Qué tocamos y qué no
Una herramienta de seguridad tiene que empezar por la suya. Esto es lo que hacemos con tus datos, dicho entero.
Cuatro respuestas rápidas
- ¿Os lleváis mi código? No.
La revisión corre en tu CI. Nos llega el aviso y el trozo de código que señala.
- ¿Veis mis claves? No.
Si se encuentra una clave, llega tapada: su valor no sale de tu GitHub.
- ¿Dónde están mis datos? En la UE.
Base de datos y servidores, en Fráncfort.
- ¿Puede otro cliente ver lo mío? No.
La separación la impone la base de datos, no la disciplina de cada consulta.
Qué viaja y qué no
Lo único que sale de la UE es lo que lee el analista con IA: el aviso, el trozo de código señalado y, en la revisión de lógica, los ficheros sensibles. El analista es Claude, de Anthropic.
Tu repo
El código se queda aquí. No lo clonamos.
Tus Actions
Semgrep, OSV-Scanner, Gitleaks y Trivy corren aquí.
Vibethia
Ordena, quita duplicados y decide con regla fija.
Tu panel
Qué corregir y por qué.
El analista con IA (Claude)
Ve el fragmento, no el repo.
Qué datos tratamos
| Dato | Para qué |
|---|---|
| Los avisos de las herramientas | Ordenarlos, quitar repetidos y decidir |
| El trozo de código que señala cada aviso | Que el analista diga si es real |
| Un mapa del repo y los ficheros sensibles, con tope de tamaño y con las claves tapadas | Revisar la lógica de tu app |
| La lista de librerías que usa tu app | Saber de cuáles dependes |
| Email, nombre y, si entras con GitHub, tu identificador de GitHub | Tu cuenta |
Lo que no tratamos: el repo entero, su historial, el valor de las claves ni datos de pago.
Cómo nos protegemos
Cada cliente, separado en la base
Cada tabla exige saber de qué cuenta es la consulta. Sin cuenta, la base devuelve cero filas. Un test comprueba que una cuenta no ve nada de otra.
El control, en el servidor
Cada página tiene su regla según quién eres. Una página sin regla no existe.
Contraseñas y claves
Las contraseñas se guardan cifradas con Argon2id. Las claves de acceso se enseñan una vez y se guardan solo por su huella.
Para entrar
Con GitHub, que aporta su segundo paso de verificación, o con email y contraseña, con bloqueo tras varios fallos.
Nos revisamos con Vibethia
Y en cada cambio pasamos pruebas de ataque contra la propia app y nuestra lista de comprobaciones.
Quién más trata tus datos
| Quién | Para qué | Dónde |
|---|---|---|
| Supabase | Base de datos | UE (Fráncfort) |
| Fly.io | Servidores | UE (Fráncfort) |
| Anthropic | El analista con IA | Fuera de la UE |
| Brevo | Correo de la cuenta | UE |
| GitHub | Acceso y conexión de los repos | Tu cuenta de GitHub |
Si encuentras una vulnerabilidad en Vibethia
Escríbenos antes que a nadie. Contestamos en dos días laborables, decimos qué vamos a hacer y, si quieres, te nombramos al arreglarlo.
A dónde
hi@vibethia.com, con «seguridad» en el asunto. La misma dirección está en
/.well-known/security.txt.Qué nos ayuda
Los pasos para reproducirlo y qué impacto crees que tiene. No hace falta prueba de concepto contra datos de otros: con la descripción basta.
Qué pedimos
Tiempo para arreglarlo antes de contarlo, y no tocar datos que no sean tuyos. No hay programa de recompensas: somos una empresa pequeña y lo decimos.
Del ruido a la decisión
Conecta un repo y mira qué hay que corregir. Sin hablar con nadie.