Lámina I·Pitangus sulphuratus
Seguridad de aplicaciones autoalojada para equipos pequeños. Pitangus analiza tu código, tus dependencias y tus secretos, te dice qué introduce y qué corrige cada cambio, y guarda la evidencia que un auditor puede comprobar.
Guía de campo
Siete motores abiertos en los que ya confías revisan tu código, dependencias, secretos, infraestructura e imágenes. Pitangus junta lo que encuentran, quita los duplicados y archiva cada hallazgo con dónde vive y cómo corregirlo.
Opengrep · Gitleaks · Trivy · OSV-Scanner · Grype · Checkov · zizmor
CWE-89
app/db.py:14
La entrada de la petición llega a una consulta armada con texto.
CVE-2021-23337
package-lock.json
Actualiza a 4.18.0: cierra los seis avisos.
CWE-798
config/settings.py:3
Revócalo primero. Su valor nunca sale de tu servidor.
CKV_AWS_20
infra/s3.tf:8
Cualquiera podría listarlo. Bloquea el acceso público.
Pull requests
En CI, Pitangus analiza el punto de partida y tu cambio con los mismos motores, así que una pull request se juzga solo por lo que añade. También dice qué corrigió, y solo se lo atribuye si los dos análisis terminaron y el archivo cambió de verdad.
Un paso en tu workflow
- uses: actions/checkout@v4
with: { fetch-depth: 0 }
- uses: Pitangus-Dev/pitangus@v0.12.0La GitHub Action oficial usa la imagen publicada: sin compilar y sin socket de Docker.
$ pitangus scan --base main
Pitangus · api · cambios respecto a main (merge-base 4f2a9c1e, 1 archivo) Sin hallazgos nuevos. Corregido en este cambio (1): estaba en el punto de partida, ya no está y su archivo cambió. ALTA app/db.py:14 Inyección SQL desde la petición PASA · umbral: alta o superior · Sin hallazgos nuevos en el código que cambiaEl registro
Cada hallazgo guarda su historia: cuándo apareció, quién lo revisó y por qué, su plazo según tu política y el análisis que demostró que ya no está. Las decisiones se registran, no se sobrescriben.
| Hallazgo | Estado | Plazo |
|---|---|---|
| Inyección SQL · app/db.py:14 | Corregido | 20 oct |
| lodash 4.17.15 · 6 vulnerabilidades | Abierto | 30 oct |
| Bucket público · infra/s3.tf | Riesgo aceptado | Hasta el 1 dic |
El mismo código, con los mismos motores y los mismos datos de avisos, da el mismo resultado. Un auditor lo puede repetir.
SBOM (CycloneDX), VEX (OpenVEX), informes de SLA y el rastro de cada decisión.
Si un motor falla, el análisis lo dice, y nada de lo que mira ese motor cuenta como corregido. Nunca se lee como «sin hallazgos».
Cualquier herramienta, un registro
Importa SARIF de cualquier escáner o revisor con IA. Sus hallazgos entran al mismo registro, con triage, plazos e incidencias. Solo una nueva importación completa de esa misma herramienta puede darlos por corregidos: cada herramienta responde por lo que mira.
Jira
Cada repositorio manda sus incidencias al proyecto que le toca, con tus campos personalizados. Dicen qué pasa, dónde, cómo corregirlo, cómo comprobarlo y para cuándo. Cuando la corrección se verifica, Pitangus lo comenta en la incidencia.
SEC-142
Pitangus verificó la corrección en el análisis 9f3c… del 2 oct.
Tuyo
Un servidor con Docker y 4 GB de memoria. Tu código y tus hallazgos se quedan contigo.
AGPL-3.0. Lee cada línea, cámbiala y úsala sin pedir permiso.
Escrito para cada idioma, no traducido a máquina. Informes, comentarios de PR e incidencias incluidos.
No llama a casa. Solo sale a buscar avisos públicos y, si los conectas, a GitHub y Jira.
Instalar
1Necesitas Docker, make y git.
2Arráncalo y abre el panel.
git clone --branch v0.12.0 https://github.com/Pitangus-Dev/pitangus.git
cd pitangus
make setup PREBUILT=1
make up3O añade la Action a tu workflow.
- uses: Pitangus-Dev/pitangus@v0.12.0Leer la documentación Libre y de código abierto (AGPL-3.0). Corre en tu servidor: sin cuenta y sin telemetría.