Comparação

GitHub Advanced Security vs vetkit: o que cada um cobre

A segurança nativa do GitHub cobre code scanning, segredos e dependências. O vetkit soma uma auditoria de qualidade, riscos de IA e prontidão para produção.

1 de novembro de 2026 · 7 min de leitura · Pela equipe do vetkit

A versão curta

Se o seu código está no GitHub, você já tem acesso a alguns recursos de segurança robustos, e em repositórios públicos vários deles não custam nada. Secret scanning com push protection, Dependabot e code scanning com CodeQL valem a pena ser ativados antes de você comprar qualquer outra coisa, inclusive o vetkit.

O vetkit não os substitui. Ele é uma auditoria de repositório que olha para um conjunto mais amplo de questões (qualidade de código, licenças e manutenção de dependências, prontidão para produção e erros típicos de código assistido por IA) e transforma as respostas em um relatório com notas e em um backlog rastreado. Os achados dele também podem ser exportados em SARIF, o formato que o GitHub code scanning aceita de ferramentas de terceiros.

O que é o GitHub Advanced Security

O GitHub Advanced Security é o conjunto de recursos de segurança do GitHub, hoje oferecido como dois produtos: GitHub Secret Protection e GitHub Code Security. O code scanning executa o CodeQL ou uma ferramenta de terceiros e mostra os alertas nos pull requests e na aba Security do repositório. O secret scanning encontra credenciais no seu repositório, e o push protection pode bloqueá-las antes do push. O Dependabot alerta sobre dependências vulneráveis e pode abrir pull requests para atualizá-las. O Copilot Autofix sugere correções para alertas do code scanning.

Vários desses recursos são gratuitos em repositórios públicos, e repositórios privados exigem um plano pago. Os detalhes mudam de tempos em tempos, então confira a página de planos de segurança do GitHub para a divisão atual. O GitHub também oferece um produto separado de Code Quality, e o servidor MCP do GitHub inclui ferramentas para code security, secret protection e alertas do Dependabot, para que agentes de código possam trabalhar diretamente com esses alertas.

Esses recursos foram feitos para repositórios hospedados no GitHub. O Azure Repos tem uma oferta própria, o GitHub Advanced Security for Azure DevOps.

O que é o vetkit

O vetkit audita um repositório e produz um único relatório com notas em cinco suítes: segurança, qualidade de código, sustentabilidade, riscos de código de IA e prontidão para produção. Ele lê um checkout temporário e nunca instala, compila ou executa o seu código. Ele se apoia em engines open source como gitleaks, OSV-Scanner, Opengrep com as regras próprias do vetkit, Trivy e tree-sitter, além de verificações próprias.

Parte do que ele verifica fica fora dos recursos de segurança do GitHub: pacotes que não existem nos registries públicos, implementações inacabadas, tabelas do Supabase sem row level security, recursos com LLM que confiam na saída do modelo, chamadas HTTP sem timeout, queries dentro de loops, maturidade dos testes, licenças e atividade de manutenção das dependências. Os achados podem ser atribuídos com prazos, e a aceitação de risco exige uma justificativa e a revisão de um administrador em organizações de equipe.

O vetkit se conecta a agentes de código por meio de um servidor MCP local e de uma API REST. Ele está em acesso antecipado: toda conta recebe todos os recursos, o Quick Scan é gratuito todo mês e uma análise completa usa um crédito.

Lado a lado

GitHub Advanced Security e vetkit lado a lado
Tema	GitHub Advanced Security	vetkit
Função principal	Alertas de segurança integrados aos repositórios e pull requests do GitHub	Auditoria de repositório em cinco suítes, com fluxo de correção
Segredos	Secret scanning, mais push protection que pode bloquear pushes	Secret scanning do commit auditado; os valores são mascarados antes de serem armazenados
Dependências	Alertas do Dependabot e pull requests automáticos de atualização	Vulnerabilidades conhecidas, licenças, pacotes descontinuados ou parados, nomes de pacotes inventados
Análise de código	CodeQL ou ferramentas de terceiros via upload de SARIF	Opengrep com as regras do vetkit, mais verificações de qualidade, risco de IA e prontidão para produção
Qualidade de código	Oferecida como um produto separado, o GitHub Code Quality	Incluída: complexidade, duplicação, maturidade dos testes, documentação, saúde do repositório
Integração com agentes	Servidor MCP do GitHub com conjuntos de ferramentas de segurança	Servidor MCP local e API REST
Controle de versão	GitHub; uma oferta separada para o Azure Repos	GitHub; repositórios do GitLab.com e do Bitbucket Cloud também podem ser conectados
Para começar	Vários recursos gratuitos em repositórios públicos; pagos para privados	Quick Scan gratuito todo mês; análises completas usam créditos (3 para começar)

Quando os recursos do GitHub bastam

As suas principais preocupações são credenciais vazadas e dependências vulneráveis, e você quer tratá-las onde já trabalha.
Você quer segredos bloqueados no momento do push, antes mesmo de chegarem ao repositório.
Você quer pull requests automáticos de atualização de dependências.
Os seus repositórios são públicos, então boa parte disso está disponível sem custo.

Quando o vetkit acrescenta algo

Você quer saber se a base de código está pronta para produção, não só se ela tem vulnerabilidades conhecidas.
Muito do código foi escrito com assistentes de IA e você quer verificações para os erros que vêm junto com isso.
Você precisa de um único relatório que possa compartilhar com pessoas que não vivem na aba Security do GitHub, como founders, clientes ou auditores.
Alguns dos seus repositórios estão no GitLab ou no Bitbucket.

Usando os dois

Ative primeiro o secret scanning, o push protection e o Dependabot. Eles evitam problemas cedo e custam pouco. Depois, use o vetkit para uma auditoria periódica do repositório inteiro e das áreas que os recursos de segurança do GitHub não cobrem. Se quiser tudo em um só lugar, exporte os achados do vetkit em SARIF e faça o upload deles no GitHub code scanning.

Fontes

Conferimos as informações sobre outros produtos nesta página com a documentação pública deles em 1 de novembro de 2026. Os produtos mudam rápido, então a documentação do próprio fornecedor é a palavra final.

GitHub, GitHub Advanced Security, CodeQL, Dependabot, Copilot são marcas de seus respectivos proprietários. O vetkit não é afiliado, endossado nem patrocinado por esses proprietários. Os nomes são usados apenas para identificar os produtos comparados. Viu algo desatualizado ou errado? Escreva para contact@vetkit.dev e vamos corrigir.