Cómo funciona
- 01
Conecta tu código
Da acceso de solo lectura, incluida la infraestructura como código. Tú eliges qué entra.
connect --read-only - 02
El escaneo corre en segundo plano
Sin pipeline que configurar. En cada cambio, TatuSec vuelve a verificar.
scan --repo your-code - 03
Correcciones, si las quieres
Cada hallazgo viene explicado en portugués, con la corrección sugerida. Los PR de corrección son opcionales y requieren un permiso de escritura aparte.
fix --open-pr
Qué verificamos
- SAST
Código
Fallas en el código que escribe tu equipo: inyección, autenticación débil, criptografía mal usada.
- SCA
Dependencias
Bibliotecas con vulnerabilidades conocidas y el camino hasta la versión corregida.
- Secrets
Secretos expuestos
Claves, tokens y contraseñas que terminaron en el código, incluso en su historial.
- IaC
Infraestructura como código
Terraform, CloudFormation, Dockerfiles y manifiestos con configuraciones inseguras.
Mapeo a LGPD e ISO 27001
Cada hallazgo apunta a los controles relacionados de LGPD e ISO 27001, en un formato que el equipo de ingeniería, el DPO y el auditor pueden usar.
Esto es evidencia técnica. TatuSec no emite dictámenes de cumplimiento ni reemplaza a tu DPO, a tu auditor ni a tu asesoría legal.
Ejemplo ilustrativo de hallazgo (la salida está en portugués)
- severity
- alta
- tipo
- segredo exposto
- onde
- config/settings.py:14
- relacionado
- LGPD (segurança) · ISO 27001 (controle de acesso)
- correção
- revogar a chave, mover para um gerenciador de segredos
Hoja de ruta
Sin fechas para lo que aún no se ha lanzado.
- > scan --repo your-code en desarrolloTu código, incluida la infraestructura como código. Es lo primero en salir.
- > scan --cloud aws pilotoLa configuración de tu cuenta de AWS, con un rol de solo lectura. Azure viene después.
- > scan --domain your-domain.com próximamenteDominios y lo que queda expuesto en internet.
- > scan --cluster prod próximamenteClústeres de Kubernetes.
Seguridad y privacidad
A qué accede TatuSec, qué guarda y dónde.
- Acceso
- Acceso de lectura a tu código, incluida la infraestructura como código. Solo lectura por defecto; los PR de corrección son opcionales y requieren un permiso de escritura aparte.
- Código
- Tu código no se almacena más allá de la ejecución del escaneo.
- Nube
- En el escaneo de AWS leemos configuración, no el contenido de tus datos (objetos de S3, filas de bases de datos).
- Dónde están los datos hoy
- El sitio corre en Cloudflare y hoy no tiene formularios ni cookies. Antes de que cualquier cliente envíe datos, publicaremos dónde se almacenan y quiénes son los subprocesadores.
Programa de pilotos
Estamos abriendo 10 cupos para equipos que quieran el escaneo de nube (AWS primero) y el escaneo de código antes que nadie. A cambio, pedimos comentarios directos y francos.
Preguntas frecuentes
¿TatuSec deja a mi empresa en cumplimiento con la LGPD?
No, y desconfía de quien diga que sí. TatuSec entrega evidencia técnica sobre tu código y tu infraestructura. El cumplimiento es un proceso de la organización, con tu DPO, tu equipo legal y tu auditor.
¿Guardan mi código?
No más allá de la ejecución del escaneo.
¿Debo dar acceso de escritura a mi código?
No. El escaneo es de solo lectura. Los PR de corrección son opcionales y requieren un permiso de escritura aparte, que puedes decidir no conceder nunca.
¿Y las leyes de protección de datos de mi país?
Hoy el mapeo cubre LGPD (Brasil) e ISO 27001. No cubre leyes de protección de datos de otros países.
¿Cuánto cuesta?
Habrá un plan gratuito para empezar. Los planes de pago aún no están definidos.
¿Cuándo abre?
Todavía no hay fecha.
¿En qué idioma vienen los hallazgos?
En portugués, con los comandos y fragmentos de código siempre en inglés, como en tu terminal.