Fügen Sie ein GitHub-Repo ein, starten Sie ein Audit und erhalten Sie einen benoteten Bericht. vetkit prüft auf offengelegte Secrets, verwundbare Abhängigkeiten, riskante Codemuster und Repo-Hygiene — egal, ob der Code von Ihrem Team, einem externen Dienstleister oder einem KI-Agenten geschrieben wurde.
acme/payments-api@main·9f3c2e1
ERFOLGREICH86/100
10 Befunde · 0 kritisch
Wichtigste Befunde4 von 10
Slack-Webhook-URL im Quellcode committet
src/notify/slack.ts:14
lodash 4.17.20 — Command Injection (CVE-2021-23337)
package-lock.json
SQL per String-Verkettung zusammengesetzt
src/db/orders.ts:88
Keine SECURITY.md mit Richtlinie zur Offenlegung
Repository-Stammverzeichnis
So funktioniert es
Keine Agenten installieren, keine Pipelines einrichten. Starten Sie im Browser und automatisieren Sie später per API oder MCP.
Melden Sie sich mit GitHub an und installieren Sie die vetkit GitHub App für die Repositorys Ihrer Wahl — öffentlich oder privat. Sie fordert ausschließlich Lesezugriff an.
Inhalte · Metadaten · Pull Requests — Lesen
Fügen Sie eine Repository-URL ein und wählen Sie einen Branch, Tag oder Commit, oder aktivieren Sie „Audit bei Push“, damit das Audit bei jedem Push auf den Standard-Branch erneut ausgeführt wird. vetkit erstellt einen temporären Shallow Checkout und führt seine Analyzer auf den Dateien aus — ohne etwas zu installieren, zu bauen oder auszuführen.
github.com/acme/payments-api @ main
Eine Note von A bis F, ein Score pro Kategorie und jeder Befund mit Datei, Zeile, Schweregrad und Lösungsvorschlag. Führen Sie das Audit später erneut aus, um zu sehen, welche Befunde neu sind und wie viele Sie behoben haben. Laden Sie Markdown oder SARIF herunter oder rufen Sie JSON über die API ab.
B · 86/100 · 10 Befunde
Was wir prüfen
Jedes Audit führt bewährte Open-Source-Scanner und eigene Prüfungen von vetkit aus und fasst alles in einer einzigen Liste deduplizierter Befunde zusammen. Der Bericht nennt jeden ausgeführten Analyzer und jede Tool-Version.
API-Schlüssel, Tokens, private Schlüssel und Zugangsdaten, die im Arbeitsverzeichnis committet wurden.
Bekannte Schwachstellen in den Paketen, die Ihre Lockfiles festschreiben, abgeglichen mit der offenen OSV-Datenbank.
Musterbasierte Analyse für riskanten Code: Injection, unsichere Deserialisierung, schwache Kryptografie und ähnliche Fehler.
Die Grundlagen, damit eine Codebasis bedenkenlos übergeben, als Open Source veröffentlicht oder deployt werden kann.
Eine heuristische Schätzung, wie viel einer Codebasis mit KI-Unterstützung geschrieben wurde — basierend auf Commit-Trailern und Commit-Rhythmus, Agent-Konfigurationsdateien wie CLAUDE.md oder AGENTS.md und einer Modellprüfung einer kleinen Stichprobe von Dateien.
Ehrlicher Hinweis: KI-Autorschaft lässt sich aus Code nicht zuverlässig erkennen. Dies ist ein Signal, kein Beweis — ein Anlass für ein Gespräch. Es dient nur der Information und beeinflusst Ihre Note nie.
Jede Kategorie startet bei 100 und verliert pro Befund Punkte, gewichtet nach Schweregrad und je Schweregrad gedeckelt, damit eine Häufung kleinerer Befunde ein Repo nicht herunterziehen kann. Die Kategorien werden gewichtet zu einem Gesamtscore und einer Buchstabennote zusammengefasst.
Ein ungelöster kritischer Befund begrenzt die Note auf D, und der Bericht erklärt Ihnen, warum. Unterdrücken Sie False Positives mit einer Begründung und optionalem Ablaufdatum; Unterdrückungen werden in spätere Audits übernommen und bleiben im Audit-Trail sichtbar.
Sicherheit & Datenschutz
Wir haben vetkit nach den Prinzipien minimaler Rechte und kurzer Aufbewahrung gebaut, denn Sie vertrauen ihm Ihren Quellcode an.
vetkit kann die Repositorys lesen, für die Sie Zugriff gewähren. Es kann nicht pushen, keine Issues eröffnen, keine Einstellungen ändern und keine anderen Repos anfassen.
Keine Installationsskripte, Builds oder Tests. Analyzer lesen nur Dateien, symbolische Links sind beim Checkout deaktiviert, und die eigene Scanner-Konfiguration eines Repos wird ignoriert.
Jedes Audit nutzt einen Shallow Clone in einem frischen temporären Verzeichnis, das nach Abschluss des Audits gelöscht wird — ob erfolgreich oder nicht.
Secret-Befunde werden vor dem Speichern maskiert. Wir behalten Datei, Zeile und einen Einweg-Hash — niemals die Zugangsdaten selbst.
GitHub-Zugriffstokens werden pro Audit ausgestellt, sind auf dieses eine Repository beschränkt, laufen innerhalb einer Stunde ab und werden nie auf die Festplatte oder in die Datenbank geschrieben.
Sitzungstokens und API-Schlüssel werden nur als Hashes gespeichert. Ein API-Schlüssel wird genau einmal angezeigt, hat explizite Scopes und kann sofort widerrufen werden.
Genau das, was die App anfordert. GitHub bittet Sie, jede Änderung zu genehmigen.
| Berechtigung | Zugriff |
|---|---|
| InhalteDateien des geprüften Commits abrufen | Lesen |
| MetadatenRepositorys und Standard-Branches auflisten | Lesen |
| Pull RequestsPull-Request-Audits (in Kürze) | Lesen |
| E-Mail-AdressenIhr Konto bei der Anmeldung identifizieren | Lesen |
Mehr Details auf unserer Sicherheitsseite und in der Datenschutzerklärung.
MCP & API
Der vetkit-MCP-Server gibt Claude Code — und jedem anderen MCP-Client — Tools, um Repos zu verbinden, Audits auszuführen und Befunde zu lesen. Alles aus der App ist außerdem über eine dokumentierte REST-API verfügbar.
claude mcp add vetkit -e VETKIT_API_KEY=vk_live_... -- npx -y @vetkit/mcp# Audit für ein verbundenes Repository startencurl -X POST https://api.vetkit.dev/v1/orgs/$ORG_ID/audits \ -H "Authorization: Bearer $VETKIT_API_KEY" \ -H "Content-Type: application/json" \ -d "{\"repositoryId\":\"$REPO_ID\",\"ref\":\"main\"}" # Bericht als SARIF für GitHub Code Scanning herunterladencurl "https://api.vetkit.dev/v1/orgs/$ORG_ID/audits/$AUDIT_ID/report?format=sarif" \ -H "Authorization: Bearer $VETKIT_API_KEY" -o vetkit.sarifPreise
vetkit ist neu, und wir nehmen Teams in kleinen Gruppen auf. Während der Beta ist jede Funktion kostenlos — im Gegenzug freuen wir uns über Ihr Feedback dazu, was die Berichte richtig und was sie falsch machen.
Beta
0 $keine Kreditkarte erforderlich
Kostenpflichtige Tarife kündigen wir rechtzeitig vorher an, und nichts, was Sie während der Beta ausführen, wird rückwirkend berechnet.
Wir nehmen Teams in kleinen Gruppen auf. Erzählen Sie uns von Ihrem Team und den Repositorys, die Sie prüfen möchten, und wir richten alles für Sie ein — kostenlos während der Beta.
Lieber direkt schreiben? mehmetnamiduru@vetkit.dev