Acerca de Pitangus
Pitangus es una herramienta autoalojada y de código abierto de seguridad de aplicaciones para equipos pequeños. Encuentra problemas en el código, las dependencias, los secretos, la infraestructura, las imágenes de contenedor y los sitios que verificas, y solo da algo por corregido cuando un análisis posterior lo demuestra.
Por qué existe
Los equipos pequeños responden los mismos cuestionarios de seguridad y las mismas auditorías que una empresa grande, pero sin un equipo de seguridad. Las herramientas a su alcance suelen caer en uno de dos lados: una lista larga de alertas que nadie tiene tiempo de ordenar, o un servicio al que hay que mandarle el código.
Pitangus toma los motores de código abierto en los que esos equipos ya confían, los corre en su propio servidor, junta lo que encuentran en un solo registro sin duplicados y guarda lo que pide un auditor: cuándo apareció cada hallazgo, quién decidió qué y por qué, y qué análisis demostró que ya no está.
Quién está detrás
Pitangus lo hace Arodium, un equipo pequeño en Colombia. Para clientes hacemos software (a la medida, móvil, web y comercio electrónico), integramos datos, IA y sistemas empresariales, trabajamos en cloud y DevSecOps, y hacemos pruebas de seguridad: pentesting, seguridad de aplicaciones y de código, y revisiones de seguridad en la nube. También desarrollamos productos propios, y Pitangus es uno de ellos: sale de esa práctica de seguridad.
El proyecto está en beta: lo que cambia en cada versión, también lo que se rompe, queda en el changelog.
Principios
- Autoalojado
- Corre en tu servidor con Docker. Tu código y tus hallazgos se quedan ahí.
- Sin telemetría
- No nos envía nada. Solo sale a buscar avisos públicos, a los registros de las imágenes que analizas, a los dominios que verificas, a los servicios que conectas y, si los activas, a OSV y a los proveedores de tus secretos.
- Demuestra las correcciones
- Un hallazgo está corregido cuando un análisis posterior, con sus motores terminados, ya no lo encuentra. Si un motor falla o está apagado, el análisis lo dice y nada de lo que cubre cuenta como corregido.
- Nunca inventa correcciones
- La corrección que muestra es el texto de la propia herramienta, seguido de los enlaces a las páginas de OWASP que aplican. Pitangus no redacta correcciones propias.
- Código abierto
- GNU AGPL-3.0. Lee cada línea, cámbiala y úsala sin pedir permiso. Sus reglas SAST son MIT, así que otras herramientas pueden reutilizarlas.
Cómo contribuir
- Reportar un problema o preguntar
- Abre un issue en GitHub. Cuenta qué corriste, qué esperabas y qué pasó; nunca pegues tokens ni logs sin revisar.
- Reportar una vulnerabilidad
- En privado, como explica la política de seguridad. No en un issue público.
- Cambiar el código
- Para cambios grandes, abre primero un issue y luego una pull request. La guía de contribución dice qué pruebas correr; en tu primera pull request se te pide aceptar el acuerdo de contribución.
- Correr la voz
- Si Pitangus le sirve a tu equipo, una estrella en GitHub o una mención ayuda a que otros equipos pequeños lo encuentren.
Contacto
Las preguntas, ideas y problemas van a los issues de GitHub, donde las respuestas quedan públicas para la próxima persona que pregunte.