Kasandro, controles de seguridad: qué corre en cada cambio y qué encontró
Cada cambio en el código de Kasandro pasa por controles de seguridad automáticos, y los hallazgos nuevos detienen el build: una vulnerabilidad en dependencias, un secreto filtrado, un patrón de código arriesgado, una alerta en el sitio construido. Este artículo los enumera y da los resultados de sus primeras ejecuciones el 13 de octubre de 2026. La conexión bancaria de Kasandro aún no está abierta; los controles cubren el código y el sitio público que existen hoy.
Los controles en cada cambio
| Control | Qué mira | Hallazgos nuevos |
|---|---|---|
| npm audit (nivel crítico) | vulnerabilidades conocidas en dependencias | detienen el build |
| gitleaks | claves y contraseñas en el código | detienen el build |
| Semgrep SAST | patrones de código arriesgados, conjunto de reglas abierto | detienen el build |
| TruffleHog | secretos que funcionan de verdad en todo el historial de git (comprobados con el emisor) | detienen el build |
| OWASP ZAP baseline | el sitio construido, en pasivo: cabeceras, cookies, bibliotecas | detienen el build |
| OSV-Scanner | dependencias frente a una base de vulnerabilidades (al cambiar y cada semana) | detienen el build |
| Dependabot | dependencias y GitHub Actions desactualizadas | propone actualizaciones (abajo) |
«Detiene el build» significa que el control se pone en rojo y la pull request falla. El baseline de ZAP nunca ataca: recorre el sitio y lee las respuestas (qué significa eso lo explica nuestro artículo sobre ZAP).
Cada semana Dependabot abre pull requests agrupadas con las actualizaciones de dependencias que encontró (dependabot.yml); una rutina semanal consolida todas las abiertas en una sola pull request y trabaja en ella hasta que cada control bloqueante pase; la fusiona una persona.
Primeras ejecuciones, 13 de octubre de 2026
- Semgrep: 0 hallazgos.
- OWASP ZAP baseline: 63 comprobaciones superadas, 0 fallidas.
- TruffleHog: todo el historial de git, 0 secretos.
- Análisis de dependencias (OSV-Scanner): señaló vulnerabilidades conocidas, y actualizamos los paquetes que tenían corrección (el SDK de Anthropic y dependencias de las herramientas de Prisma).
- gitleaks y npm audit a nivel crítico: superados.
FAQ
¿Significan estos controles que Kasandro es segura?
Son un suelo automático: detectan clases de errores conocidas en cada cambio y complementan la revisión por personas.
¿Qué controles detienen el build?
Los hallazgos nuevos de npm audit (crítico), gitleaks, Semgrep (ERROR), TruffleHog (secretos verificados), el baseline de ZAP y OSV-Scanner detienen el build. Dependabot propone actualizaciones.
¿Dónde informo de una vulnerabilidad?
Escribe a support@kasandro.com, nuestra única dirección, y consulta la página de seguridad y el archivo security.txt.
Fuentes
- Semgrep, documentación: https://semgrep.dev/docs/, a 13 de octubre de 2026
- ZAP, escaneo baseline: https://www.zaproxy.org/docs/docker/baseline-scan/, a 13 de octubre de 2026
- TruffleHog, proyecto: https://github.com/trufflesecurity/trufflehog, a 13 de octubre de 2026
- OSV-Scanner, documentación: https://google.github.io/osv-scanner/, a 13 de octubre de 2026
- gitleaks, proyecto: https://github.com/gitleaks/gitleaks, a 13 de octubre de 2026
- Kasandro, página de seguridad: https://kasandro.com/es/security, a 13 de octubre de 2026
Sigue leyendo
Kasandro es una herramienta para ver con claridad tus finanzas, no asesoramiento de inversión ni asesoramiento financiero. Las cifras de Marek, Ania y Tomek son datos de ejemplo.
RSS · Esta entrada en polaco · Blog in English
¿Una pregunta que este artículo no responde? Escríbenos a support@kasandro.com.