Revisión de seguridad de dependencias y CI/CD

¿Cómo se determina si la vulnerabilidad de una dependencia es realmente explotable?

Cada aviso se verifica contra la versión exacta fijada en tus manifiestos y lockfiles, no contra un rango de versiones, así un aviso que no aplica a tu versión fijada no se reporta como riesgo. Luego los hallazgos se ordenan por exposición real y no por el puntaje CVSS en bruto, y todo lo explotable se reporta primero y en privado por tu canal de seguridad. La revisión es de solo lectura y reporta lo que encuentra; no puede garantizar que no exista otra vulnerabilidad.

¿Qué incluye una revisión de seguridad de CI/CD?

La revisión examina los permisos, los tokens y las acciones de terceros de tus flujos de CI y CD con OpenSSF Scorecard, revisa los manifiestos y lockfiles en busca de nombres de paquetes internos que un registro público podría suplantar (confusión de dependencias) y puede añadir una verificación opcional de conformidad con el Reglamento de Ciberresiliencia de la UE que cubre la política de seguridad, el security.txt, el SBOM y el flujo de reporte de vulnerabilidades. Es de solo lectura: tú eliges los repositorios y no se sube nada a tu código.

Para quién es

Equipos que lanzan software con dependencias de terceros en Java, Go, JavaScript, Python o ecosistemas similares.
Empresas que necesitan demostrar, antes de una auditoría o la revisión de un cliente, que sus dependencias y pipelines fueron revisados.
Mantenedores de código abierto y proveedores que se preparan para el Reglamento de Ciberresiliencia (CRA) de la UE.

Qué cubre la revisión

Vulnerabilidades conocidas. Dependencias de producción verificadas contra OSV, con cada aviso comprobado contra la versión exacta fijada en tus manifiestos y lockfiles — no una estimación por rango de versiones.
Riesgos de confusión de dependencias. Manifiestos y lockfiles revisados en busca de nombres de paquetes internos que un registro público podría suplantar.
Permisos de los workflows de CI/CD. Tokens de los workflows, acciones de terceros y ajustes de la cadena de suministro revisados con OpenSSF Scorecard.
Conformidad con el CRA (opcional). Política de seguridad, security.txt, SBOM y el flujo de reporte de vulnerabilidades (asesoría técnica, no legal).

Qué recibes

Un informe por escrito: cada hallazgo con su fuente y, cuando existe, la versión que lo corrige.
Hallazgos ordenados por exposición real, no por el puntaje CVSS en bruto.
Cualquier cosa explotable se reporta primero, en privado, por tu canal de seguridad.
Una ronda de preguntas de seguimiento por correo después de la entrega.

Cómo funciona

Solo lectura. Tú eliges los repositorios; no se envía nada a tu código.
En 2 días hábiles recibes el alcance por escrito: repositorios, si se incluye la conformidad con el CRA, fecha de entrega y precio.
Se paga 50% al iniciar el trabajo y 50% a la entrega.
El trabajo es asíncrono: correo y el informe por escrito. Hay una llamada disponible si la prefieres.

Precio

USD 4.800, fijo, por un repositorio y sus workflows de CI/CD, entregado en 5 días hábiles.
USD 12.000, fijo, por hasta 5 repositorios del mismo sistema, entregado en 10 días hábiles.
+ USD 1.500 por la verificación opcional de conformidad con el CRA de la UE, que añade 2 días hábiles a cualquiera de los niveles.
Pago por transferencia bancaria internacional en USD, con factura.

Condiciones en breve

La revisión es de solo lectura y reporta lo que encuentra; no puede prometer que no exista otra vulnerabilidad.
Tu código y tus datos son confidenciales. Firmar tu NDA no es problema.
La conformidad con el CRA es una verificación técnica, no asesoría legal. La responsabilidad se limita al precio pagado.

Antecedentes

Dependencias vulnerables reportadas a mantenedores de código abierto y corregidas tras el reporte — por ejemplo reactive-commons-go#5, de 10 avisos a 0, corregidas por los mantenedores 3 días después.
Cada aviso se verifica contra la versión exacta fijada en OSV antes de publicarse: mira los reportes de seguridad en código abierto.

Empezar

Escribe a contact@gaphunterlabs.com con “Dependency security review” en el asunto, o usa la página de contacto. Dime los repositorios y si necesitas la verificación de conformidad con el CRA.