son dossier enterprise/ à une licence commerciale d'intuitem et où ISMS Builder est sous AGPL-3.0. Le catalogue de fournisseurs et les modèles de risques sont sous CC BY-SA 4.0 : qui les réutilise cite Probo Inc., et une version modifiée garde la même licence. Les contributions demandent une signature DCO, sans CLA.

Quatre conteneurs derrière un reverse proxy. Le docker-compose de production lance probod, PostgreSQL, SeaweedFS (stockage compatible S3) et un Chrome headless, derrière un reverse proxy qui termine le TLS ; un chart Helm couvre Kubernetes. Pour la mémoire, la documentation dit seulement que la configuration PostgreSQL fournie réserve 4 Go de shared_buffers. Elle conseille aussi de remplacer l'image latest du compose par une version testée avant d'ouvrir le serveur au public. En auto-hébergement, les identifiants OAuth de chaque connecteur sont à créer soi-même, ce dont Probo Cloud dispense ses nouveaux connecteurs.

Version 0.x, une trentaine de versions par mois. Le serveur probod en est à la v0.305.0, publiée le 7 octobre 2026, après 30 versions en septembre. Une version mineure peut retirer une fonction : la v0.277.0, du 3 septembre 2026, a supprimé la création de clés d'API personnelles au profit de jetons OAuth à portée limitée.