Seguridad monitoriza tus repositorios en busca de dependencias con vulnerabilidades conocidas, credenciales filtradas y código vulnerable, guarda todos los hallazgos en una única lista y convierte los que confirma en solicitudes de extracción que tu equipo revisa y fusiona.
Esta sección describe la funcionalidad del producto: la seguridad de tu código. Para saber cómo protege Coroid tu código y datos, consulta Seguridad e implementación.
Qué hace
| Protección | Qué hace | Puede hacer fallar una comprobación |
|---|---|---|
| Dependencias vulnerables | Lee los archivos de bloqueo de cada proyecto en la rama principal y compara cada paquete con las alertas publicadas. También analiza los cambios en los archivos de bloqueo de pull request de la misma manera. | Sí |
| Corregir dependencias vulnerables | Abre un pull request que actualiza el paquete vulnerable, empezando por los hallazgos críticos. | No |
| Secretos filtrados | Busca credenciales en cada cambio y también en todo el historial de la rama principal. | Sí |
| Análisis de código | Las reglas de seguridad de Coroid para el código, más tu propio comando de análisis si lo tienes. | Sí |
| Revisión de seguridad en las solicitudes de extracción | Comprueba los problemas de seguridad que detecta Coroid Review mediante una verificación independiente antes de que cualquiera de ellos pueda hacer fallar un pull request. | Sí |
| Alertas de seguridad de GitHub | Importa las alertas de Dependabot, análisis de código y escaneo de secretos para que aparezcan junto a los hallazgos propios de Coroid. | No |
| Auditoría de seguridad | Lee tu código más importante y el código modificado desde la última auditoría en busca de vulnerabilidades. Solo conserva los hallazgos confirmados por una verificación independiente. | No |
Cada medida de protección se explica en su propia página dentro de esta sección. Consulta Protecciones y aplicación para saber cómo se activan, supervisan y aplican.
Dónde se encuentra
Seguridad tiene su propia ubicación en el menú principal, después de Control de Calidad:
- Resumen: muestra los hallazgos por gravedad y cuántos han superado su fecha límite, la cobertura de cada proyecto y la última vez que se realizó el escaneo, el progreso de las correcciones, el estado de los datos de las alertas y de las alertas de GitHub.
- Hallazgos: la lista única de todo lo que detecta Seguridad, agrupado por proyecto. Consulta Hallazgos y su ciclo de vida.
- Dependencias: el inventario de paquetes de cada proyecto, con una exportación en formato CycloneDX. Consulta Dependencias vulnerables.
- Modelos de amenazas: uno por proyecto. Consulta Modelos de amenazas.
- Configuración: la configuración predeterminada de la organización y de cada proyecto, con un interruptor para cada medida de protección.
Todos los miembros ven el Resumen, Hallazgos, Dependencias y Modelos de amenazas de los proyectos a los que tienen acceso. Los propietarios y administradores de la organización modifican la configuración, los modelos de amenazas y las excepciones, y gestionan los hallazgos. Las tareas de corrección son trabajo ordinario: aparecen en Fábrica y un hallazgo enlaza a su tarea y a pull request.
Cómo decide
Lo decide la evidencia. Un hallazgo bloquea un pull request o notifica a alguien solo si cuenta con evidencia de un tipo específico, verificada en una commit concreta. Todo lo demás se etiqueta como "No confirmado todavía" y no produce ningún efecto. Consulta Evidencia.
Nada de resultados verdes silenciosos. Un resultado limpio solo se considera válido tras un escaneo completo. Un escaneo parcial, un permiso perdido, un inventario obsoleto o datos de alertas retrasados se muestran como cobertura desconocida o parcial, nunca como corregidos.
Las personas mantienen el control. Coroid abre las solicitudes de extracción; las personas las fusionan. Las excepciones, la configuración del escáner y la divulgación las deciden los propietarios y administradores en Seguridad, nunca un cambio en fase de prueba.
Privacidad por defecto. Los detalles de una vulnerabilidad que aún no es pública permanecen dentro de Coroid hasta que alguien con autorización la divulgue. Consulta Divulgación.
Coroid nunca utiliza una credencial que detecte. No intenta usar una credencial filtrada para comprobar si funciona.
Cuánto cuesta
Seguridad está incluida en todos los planes, incluso en el gratuito.
- La detección no tiene coste. Los inventarios, la coincidencia de asesorías, los escaneos de secretos y código, así como las importaciones de alertas no utilizan ningún modelo AI, por lo que no consumen créditos ni horas de agente. Los escaneos propios de cada organización ocupan una de sus ranuras de agente mientras se ejecutan. Si no hay ninguna ranura disponible, esperan, y esto se muestra como 'en espera' en Mission Control; la cobertura se indicará como 'desconocida' hasta que se ejecuten. Pausar el trabajo de los agentes en Mission Control no detiene los escaneos de seguridad.
- **El trabajo que utiliza un modelo se cobra igual que cualquier otro tipo de trabajo.**Tareas de corrección, la auditoría de seguridad y la verificación independiente de las afirmaciones de seguridad de la Revisión de Coroid. Este proceso consume tus créditos y horas de agente, aparece en Configuración → Actividad y espera cuando se agoten los créditos o las horas. La detección continúa ejecutándose.
Lo que aún no cubre.
Las imágenes de contenedores, la infraestructura como código, los escaneos en tiempo de ejecución y las licencias no están cubiertos. La configuración del flujo de trabajo de CI solo está cubierta por las reglas de código existentes de Coroid. El Resumen lo indica claramente, por lo que nada se considerará cubierto si no lo está.