Revisión segura de código: detecte los fallos en el código fuente

Una revisión segura de código es un examen del código fuente de una aplicación para encontrar puntos débiles de seguridad, leyendo el código y su lógica en lugar de solo probar el sistema en funcionamiento desde fuera.

Algunos puntos débiles son difíciles de ver desde fuera pero evidentes en el código: una comprobación de permisos comentada, un secreto incluido en el repositorio, una entrada pasada directamente a una consulta, una biblioteca con un fallo conocido. Una revisión segura de código lee el código fuente como lo haría un compañero cuidadoso, combinando análisis automatizado con una revisión manual por parte de desarrolladores que conocen los frameworks que usted utiliza. Combina bien con una prueba de penetración: la prueba muestra qué es alcanzable, la revisión muestra por qué, y juntas cubren mucho más que cada una por separado.

Si apunta una herramienta de análisis estático a un código, a menudo devolverá cientos de advertencias. Muchas no aplican, algunas son duplicados y unas pocas son realmente graves, pero están enterradas. Entregada sin tratar, esa salida tiene más probabilidades de ignorarse que de corregirse, y los problemas reales siguen ahí. El valor de una revisión está en el triaje: decidir qué es realmente explotable en su aplicación y por qué.

Por eso nuestro informe se lee como las notas de un ingeniero sénior, no como un volcado de herramientas. Cada hallazgo señala el archivo y la línea exactos, explica el riesgo en contexto, valora su gravedad y muestra el cambio que lo resuelve. Cuando el mismo error aparece en varios sitios, lo decimos, porque corregir el patrón una vez es mejor que parchear diez síntomas. El resultado es una lista que sus desarrolladores pueden recorrer en orden de prioridad y terminar de verdad.

Como somos un equipo de desarrollo, podemos ir más allá de informar. Podemos abrir nosotros mismos las pull requests o revisar las correcciones de su equipo, de modo que los puntos débiles se cierren y no solo se cataloguen.

Preguntas frecuentes