Conectar un repo

Conectar un repo es poner un workflow en su carpeta .github/workflows y un secreto con el token del repo. Con la app de GitHub lo hace Vibethia; sin ella, lo haces tú con los mismos dos ficheros. En los dos casos los escáneres corren en tus Actions y el código no sale de GitHub.

Con la app de GitHub

1. En el panel, pulsa Vigilar un repo y acepta la instalación de la app en tu cuenta o en tu organización. Puedes darle acceso a un solo repo: no pide los demás.
2. Nada más. Vibethia da de alta el repo, crea su token, lo guarda como secreto de Actions (VIBETHIA_TOKEN) y abre un PR con vibethia.yml. Lo lees, lo fusionas y el primer escaneo corre solo.

El token no lo ve nadie: lo genera Vibethia, lo pone en GitHub y solo guarda su huella. Si algún día hay que cambiarlo, Rotar el token en el panel genera otro, lo vuelve a poner como secreto y deja el anterior sin validez.

Sin la app

Para repos donde no puedes instalar apps, el alta a mano son tres pasos:

1. En el panel, Nuevo repo. Vibethia te enseña el token (vbt_…) una sola vez: cópialo en ese momento. Después solo guarda su huella y no se puede recuperar; si lo pierdes, se rota.
2. En GitHub, guárdalo como secreto de Actions del repo con el nombre VIBETHIA_TOKEN.
3. Copia el fichero vibethia.yml que te da el panel a .github/workflows/ y súbelo a la rama principal.

Qué hace el workflow

vibethia.yml es corto: llama al workflow reutilizable de Vibethia, que corre los cuatro escáneres en contenedores fijados por versión, prepara el envío y lo manda a la API con el token.

• Cuándo corre. En cada push a la rama principal, el escaneo completo. En cada pull_request hacia ella, solo la comprobación de malware conocido: si una librería está en la lista pública, el check se pone en rojo. También se puede lanzar a mano desde Actions.
• Qué puedes ajustar. excluir: carpetas del primer nivel que no se escanean (por ejemplo, una de ejemplos). imagen: la imagen de contenedor que construyes, para que Trivy la revise por dentro; sin ella, solo se miran los ficheros. bloquear_malware: apagar el bloqueo del PR, si no lo quieres.
• Permisos. Solo lectura del contenido del repo. Nunca pull_request_target: el token no llega a código de un fork.

Qué viaja y qué no

A Vibethia llegan los resultados de los escáneres, el trozo de código alrededor de cada línea señalada (ya con los secretos tapados) y dónde se importa cada librería con aviso. No llega el repo. El detalle, en Seguridad y datos.

Desconectar

Si desinstalas la app o le quitas el repo, Vibethia lo desactiva: deja de recibir escaneos y de aparecer como activo. El historial de sus hallazgos se queda, para que la trazabilidad no se rompa. Sin la app, basta con borrar el workflow y rotar o retirar el token.

Si algo no sale

• El PR no aparece. Comprueba que la app tiene acceso a ese repo.
• El workflow falla. Abre la ejecución en Actions: el paso que falla dice por qué. Si falla un escáner, el envío llega igual y el panel dice qué sensor no corrió.
• El repo sale «sin escaneo». El PR sigue sin fusionar.
• «401» en el envío. El secreto VIBETHIA_TOKEN no está, está mal copiado o es un token rotado.