Вставьте ссылку на репозиторий GitHub, запустите аудит и получите отчёт с оценкой. vetkit ищет утечки секретов, уязвимые зависимости, рискованные паттерны кода и проблемы гигиены репозитория — неважно, кто написал код: ваша команда, подрядчик или ИИ-агент.
acme/payments-api@main·9f3c2e1
УСПЕШНО86/100
10 находок · критических: 0
Главные находки4 из 10
URL вебхука Slack закоммичен в исходный код
src/notify/slack.ts:14
lodash 4.17.20 — инъекция команд (CVE-2021-23337)
package-lock.json
SQL-запрос собирается конкатенацией строк
src/db/orders.ts:88
Нет политики раскрытия SECURITY.md
корень репозитория
Как это работает
Не нужно устанавливать агенты или настраивать пайплайны. Начните в браузере, а автоматизируйте позже через API или MCP.
Войдите через GitHub и установите GitHub App vetkit для выбранных репозиториев — публичных или приватных. Приложение запрашивает только доступ на чтение и ничего больше.
Содержимое · Метаданные · Пул-реквесты — чтение
Вставьте URL репозитория и выберите ветку, тег или коммит — или включите «Аудит при push», и аудит будет запускаться заново при каждом push в ветку по умолчанию. vetkit делает поверхностную одноразовую копию и запускает анализаторы по файлам — ничего не устанавливая, не собирая и не выполняя.
github.com/acme/payments-api @ main
Оценка от A до F, балл по каждой категории и все находки с файлом, строкой, критичностью и предложенным исправлением. Запустите аудит позже, чтобы увидеть, какие находки появились и сколько вы исправили. Скачайте отчёт в Markdown или SARIF либо получите JSON через API.
B · 86/100 · 10 находок
Что мы проверяем
Каждый аудит запускает проверенные open-source-сканеры и собственные проверки vetkit, а затем сводит всё в единый список находок без дубликатов. В отчёте указаны все запущенные анализаторы и версии инструментов.
API-ключи, токены, приватные ключи и учётные данные, закоммиченные в рабочее дерево.
Известные уязвимости в пакетах, версии которых зафиксированы в ваших lock-файлах, по открытой базе OSV.
Поиск рискованного кода по паттернам: инъекции, небезопасная десериализация, слабая криптография и похожие ошибки.
Основы, благодаря которым кодовую базу безопасно передать, открыть как open source или развернуть.
Эвристическая метрика того, какая часть кодовой базы написана с помощью ИИ. Она основана на трейлерах и ритме коммитов, конфигурационных файлах агентов, таких как CLAUDE.md или AGENTS.md, и проверке небольшой выборки файлов моделью.
Честное предупреждение: авторство ИИ невозможно надёжно определить по коду. Это сигнал, а не доказательство, — повод для разговора. Он носит информационный характер и никогда не влияет на вашу оценку.
Каждая категория начинается со 100 баллов и теряет баллы за каждую находку с учётом её критичности; потери ограничены для каждого уровня критичности, чтобы множество мелких находок не могло обрушить оценку репозитория. Категории с весами складываются в общий балл и буквенную оценку.
Неустранённая критическая находка ограничивает оценку уровнем D, и отчёт объясняет почему. Подавляйте ложные срабатывания с указанием причины и, при необходимости, срока действия; подавления сохраняются в последующих аудитах и остаются видны в журнале аудита.
Безопасность и конфиденциальность
Мы построили vetkit на принципах минимальных привилегий и короткого хранения данных, потому что вы доверяете ему свой исходный код.
vetkit может читать репозитории, к которым вы дали доступ. Он не может делать push, создавать issues, менять настройки или трогать другие репозитории.
Никаких скриптов установки, сборок и тестов. Анализаторы только читают файлы, символические ссылки при получении кода отключены, а собственная конфигурация сканеров в репозитории игнорируется.
Каждый аудит использует поверхностный клон в новом временном каталоге, который удаляется по завершении аудита — успешном или нет.
Находки-секреты маскируются перед сохранением. Мы храним файл, строку и односторонний хеш — но никогда сами учётные данные.
Токены доступа GitHub выпускаются отдельно для каждого аудита, ограничены одним репозиторием, истекают в течение часа и никогда не записываются на диск или в базу данных.
Токены сессий и API-ключи хранятся только в виде хешей. API-ключ показывается ровно один раз, имеет явно заданные области доступа и может быть мгновенно отозван.
Ровно то, что запрашивает приложение. GitHub попросит вас подтвердить любое изменение.
| Разрешение | Доступ |
|---|---|
| СодержимоеПолучение файлов коммита, который вы проверяете | Чтение |
| МетаданныеСписок репозиториев и веток по умолчанию | Чтение |
| Пул-реквестыАудит пул-реквестов (скоро) | Чтение |
| Адреса электронной почтыИдентификация вашего аккаунта при входе | Чтение |
Подробнее — на нашей странице безопасности и в политике конфиденциальности.
MCP и API
MCP-сервер vetkit даёт Claude Code — и любому другому MCP-клиенту — инструменты для подключения репозиториев, запуска аудитов и чтения находок. Всё, что есть в приложении, доступно и через документированный REST API.
claude mcp add vetkit -e VETKIT_API_KEY=vk_live_... -- npx -y @vetkit/mcp# Запустить аудит подключённого репозиторияcurl -X POST https://api.vetkit.dev/v1/orgs/$ORG_ID/audits \ -H "Authorization: Bearer $VETKIT_API_KEY" \ -H "Content-Type: application/json" \ -d "{\"repositoryId\":\"$REPO_ID\",\"ref\":\"main\"}" # Скачать отчёт в формате SARIF для GitHub code scanningcurl "https://api.vetkit.dev/v1/orgs/$ORG_ID/audits/$AUDIT_ID/report?format=sarif" \ -H "Authorization: Bearer $VETKIT_API_KEY" -o vetkit.sarifЦены
vetkit — новый продукт, и мы подключаем команды небольшими группами. Во время беты все функции бесплатны, а взамен мы будем рады вашим отзывам о том, что в отчётах верно, а что нет.
Бета
0 $банковская карта не нужна
Когда появятся платные тарифы, мы объявим о них заранее, и ничего из того, что вы запускаете во время беты, не будет оплачиваться задним числом.
Мы подключаем команды небольшими группами. Расскажите о своей команде и репозиториях, которые хотите проверять, и мы всё настроим — бесплатно во время беты.
Хотите написать напрямую? mehmetnamiduru@vetkit.dev