SSC

La caja de herramientas de código abierto

Seguridad de código abierto, por tarea.

Escanee su código, compruebe las dependencias, encuentre secretos expuestos o añada salvaguardias a los agentes de IA. Encuentre un proyecto enfocado, sus necesidades de configuración y sus límites.

Buscar una herramienta Comience con la guía OWASP

La mayoría de las herramientas necesitan un desarrollador o propietario de TI para configurarlas y revisar los hallazgos. Cada lista de enlaces al proyecto oficial y el inicio rápido. Las referencias OWASP que se encuentran a continuación le ayudan a decidir qué comprobar.

¿Quieres que estas herramientas funcionen como un flujo de trabajo de seguridad?

Elija una herramienta para un hueco específico, nombre a alguien para operarlo y decida cómo los hallazgos se convierten en correcciones verificadas. Comience con su sistema existente de seguimiento de problemas y almacén de evidencia; compare el software de coordinación o el soporte administrado sólo si ese trabajo se convierte en un cuello de botella.

Cree un flujo de trabajo alrededor de las herramientas que ya utiliza

Elegir el trabajo

Encuentra tu punto de partida

Fuentes examinadas: 2026-10-29

Proyectos mostrados: 12 / 12

Tiempo semanal del equipo: planificación para 1–25 personas

Escenario de planificación: personas 1–25, hasta ordenadores y dispositivos 25, repositorios 1–3 y un pequeño entorno en la nube cuando sea pertinente. Después de la configuración inicial, sin incidentes activos o retrasos importantes. El tiempo es la participación semanal combinada de todo el equipo de clientes, no el tiempo por persona o tiempo de ejecución del escáner.

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Se trata de presupuestos de tiempo editorial, no de reclamaciones de proveedores, promedios observados o compromisos de servicios. Añadimos las asignaciones mostradas para dos tareas recurrentes. La documentación del producto vinculado explica las tareas, no el número de horas. Reemplace la asignación con un registro de tiempo de su propio piloto; entornos más grandes o más complejos están fuera de este escenario.

Código fuente de exploración

Semgrep Community Edition

Encuentre patrones sospechosos y errores comunes en el código fuente utilizando reglas configurables.

Úsalo para: Un desarrollador que quiere una comprobación de código enfocada localmente o en una solicitud de pull.

Participación semanal del equipo de clientes

~1–3 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisar los nuevos hallazgos con los propietarios de repositorios: 30–90 min/semana
  • Mantener las reglas y comprobar la cobertura de escaneo: 30–90 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Elija las reglas para su idioma, escanear un repositorio y luego revisar los hallazgos con el propietario del código.
¿Quién lo dirige?
Configuración del desarrollador; selección de reglas y revisión de búsqueda.
Qué saber
El análisis CE se limita a una función o archivo. El motor LGPL es de código abierto; las reglas mantenidas por Semgrep tienen una licencia separada restringida al uso interno. Las características de la plataforma tienen términos separados.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

EmpezarGitHubPlanifique con esta herramienta

Comprobar las dependencias

OSV-Scanner

Coincide con los paquetes que su proyecto utiliza para las advertencias de vulnerabilidad conocidas en OSV.

Úsalo para: Una primera comprobación de dependencia para un repositorio, archivo de bloqueo o imagen de contenedor.

Participación semanal del equipo de clientes

~0,5–2 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisar nuevas advertencias y versiones afectadas: 15–60 min/semana
  • Compruebe las entradas de escaneo y asigne actualizaciones: 15–60 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Escanee su directorio fuente o archivos de paquetes compatibles. Revise las versiones afectadas y pruebe cualquier actualización propuesta.
¿Quién lo dirige?
Línea de comandos de desarrollador o configuración de CI.
Qué saber
La cobertura depende de los ecosistemas apoyados y de los datos de asesoramiento. Un resultado limpio no cubre errores de código personalizados o cada componente desplegado.

Google & contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Comprobar las dependencias

OWASP Dependency-Check

Informar vulnerabilidades conocidas asociadas a dependencias de aplicación.

Úsalo para: Equipos que quieren informes de dependencia en una construcción existente, incluyendo Maven o Gradle.

Participación semanal del equipo de clientes

~0,5–2 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisar nuevas advertencias y versiones afectadas: 15–60 min/semana
  • Compruebe las entradas de escaneo y asigne actualizaciones: 15–60 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Agregue la integración de construcción o ejecute el CLI. Mantener los datos de asesoramiento actualizados y revisar los paquetes coincidentes.
¿Quién lo dirige?
Configuración del desarrollador, almacenamiento en caché de datos y revisión de supresión.
Qué saber
La identificación del paquete puede producir coincidencias falsas. Las credenciales de origen de datos y los límites de velocidad afectan a los escaneos; se recomienda encarecidamente una clave API NVD.

OWASP project contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Comprobar las dependencias

OWASP Dependency-Track

Seguimiento del riesgo de componentes en aplicaciones que utilizan facturas de software de materiales (SBOMs).

Úsalo para: Un equipo que necesita visibilidad continua en varios proyectos, más allá de un escaneo único.

Participación semanal del equipo de clientes

~1–3 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Examinar los resultados de los componentes en todos los proyectos: 30–90 min/semana
  • Comprobar cargas de SBOM y salud de servicio: 30–90 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Generar SBOMs en sus construcciones, enviarlos al servicio y asignar a los propietarios para revisar los cambios.
¿Quién lo dirige?
Alguien debe alojar el servicio y mantener las cargas de SBOM.
Qué saber
Depende de inventarios completos, actuales y fuentes de asesoramiento. No sustituye la revisión del código fuente ni los controles de despliegue.

OWASP project contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Encontrar secretos expuestos

Gitleaks

Mantenimiento: sólo parches de seguridad

Encuentre contraseñas, claves de API y tokens probables en el historial o archivos de Git.

Úsalo para: Comprobar un repositorio antes de compartirlo o prevenir nuevos envíos secretos.

Participación semanal del equipo de clientes

~0,5–1 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revise los secretos sospechosos con sus propietarios: 15–30 min/semana
  • Comprobar la cobertura del repositorio y las excepciones: 15–30 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Escanee el repositorio y agregue una comprobación pre-compromiso o CI. Revocar o rotar credenciales expuestas confirmadas.
¿Quién lo dirige?
Configuración del desarrollador y un propietario de credenciales para correcciones.
Qué saber
La detección no revoca las credenciales. El encargado ahora limita las liberaciones de Gitleaks a parches de seguridad; compruebe el README antes de adoptarlo. La acción GitHub separada tiene sus propios términos.

Gitleaks contributors MIT (CLI)

EmpezarGitHubPlanifique con esta herramienta

Probar una aplicación web

ZAP

Inspeccione una aplicación web en ejecución y pruebe las vulnerabilidades web comunes.

Úsalo para: Comprobar cómo se comporta su aplicación sobre HTTP, junto con los controles de código y dependencia.

Participación semanal del equipo de clientes

~1–3 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Examinar las conclusiones de la web y reproducir las prioridades: 30–90 min/semana
  • Compruebe el alcance de la prueba, la autenticación y la configuración de escaneo: 30–90 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Comience con su propio entorno de prueba. Configure el inicio de sesión y el alcance para que el escáner alcance las características que necesita comprobar.
¿Quién lo dirige?
Configuración del desarrollador o probador; los escaneos autenticados necesitan más configuración.
Qué saber
Los escaneos activos envían ataques de prueba y pueden cambiar el estado de la aplicación. Escanear sólo los objetivos autorizados; la lógica de negocio y las reglas de acceso todavía necesitan pruebas manuales.

ZAP by Checkmarx & contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Control de la infraestructura

Trivy

Escanea imágenes de contenedores, archivos y definiciones de infraestructura para vulnerabilidades conocidas, secretos y mal configuraciones.

Úsalo para: Una primera comprobación práctica para una imagen de contenedor o repositorio de despliegue.

Participación semanal del equipo de clientes

~0,5–2 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisar nuevas advertencias y versiones afectadas: 15–60 min/semana
  • Compruebe las entradas de escaneo y asigne actualizaciones: 15–60 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Elija los tipos de blanco y escáner, ejecute un escaneo y asigne los hallazgos a las personas que pueden cambiar la imagen o configuración.
¿Quién lo dirige?
Desarrollador o propietario de la infraestructura; actualice las políticas de datos y afinación.
Qué saber
Los resultados dependen de los paquetes soportados y de los escáneres seleccionados. No endurece automáticamente un servicio en vivo ni demuestra su capacidad de explotación.

Aqua Security & contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Control de la infraestructura

Checkov

Compruebe los archivos de infraestructura como código para ver si hay una configuración arriesgada antes de su implementación.

Úsalo para: Equipos que utilizan Terraform, CloudFormation, Kubernetes, Helm o archivos de implementación similares.

Participación semanal del equipo de clientes

~0,5–2 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisar los resultados de la configuración con los propietarios de infraestructura: 15–60 min/semana
  • Mantener la cobertura de escaneo y las excepciones políticas: 15–60 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Escanee un directorio de infraestructura local o en CI. Revisar las políticas fallidas con la persona responsable del medio ambiente.
¿Quién lo dirige?
Conocimientos de infraestructura; ajuste de políticas y excepciones justificadas.
Qué saber
Una exploración de configuración no puede probar que el entorno vivo coincida con los archivos. Los servicios de plataforma alojados y algunas integraciones de datos tienen requisitos separados.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Examinar las prácticas de los proyectos

OpenSSF Scorecard

Revise las prácticas de repositorio como revisión de código, actualizaciones de dependencias y protecciones de construcción.

Úsalo para: Elegir una dependencia de código abierto o mejorar la forma de mantener su propio proyecto.

Participación semanal del equipo de clientes

~0,5–1 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisión de los cambios en los controles de la práctica de proyectos: 15–30 min/semana
  • Asignar seguimiento al establecimiento de repositorios: 15–30 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Inspeccione las comprobaciones individuales para un repositorio y decida qué lagunas importan para su caso de uso.
¿Quién lo dirige?
Un encargado o desarrollador que puede interpretar la configuración del repositorio.
Qué saber
Los cheques son heurísticos con falsos positivos y negativos. Una puntuación alta no es prueba de que el código es seguro o libre de vulnerabilidades.

OpenSSF & contributors Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Sistemas de monitoreo y avisos

Wazuh

Recopila eventos de seguridad y monitorea computadoras y dispositivos para problemas de configuración, cambios de archivos y vulnerabilidades conocidas.

Úsalo para: Un equipo con alguien disponible para operar el monitoreo e investigar alertas.

Participación semanal del equipo de clientes

~3–6 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Triage eventos de seguridad y asignar respuesta: 120–240 min/semana
  • Mantener agentes, normas y servicios de salud: 60–120 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Implementar los componentes centrales y agentes de dispositivos, ajustar las reglas y definir quién responde a cada alerta.
¿Quién lo dirige?
Administración del sistema y operaciones de seguridad en curso.
Qué saber
El alojamiento, las actualizaciones, la revisión de alertas y la respuesta siguen siendo su trabajo. Las licencias difieren por componente: el repositorio actual incluye el código de motor GPL-2.0 y AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

EmpezarGitHubPlanifique con esta herramienta

Control de agentes de IA

Por Shielda

Agent Guard

Alfa experimental

Bibliotecas TypeScript que limitan qué herramientas puede ejecutar un agente de IA, en qué recursos y con qué aprobaciones.

Úsalo para: Desarrolladores que agregan la ejecución controlada de herramientas o integraciones MCP a una aplicación de agente.

Participación semanal del equipo de clientes

No medido aún

Confirmar responsabilidades y tiempo en un piloto

Biblioteca experimental con reglas de acceso y aprobación específicas para aplicaciones. Medir la revisión de subvenciones, cambios de política y manejo de incidentes en su integración; no se establece referencia semanal recurrente.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Registrar herramientas, conceder acceso a tareas y llamadas de ruta a través del guardia. Añade tu propio flujo de aprobación autenticado para acciones sensibles.
¿Quién lo dirige?
Integración de TypeScript y revisión del modelo de amenaza.
Qué saber
Alfa experimental. Controla las llamadas registradas dentro de un proceso; no es una caja de arena del sistema operativo o un detector universal de inyección rápida. La aplicación duradera o distribuida necesita infraestructura adicional.

ShieldaAI Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Sistemas de monitoreo y avisos

Por Shielda

Security Watch

Alfa experimental

Coincide con las advertencias de seguridad y noticias de un inventario declarado, mantenga la evidencia y envíe sus hallazgos a Slack o por correo electrónico.

Úsalo para: Una pequeña instalación que necesita una fuente de asesoramiento centrada para sus bibliotecas y sistemas.

Participación semanal del equipo de clientes

~0,5–2 h/semana

Subsidio de planificación editorial · 1–25 personas · total del equipo después de la instalación

¿Qué se incluye en esta asignación?
  • Revisar las advertencias coincidentes y asignar acción: 15–60 min/semana
  • Actualizar el inventario y comprobar la salud de la entrega: 15–60 min/semana

Los intervalos abarcan la revisión rutinaria, la administración y la asignación de tareas de seguimiento. Añadir a bordo, la aplicación de correcciones, incidentes, mejoras importantes, ejercicios de restauración y auditoría / trabajo jurídico por separado. Las herramientas cubren diferentes trabajos: no añadas estimaciones superpuestas ni las compares como un ranking de velocidad.

Hipótesis y exclusiones
Configuración, esfuerzo y límites
Cómo usarlo
Proporcione nombres de paquetes y versiones instaladas exactas cuando se conozcan. Comience con un simulacro; los cheques de biblioteca estructurados pueden funcionar sin IA.
¿Quién lo dirige?
Configuración del servicio Node.js, inventario actual y alguien para revisar alertas.
Qué saber
Alfa experimental. No parchea software ni prueba que un sistema es seguro. Las versiones faltantes, los rangos no soportados y los partidos de nombre de producto requieren revisión.

ShieldaAI Apache-2.0

EmpezarGitHubPlanifique con esta herramienta

Guía y listas de verificación

Saber qué buscar con OWASP

Estas referencias explican los riesgos, la seguridad de la aplicación y los requisitos de verificación. Úsalos para planificar una revisión e interpretar los resultados del escáner.

OWASP Top 10

Comprender los principales riesgos de aplicación web y utilizarlos para enmarcar una conversación con su desarrollador. Esta es una guía de conciencia, no un escáner o un plan de prueba completo.

Lea la guía

OWASP Cheat Sheet Series

Encuentre una guía práctica de implementación para autenticación, control de acceso, secretos, agentes de IA y otros temas de seguridad específicos.

Lea la guía

OWASP ASVS

Convierta la seguridad de la aplicación en un conjunto definido de requisitos y tareas de verificación. Seleccione el alcance con su desarrollador o revisor y registre la evidencia.

Lea la guía

Shielda mantiene los proyectos etiquetados “Por Shielda” y publica esta guía. Los listados describen la documentación de proyectos anteriores; no son certificaciones de seguridad independientes.

¿Necesitas una pila completa?