depproof-action
Auditoría de seguridad y cumplimiento para dependencias en CI/CD. Escanea Maven, Gradle, npm, Python, Go y .NET contra OSV.dev y bases de datos de licencias SPDX. Genera SBOMs CycloneDX 1.6 y bloquea PRs con vulnerabilidades críticas, ejecutándose localmente en el runner para máxima privacidad.
Ficha actualizada 24 sept 2026, 17:41 · upstream 24 sept 2026, 17:21 · release v1.1.0
Qué es depproof-action
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
depproof-action es una herramienta de análisis de composición de software (SCA) auto-alojada diseñada para integrarse en flujos de CI/CD como GitHub Actions o GitLab CI. Su objetivo principal es auditar dependencias de proyectos Java, JavaScript, Python y Go contra bases de datos públicas de vulnerabilidades OSV.dev y datos de licencias SPDX, emitiendo informes de seguridad y cumplimiento sin comprometer la privacidad del código fuente.
- Gateo automático de Pull Requests: Bloquea la fusión si se detectan vulnerabilidades críticas o no conformes en las dependencias.
- Cumplimiento legal de licencias: Genera informes SPDX para verificar el cumplimiento de políticas de uso de software en la organización.
- Generación de SBOMs: Crea archivos CycloneDX 1.6 para cumplir con regulaciones como el Cyber Resilience Act o estándares de seguridad.
- Auditoría monorepo: Escanea automáticamente múltiples repositorios y módulos dentro de una misma estructura de proyecto.
- Integración con hubs propios: Envía resultados a un servidor centralizado (depproof-hub) para gobernanza orgánica y gestión de exenciones.
- Privacidad-first: El escaneo se ejecuta dentro del runner del usuario; el código fuente y los manifiestos nunca salen del entorno local.
- Soporte multi-lenguaje nativo: Soporta Maven, Gradle, npm/pnpm/yarn, PyPI y Go modules con resolución de dependencias precisa.
- Salida SBOM estandarizada: Genera automáticamente archivos CycloneDX 1.6 para interoperabilidad con otras herramientas de seguridad.
- Configuración flexible: Permite escanear todos los manifiestos automáticamente o especificar archivos concretos mediante parámetros.
- Exactitud en Gradle/Python: Requiere lockfiles (gradle.lockfile, poetry.lock) para obtener el árbol de dependencias exacto; sin ellos, el reporte puede ser incompleto.
- No ejecución de código: La herramienta solo analiza metadatos y manifiestos, no ejecuta ni compila el código del usuario en el runner.
- Resolución Go offline: Si el runner no tiene Go instalado, la resolución de dependencias exactas (incluyendo scopes de test) puede ser limitada o inexacta.
- Repositorios privados: Para repositorios privados, es necesario configurar credenciales explícitas o usar un hub centralizado para resolver dependencias.
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Integrar añadiendo el workflow YAML a .github/workflows/audit.yml. Configurar fail-on según la política de seguridad (ej: critical). Para repositorios privados, asegurar que los runners tengan las credenciales necesarias o usar report-to con un hub centralizado. Opcional: activar job-summary para visualizar resultados en la página del run.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.