SASTACTION® | SECURE CODE REVIEW
Tu cliente pide una revisión de seguridad del código fuente hecha por un tercero independiente, con identificación que él mismo pueda comprobar. SastAction® es la plataforma de Secure Code Review (revisión de seguridad del código), y entrega esa evidencia sin instalar nada en tu entorno y sin exponer tu código a nadie.
3
informes del mismo análisis
0
agentes instalados en tu entorno
365 días
de verificación pública del informe
30 días
hasta la eliminación del código enviado
CÓMO FUNCIONA
Cinco dominios de verificación corren en paralelo sobre el mismo paquete de código, cada hallazgo pasa por evaluación de riesgo antes de llegar a ti, y la inteligencia artificial entra después de eso, para explicar y estimar esfuerzo.
Solicitas el análisis por formulario y recibes un enlace de carga de un solo uso, que expira en cuanto termina el envío. Nada se instala en tu entorno, no hay agente y no hay integración obligatoria con tu pipeline. El código se procesa en contenedores aislados, sin salida de red, y se elimina a los 30 días.
La misma copia del código pasa por análisis estático del código fuente, detección de secretos y credenciales olvidadas, dependencias de terceros, configuración de infraestructura y de contenedores, y seguridad de aplicación móvil cuando aplica. Cada dominio está cubierto por más de un motor especializado, y los resultados se deduplican por archivo, línea y tipo de fallo antes de entrar en el informe.
El orden de los hallazgos nace de la combinación entre probabilidad e impacto técnico. En los hallazgos de dependencia entran el EPSS (Exploit Prediction Scoring System, la probabilidad estadística de que un fallo sea explotado) y el catálogo KEV (Known Exploited Vulnerabilities, la lista de la agencia de ciberseguridad de Estados Unidos con lo que ya está bajo explotación activa). Las bases se sincronizan antes de cada ejecución y su fecha queda registrada en el informe.
El modelo corre dentro de nuestro entorno, y tu código no va a ningún proveedor de inteligencia artificial de terceros. La clasificación de riesgo se calcula por regla determinista, y la IA entra después de ella, en campos separados: lectura de negocio del hallazgo, corrección sugerida y esfuerzo estimado. Cada generación queda registrada con hash de entrada y de salida, y existe un bloqueo fijo: un hallazgo con explotación activa conocida no puede ser descartado como falso positivo por ningún modelo.
El técnico trae cada vulnerabilidad con archivo, línea, fragmento de código con la línea vulnerable destacada, clasificación CWE (Common Weakness Enumeration, el catálogo internacional de tipos de fallo, incluido el CWE Top 25) y OWASP, lectura de negocio y corrección con esfuerzo estimado. El ejecutivo habla el idioma de la dirección: score de riesgo, distribución por severidad, categorías más frecuentes, archivos más afectados y recomendación priorizada. El público circula fuera de la empresa, sin código y sin detalle de vulnerabilidad.
El informe público trae código QR y hash impresos en la portada. Tu cliente, tu auditor o el equipo de compras del banco abre la página de validación y confirma la autenticidad sin login, sin registro y sin costo, durante 365 días. Ve solo metadatos: fecha, sistema, líneas analizadas, recuento por severidad y las verificaciones ejecutadas en este análisis.
ANTES Y DESPUÉS
Cuéntanos el contexto de tu proyecto y recibe la propuesta con el alcance del análisis. Si prefieres ver antes cómo llega la prueba a tu cliente, te mostramos un informe público y la página donde se valida.