Entrar Pedir acceso a la beta Pedir acceso
Cómo funciona

Del aviso a la decisión

Sin magia. En cada paso decimos qué se hace con reglas fijas, qué hace la IA y qué no hace nadie todavía.

Conectar

Dos minutos y un PR

No instalas nada en tu máquina. Vibethia vive en el CI de tu repo.

  1. Entras con GitHub

    E instalas la app de Vibethia en tu cuenta o en tu organización.

  2. Eliges el repo

    Puedes elegir solo uno. La app no pide acceso a los demás.

  3. Apruebas un PR

    La app te abre un PR con un fichero de CI y guarda la clave que necesita como secreto del repo. Lo lees, lo fusionas, y la primera revisión corre sola.

    ¿Y si no puedo instalar la app?

    Creas la clave en el panel y copias el fichero de CI a mano. Cópiala en ese momento: no se vuelve a enseñar.

Revisar

Siete cosas que se miran en cada subida

Cada vez que subes a la rama principal, la revisión corre en tu CI, junto a tus tests. Tu código no se copia a nuestras máquinas. Cada una tiene su página, en llano y en técnico.

  • El código que te escribe la IA

    Datos que llegan sin validar, consultas armadas a mano, rutas que no preguntan quién eres.

    El sector lo llama SAST · Por dentro: Semgrep, con reglas públicas y propias

  • Las librerías que no elegiste

    Cada librería que usas, también las que llegan detrás de otra, y si tu código usa la parte vulnerable.

    El sector lo llama SCA · Por dentro: OSV-Scanner y el analista

  • El paquete que no es el que parece

    Un nombre casi igual al bueno, o uno inventado por la IA que alguien registró. Es lo único que bloquea el PR.

    El sector lo llama Malware en dependencias · Por dentro: La lista pública de paquetes maliciosos (OSV)

  • La clave que se fue en un commit

    Claves y contraseñas escritas en el repo. Llegan tapadas: su valor no sale de tu GitHub.

    El sector lo llama Secrets detection · Por dentro: Gitleaks

  • Tu infraestructura y tus contenedores

    Los ficheros con los que despliegas, la imagen si nos la das, y la lista de todo lo que lleva tu app.

    El sector lo llama IaC · Container scanning · SBOM · Por dentro: Trivy

  • Tu CI y tu pipeline

    Dónde corre la revisión, qué bloquea y qué no, y las acciones de terceros con acceso a tus secretos.

    El sector lo llama CI/CD security · Por dentro: GitHub Actions en tu repo; nada se clona

  • Alguien lee cada aviso

    Un analista con IA lee cada aviso con el código delante, dice si es real y por qué. Una regla fija decide.

    El sector lo llama AI triage · Reachability · Por dentro: Claude en el worker, con prompts versionados

En un PR, por ahora, se comprueba una sola cosa: que ninguna librería sea malware conocido. Si lo es, el check del PR se pone en rojo.

Ordenar

Una vulnerabilidad, una línea

Si dos herramientas avisan de la misma vulnerabilidad, es una, no dos. Y si sigue ahí en la siguiente subida, se reconoce: no vuelve como nuevo.

En nuestro repo de pruebas, 48 de 199 avisos eran la misma vulnerabilidad vista por dos herramientas. Esta parte no usa IA: son reglas fijas, con sus tests.

Triaje

Leer cada aviso y decidir

Un analista con IA lee cada aviso con el trozo de código delante, dice si es real y escribe por qué. No decide: una regla fija convierte su lectura en una de cuatro decisiones.

Las cuatro decisiones
DecisiónQué significa
CorregirEs real y se puede aprovechar. A la lista, por prioridad.
RevisarHace falta una persona: el analista no está seguro.
VigilarEs real pero improbable. Se ve, con prioridad baja.
DescartarFalsa alarma. Sale de la lista, y se puede recuperar.
  • En las librerías, mira si tu código usa de verdad lo que falla. Si no pasa por ahí, no te lo pone a corregir.
  • Hay frenos. Una clave con pinta de real o una vulnerabilidad crítica no se descartan sin que lo mire una persona. Y si el código intenta darle órdenes al analista, va a Revisar.
  • Tú mandas. Puedes cambiar cualquier decisión, con su motivo. Queda en el historial, que no se edita.
  • Lo ya leído no se vuelve a leer ni a pagar.
Arreglar

Cada vulnerabilidad, explicada para que la entiendas

De cada vulnerabilidad te dice tres cosas: qué puede pasar, si es urgente y cómo se arregla. Con un prompt prudente para tu IA: qué mirar antes, qué cambiar, qué no tocar, cómo comprobarlo y cuándo parar.

Ejemplo
Corregir Alta Supabase sin RLS

La tabla «pedidos» no tiene RLS

Qué puede pasar
Cualquiera con la clave pública de tu app puede leer los pedidos de todos tus clientes.
¿Urge?
Sí. Es información de tus clientes a la vista.
Qué hacer
Activar RLS en la tabla y añadir una política que deje ver a cada usuario solo lo suyo.
Fuente
reglas propias (sin IA)
Tipo
lógica
Ubicación
supabase/migrations/…_pedidos.sql
Clasificación
explotable
CWE
CWE-284 · control de acceso
ComprobadoLa tabla existe y no tiene RLS.
Falta por comprobarSi la clave pública se usa en el navegador.
Prompt para tu IA 
En este repo, la tabla `pedidos` de Supabase no tiene RLS.

Antes de cambiar nada: mira qué consultas leen o escriben en `pedidos` y con qué clave (pública o de servicio).
Qué cambiar: una migración que active RLS en `pedidos` y una política que deje a cada usuario ver y tocar solo sus filas.
Qué no tocar: no cambies otras tablas ni las claves. No apliques la migración en producción.
Cómo comprobarlo: con dos usuarios de prueba, uno no debe ver los pedidos del otro.
Cuándo parar: si alguna consulta usa la clave de servicio desde el navegador, para y dímelo: eso no lo arregla esta migración.

Esto no lo arregla el prompt: si la clave ya ha estado expuesta, tienes que rotarla tú.

Tus datos

Qué viaja y qué no

GitHub

Tu repo

El código se queda aquí. No lo clonamos.

Viaja:el workflow No viaja:tu código
Tu cuenta de GitHub

Tus Actions

Semgrep, OSV-Scanner, Gitleaks y Trivy corren aquí.

Viaja:resultados y fragmentos No viaja:valores de secretos
UE · Fráncfort

Vibethia

Ordena, quita duplicados y decide con regla fija.

Viaja:veredictos y explicaciones
app.vibethia.com

Tu panel

Qué corregir y por qué.

Solo el fragmento señalado, para triarlo
Fuera de la UE · Anthropic

El analista con IA (Claude)

Ve el fragmento, no el repo.

Todo sobre seguridad y datos
Preguntas

Lo que nos preguntan

¿Necesito saber de seguridad?

No. Cada hallazgo dice qué puede pasar, si urge y qué hacer. El detalle técnico está debajo.

¿Gasta minutos de Actions?

Sí, de tu cuenta de GitHub: los escáneres corren ahí.

¿Funciona con Lovable, Bolt o v0?

Solo si el código está en un repo de GitHub. Si vive solo dentro de la plataforma, todavía no.

¿Qué pasa si me quedo sin créditos?

Los escáneres y las reglas siguen funcionando. Lo que espera es el análisis con IA. Nada se borra.

¿En qué se diferencia de Dependabot o de GitHub Advanced Security?

Esas herramientas te dan la lista de avisos. Vibethia parte de una lista así y te dice cuáles son reales, por qué y qué hacer.

Del ruido a la decisión

Conecta un repo y mira qué hay que corregir. Sin hablar con nadie.

Pedir acceso a la beta