Pega un repositorio de GitHub, ejecuta una auditoría y obtén un informe con calificación. vetkit busca secretos filtrados, dependencias vulnerables, patrones de código riesgosos y problemas de higiene del repositorio, tanto si el código lo escribió tu equipo como un contratista o un agente de IA.
acme/payments-api@main·9f3c2e1
COMPLETADA86/100
10 hallazgos · 0 críticos
Hallazgos principales4 de 10
URL de webhook de Slack incluida en el código fuente
src/notify/slack.ts:14
lodash 4.17.20 — inyección de comandos (CVE-2021-23337)
package-lock.json
Consulta SQL construida mediante concatenación de cadenas
src/db/orders.ts:88
Falta la política de divulgación SECURITY.md
raíz del repositorio
Cómo funciona
Sin agentes que instalar ni pipelines que configurar. Empieza en el navegador y automatiza más adelante con la API o MCP.
Inicia sesión con GitHub e instala la GitHub App de vetkit en los repositorios que elijas, públicos o privados. Solo pide acceso de lectura, nada más.
Contenido · Metadatos · Pull requests — lectura
Pega la URL de un repositorio y elige una rama, una etiqueta o un commit, o activa la auditoría automática para que se vuelva a ejecutar en cada push a la rama predeterminada. vetkit hace un checkout superficial y desechable y ejecuta sus analizadores sobre los archivos, sin instalar, compilar ni ejecutar nada.
github.com/acme/payments-api @ main
Una calificación de la A a la F, una puntuación por categoría y cada hallazgo con su archivo, línea, severidad y una corrección sugerida. Vuelve a auditar más adelante para ver qué hallazgos son nuevos y cuántos has corregido. Descarga el informe en Markdown o SARIF, u obtén el JSON a través de la API.
B · 86/100 · 10 hallazgos
Qué analizamos
Cada auditoría ejecuta escáneres de código abierto de eficacia probada y comprobaciones propias de vetkit, y después lo normaliza todo en una única lista de hallazgos sin duplicados. El informe indica cada analizador y cada versión de herramienta que se ha ejecutado.
Claves de API, tokens, claves privadas y credenciales incluidas en el árbol de trabajo.
Vulnerabilidades conocidas en los paquetes que fijan tus lockfiles, comparadas con la base de datos abierta OSV.
Análisis basado en patrones para detectar código riesgoso: inyección, deserialización insegura, criptografía débil y errores similares.
Lo básico para que una base de código se pueda traspasar, publicar como código abierto o desplegar con seguridad.
Una estimación heurística de qué parte de una base de código se escribió con ayuda de IA, basada en los trailers y la cadencia de los commits, en archivos de configuración de agentes como CLAUDE.md o AGENTS.md y en la revisión, por parte de un modelo, de una pequeña muestra de archivos.
Advertencia sincera: la autoría por IA no se puede detectar de forma fiable a partir del código. Es una señal, no una prueba: un punto de partida para conversar. Es solo informativa y nunca afecta a tu calificación.
Cada categoría empieza en 100 y pierde puntos por cada hallazgo, en función de su severidad y con un tope por nivel de severidad para que una acumulación de hallazgos menores no hunda un repositorio. Las categorías se ponderan para obtener una puntuación global y una calificación con letra.
Un hallazgo crítico sin resolver limita la calificación a una D, y el informe te explica por qué. Silencia los falsos positivos indicando un motivo y, si quieres, una fecha de expiración; los silenciamientos se mantienen en las auditorías posteriores y siguen visibles en el historial de la auditoría.
Seguridad y privacidad
Diseñamos vetkit en torno al mínimo privilegio y a una retención breve, porque le estás confiando tu código fuente.
vetkit puede leer los repositorios a los que le das acceso. No puede hacer push, abrir issues, cambiar la configuración ni tocar otros repositorios.
Ni scripts de instalación, ni compilaciones, ni pruebas. Los analizadores solo leen archivos, los enlaces simbólicos se desactivan en el checkout y se ignora la configuración de escáneres del propio repositorio.
Cada auditoría usa un clon superficial en un directorio temporal nuevo que se elimina cuando la auditoría termina, tanto si tiene éxito como si falla.
Los hallazgos de secretos se enmascaran antes de guardarse. Conservamos el archivo, la línea y un hash unidireccional, nunca la credencial en sí.
Los tokens de acceso de GitHub se generan para cada auditoría, se limitan a ese único repositorio, expiran en menos de una hora y nunca se escriben en disco ni en la base de datos.
Los tokens de sesión y las claves de API solo se almacenan como hashes. Una clave de API se muestra exactamente una vez, tiene ámbitos explícitos y se puede revocar al instante.
Exactamente lo que solicita la app. GitHub te pedirá que apruebes cualquier cambio.
| Permiso | Acceso |
|---|---|
| ContenidoObtener los archivos del commit que auditas | Lectura |
| MetadatosListar repositorios y ramas predeterminadas | Lectura |
| Pull requestsAuditorías de pull requests (próximamente) | Lectura |
| Direcciones de correo electrónicoIdentificar tu cuenta al iniciar sesión | Lectura |
Más detalles en nuestra página de seguridad y en la política de privacidad.
MCP y API
El servidor MCP de vetkit le da a Claude Code —y a cualquier otro cliente MCP— herramientas para conectar repositorios, ejecutar auditorías y leer hallazgos. Todo lo que hay en la app también está disponible a través de una API REST documentada.
claude mcp add vetkit -e VETKIT_API_KEY=vk_live_... -- npx -y @vetkit/mcp# Inicia una auditoría en un repositorio conectadocurl -X POST https://api.vetkit.dev/v1/orgs/$ORG_ID/audits \ -H "Authorization: Bearer $VETKIT_API_KEY" \ -H "Content-Type: application/json" \ -d "{\"repositoryId\":\"$REPO_ID\",\"ref\":\"main\"}" # Descarga el informe en SARIF para el code scanning de GitHubcurl "https://api.vetkit.dev/v1/orgs/$ORG_ID/audits/$AUDIT_ID/report?format=sarif" \ -H "Authorization: Bearer $VETKIT_API_KEY" -o vetkit.sarifPrecios
vetkit es nuevo y estamos incorporando equipos en pequeños grupos. Durante la beta, todas las funciones son gratuitas; a cambio, nos encantaría que nos contaras en qué aciertan y en qué fallan los informes.
Beta
0 US$no se necesita tarjeta de crédito
Cuando lleguen los planes de pago, los anunciaremos con antelación, y nada de lo que ejecutes durante la beta se facturará de forma retroactiva.
Preguntas frecuentes
¿Falta algo? Escríbenos a mehmetnamiduru@vetkit.dev.
Estamos incorporando equipos en pequeños grupos. Cuéntanos cómo es tu equipo y qué repositorios quieres auditar, y te ayudaremos a empezar; es gratis durante la beta.
¿Prefieres escribirnos directamente? mehmetnamiduru@vetkit.dev