Alternativas gratis a Snyk

Snyk es un servicio en línea que analiza proyectos de software en busca de vulnerabilidades conocidas en el código que escribes, las bibliotecas de las que dependes, los contenedores y los archivos de infraestructura. Desarrolladores y equipos de seguridad lo conectan a sus repositorios de código y a sus flujos de compilación para que los problemas se señalen automáticamente. Funciona como un servicio alojado, con planes gratuitos y de pago.

Antes de cambiar, haz una lista de lo que analizas hoy: código de aplicaciones, dependencias, imágenes de contenedores, archivos de configuración, licencias. Los analizadores de código abierto pueden cubrir solo algunas de estas cosas, así que revisa la cobertura para tus lenguajes y gestores de paquetes. Averigua de dónde vienen los resultados, con qué frecuencia se actualizan los datos de vulnerabilidades y cómo se informan los hallazgos en tu flujo, en las solicitudes de cambios o en un panel. Los equipos suelen depender de políticas, reglas para ignorar, sugerencias automáticas de corrección e informes para los gerentes; pregunta cuáles de esas cosas tendrías que reconstruir. Ejecuta la nueva herramienta y la anterior una al lado de la otra en el mismo proyecto y compara los hallazgos, porque cada analizador informa cosas distintas y ninguna lista es completa.

Trivy está entre las opciones de la lista de abajo.