Menos lista, más criterio
El mismo producto, con la lectura técnica: CVE, CVSS, regla, huella y evidencia. Aquí van las siglas, el mapa de capacidades frente a lo que esperáis de una ASPM, cómo encaja en vuestro pipeline, lo medido y lo que todavía no está.
Capacidad a capacidad, con su motor
Lo que pediríais a una ASPM, y qué hay detrás de cada casilla. Cada fila enlaza a su página, escrita en dos voces: la llana y la técnica.
| Capacidad | Por dentro | Hoy |
|---|---|---|
| SAST | Semgrep: p/default, p/expressjs y 5 reglas propias | Sí |
| SCA | OSV-Scanner sobre lockfiles, sin resolver | Sí |
| Reachability | La juzga el analista con los usos del paquete; sube la prioridad | Sí, por lectura; no por grafo de llamadas |
| Malware en dependencias | Avisos MAL- de OSV; bloquea el check del PR | Sí |
| Secrets detection | Gitleaks, árbol actual, enmascarado en el runner | Sí |
| IaC scanning | Trivy config: Dockerfile, Terraform, Kubernetes, Helm… | Sí |
| Container scanning | Trivy image sobre la imagen que indiquéis | Sí |
| SBOM | CycloneDX por escaneo, descargable | Sí |
| CI/CD security | Acciones sin fijar e inyección en run (Semgrep); no audita permissions | Parcial |
| AI triage | Claude en el worker; veredicto por regla fija; historial inmutable | Sí |
| Deduplicación entre escáneres | Huella estable sin línea; equivalencias entre reglas | Sí |
| DAST | No lanza peticiones contra la app | No |
| CSPM | No se conecta a la cuenta de nube | No |
| Licencias · EOL | No | No |
Las siglas, explicadas una a una, en el glosario. El mapa en llano, en Qué revisa.
Se engancha a vuestro CI. No al revés
Los escáneres corren en las Actions del cliente, como Xygeni. Un workflow reutilizable, un token por repo, y a Vibethia llega lo justo para triar.
Push a la rama por defecto
Escaneo completo: Semgrep, OSV-Scanner, Gitleaks, Trivy. SARIF y fragmentos enmascarados a la API; triaje en el worker a los minutos.
Pull request
Solo OSV-Scanner y el bloqueo de malware conocido. Nada más frena el merge. Nunca pull_request_target.
Lo que viaja
SARIF saneado, ±20 líneas por hallazgo ya enmascaradas, usos de cada dependencia con aviso. Nunca el repo. Token vbt_ por repo; solo guardamos su SHA-256.
Lo que no cambia
Vuestros runners, vuestros minutos, vuestras ramas. Un job más junto a los tests. Alta con la GitHub App o a mano.
Lo que ya hace distinto
Triaje con justificación
Cada hallazgo lleva su clasificación, la confianza y el razonamiento citando ruta y línea. El historial no se edita.
Una lista, no cuatro
Deduplicación entre SAST, SCA, secretos e IaC, con huella estable entre escaneos.
Veredicto por regla fija
El modelo clasifica. La decisión la toma una tabla publicada, con frenos para secretos y críticos.
Análisis de lógica
Reglas propias sin IA y revisión con IA de los puntos de entrada.
Datos en la UE
Fráncfort. Los escáneres corren en vuestras Actions: no se clona.
Separación entre clientes en la base
Cada tabla con RLS forzado. Sin cuenta, cero filas.
Las cifras, con su contexto
En nuestro repo de pruebas, frente al plan gratuito de Xygeni. No hemos medido los planes de pago de Xygeni ni de Aikido.
Lo que todavía falta
Si alguna de estas es imprescindible para vosotros, decídnoslo: ordena lo que construimos.
| Qué | Hoy |
|---|---|
| Vista técnica (CVE, CVSS, regla, huella) | Sí |
| SBOM (CycloneDX) | Sí |
| Equipo con roles | Sí: propietario, miembro y lector |
| Bloqueo de malware conocido en el PR | Sí |
| Escaneo completo en el PR | Próximamente |
| Clave propia de Anthropic | Próximamente |
| Bloqueo en CI por política | Próximamente |
| Políticas por repo | Próximamente |
| Registro de auditoría exportable | Próximamente |
| Integraciones (Jira, Slack) | Próximamente |
| SSO (SAML, OIDC) | Próximamente |
| Certificaciones (ISO 27001, SOC 2) | No |
| Repos fuera de GitHub | No |
Cómo probarlo
-
Nos escribís
Con el tamaño del equipo y uno o dos repos para medir.
-
Lo medimos sobre vuestro repo
Al lado de lo que usáis hoy, con la misma regla para los dos.
-
Veis el resultado entero
También donde perdamos.
Del ruido a la decisión
Probadlo con un repo vuestro.