StaticCodeAudit — Resumen del producto

Herramienta autónoma de auditoría de cumplimiento, seguridad y calidad del código. Cero dependencias. 100 % sin conexión. Informes de nivel empresarial.

Por CodeFixture | Prefijo: SCA | Licencia: MIT

Puntos destacados

• Cero dependencias externas — funciona únicamente con la biblioteca estándar de Python (no se requiere pip install)
• 100 % sin conexión — sin llamadas a API, sin acceso a la red, sin dependencia de la nube
• Más de 465 reglas de detección distribuidas en 7 categorías de auditoría con correspondencia OWASP/CWE/WCAG/ASVS (Python, JS/TS, Java, C#, PHP, YAML)
• Informes HTML interactivos — archivo único autónomo con más de 12 visualizaciones Chart.js
• Soporte de 4 idiomas — francés, inglés, español, alemán (informe y consola)
• Comparación histórica — seguimiento automático de la baseline a lo largo de 10 auditorías
• Análisis de CVE — integración opcional de pip-audit y npm audit (local, sin conexión)
• Personalización marca blanca — nombre de herramienta, empresa y logo configurables por proyecto
• Matriz de cumplimiento ISO 27001 — mapea los findings a los 93 controles del Anexo A en 4 temas
• Auto-pruebas — sistema integrado de validación por fixtures (más de 1400 casos de prueba)
• Retención de informes — limpieza configurable por número, días o ambos modos
• Integración con git blame — resuelve el committer por finding para la trazabilidad
• Configuración interactiva — modos init y configure guiados para una puesta en marcha sencilla
• Modo demo — --demo genera informes anonimizados (rutas, código, soluciones ocultos) para prospectos y compartición pública
• Asistente de reglas personalizadas — --create-rule asistente unificado de 7 pasos: crear o editar, verificación de duplicados (nombre + pattern), DSL completo (risk/solution/benefit/fix), 4 idiomas
• Filtro de severidad — --severity CRITICAL,HIGH filtra las reglas antes del escaneo; banner ámbar en el informe cuando está activo
• Insignia de lenguaje — cada finding muestra el lenguaje detectado (Python, JavaScript, YAML…) como una insignia neutra
• Gráfico lenguaje × severidad — diagrama de barras apiladas que cruza el lenguaje detectado con el nivel de severidad
• Arquitectura de reglas personalizadas — directorio custom-rules/ separado de la instalación SCA, nunca sobrescrito por las actualizaciones
• Pipeline de salida unificado — todos los mensajes pasan por Reporter (modos quiet/silent/log-file/debug gestionados automáticamente)
• Progreso detallado — numeración dinámica [n/N] calculada después de cargar las reglas, mensajes por lenguaje y por etapa de taint

Qué hace

StaticCodeAudit (SCA) es una herramienta de análisis estático que escanea el código fuente de un proyecto en busca de vulnerabilidades de seguridad, antipatrones arquitectónicos, problemas de accesibilidad UI/UX y deuda de mantenimiento. Produce un informe HTML autónomo con findings agrupados por severidad, gráficos interactivos, puntuación de salud y análisis histórico de tendencias.

Flujo de trabajo

1. ./staticcodeaudit-linux-x64 /ruta/al/proyecto --init   # Inicializa el proyecto (genera UUID + config)
2. ./staticcodeaudit-linux-x64 /ruta/al/proyecto          # Ejecuta la auditoría completa
3. Abra SCA-REPORT-*.html                    # Revise el informe interactivo

Cada auditoría genera:

• Informe HTML (SCA-REPORT-{timestamp}.html) — autónomo, imprimible, interactivo
• Informe demo (SCA-REPORT-{timestamp}-demo.html) — versión anonimizada para compartir (opt-in vía --demo)
• Datos JSON (SCA-DATA-{timestamp}.json) — legible por máquina, versionado (v3.4)
• Baseline — almacenada para la comparación de la próxima auditoría (problemas nuevos/resueltos/persistentes)

Reglas de detección

Más de 465 reglas distribuidas en 7 categorías, cada una con evaluación de riesgo, guía de solución y descripción del beneficio.

Security (~430 reglas) — Peso: 3

Architecture (10 reglas) — Peso: 2

Interface / UI (5 reglas) — Peso: 1

Experiencia de usuario / Accesibilidad (18 reglas) — Peso: 1

Maintenance (22 reglas) — Peso: 1

Dependencies (3 reglas) — Peso: 2

CI/CD (18 reglas) — Peso: 2

Lenguajes soportados

Funcionalidades del informe

Secciones (17 en total)

1. Cabecera — Nombre del proyecto, versión, UUID, bandera de idioma, marca de tiempo
2. Tabla de contenidos — Cuadrícula clicable con iconos emoji
3. Parámetros de auditoría — Lenguajes, extensiones escaneadas, rutas, patrones de exclusión, categorías, modo
4. Opciones CLI utilizadas — Checklist de 16 opciones con estado y descripciones
5. Visualizaciones — 9 gráficos de métricas + 4 gráficos de tendencias históricas (incl. barras apiladas lenguaje × severidad)
6. Estadísticas resumen — Tarjetas: contadores HIGH/MEDIUM/LOW, validaciones, tasa de pruebas, tiempos
7. Puntuación de salud — Puntuación de seguridad logarítmica normalizada por LOC, con penalizaciones por severidad y barra de progreso coloreada
8. Top 10 archivos problemáticos — Ranking en heatmap
9. Pruebas unitarias — Contadores pass/fail/error/skip con detalles
10. Validación de fixtures — Resultados de precisión de detección
11. Dependencias — Resultados del escaneo CVE, paquetes no fijados (opcional)
12. Cumplimiento SLA — Plazos de resolución y reglas de escalado por severidad
13. Matriz de cumplimiento ISO 27001 — Mapeo de findings a los controles del Anexo A de ISO/IEC 27001:2022 (93 controles, 4 temas)
14. Findings por severidad — Agrupados CRITICAL/HIGH/MEDIUM/LOW/INFO con extractos de código, insignias de categoría, enlaces al glosario
15. Validaciones por categoría — Mensajes de éxito (sin problemas detectados)
16. Glosario — 36 acrónimos con definiciones (OWASP, ASVS, WCAG, CVE, CVSS, CWE, CSRF, XSS, SQL, SARIF, SBOM, ISO 27001, etc.)

Funcionalidades interactivas

• Sidebar redimensionable — Tabla de contenidos pegajosa con tirador de redimensionamiento y persistencia en localStorage
• Atajos de teclado — Navegación j/k, Ctrl+Home
• Secciones plegables — Haga clic para desplegar/replegar los findings
• Modo impresión — Diseño preparado para impresión con un clic
• Visualizaciones Chart.js — Más de 12 gráficos interactivos con tooltips
• Comparación con baseline — Problemas nuevos/resueltos/persistentes destacados
• Enlaces cruzados al glosario — Todos los acrónimos del informe son enlaces clicables al glosario con vista previa en tooltip

Autonomía del informe

Cada informe es un archivo HTML único autónomo:

• Todo el CSS, JavaScript y Chart.js incrustados inline
• Favicon y logo codificados en base64
• Sin archivos externos, sin CDN, sin red necesaria
• Puede abrirse en cualquier navegador, compartirse como adjunto de correo, archivarse

Cumplimiento y estándares

Internacionalización

Cada cadena de la herramienta está localizada:

• Mensajes de consola (locales/script/{lang}.json)
• Mensajes de log de depuración (niveles info, detail, trace)
• Texto, etiquetas y títulos del informe (locales/report/{lang}.json)
• Nombres de reglas, descripciones de riesgo, soluciones, beneficios
• Nombres de categorías, etiquetas de severidad, etiquetas de gráficos
• Términos del glosario, definiciones de acrónimos

Referencia CLI

La CLI está organizada en 4 grupos de argumentos. Las herramientas SCA developer tools están ausentes del binario distribuido.

Scan Options (comunes a todos los objetivos)

Output Options

Client Features

SCA Developer Tools (solo fuente, ausentes del binario)

Configuración

Toda la configuración vive en audit.config.json en la raíz del proyecto. Generado por --init.

Secciones clave

Personalización marca blanca

{
  "brand": {
    "tool_name": "MyCompanyAudit",
    "company_name": "My Company",
    "prefix": "MCA",
    "logo": "assets/my-logo.svg"
  }
}

Personaliza: título del informe, pie de página, nombres de archivos de salida, favicon, logo de la cabecera.

Sistema de proyectos por UUID

Cada proyecto recibe un UUID único en el primer --init:

• Almacenado en projects/{uuid}/ dentro del directorio de la herramienta
• Desacopla la ubicación del proyecto del almacenamiento de fixtures
• Permite reglas y fixtures específicas del proyecto
• Hace seguimiento del historial de auditoría (contador, fecha de la última auditoría)

Datos para los prompts de vídeo

Datos estructurados para las composiciones de vídeo Remotion (véase docs/plans/PLAN-AUDIT-CONFORMITE.html §15).

Especificaciones de las composiciones

Escenas AuditDemo

Escenas AuditReportSampleShowcase

Narración TTS (Piper)

Ambas composiciones incluyen narración de voz sincronizada, generada vía Piper TTS (open-source, 100 % sin conexión).

Cada idioma ofrece una opción de voz masculina y femenina (--voice male|female):

Los textos de narración están en videos/src/narration/ (un archivo por composición, 4 idiomas cada uno). Los archivos WAV se generan en videos/public/narration/{Composition}/{lang}/{voice}/{sceneKey}.wav. Los archivos JSON Caption se generan en videos/public/subtitles/{Composition}/{lang}/{sceneKey}.json vía transcripción Whisper.cpp.

Los subtítulos pueden mostrarse en un idioma diferente al de la narración mediante la prop subtitleLang.

Setup: cd videos && npm run setup-piper (solo la primera vez) Generación: cd videos && npm run generate-narration (o npm run generate-narration:female) Subtítulos: cd videos && npm run generate-subtitles

Cifras clave (utilizadas en las escenas de conclusión)

AuditDemo:
  455+ reglas de detección
  7    categorías de auditoría
  4    idiomas
  13+  gráficos interactivos
  0    dependencias externas
  100% sin conexión

AuditReportSampleShowcase (datos MY-IA):
  700  findings detectados
  7    categorías de auditoría
  4    idiomas
  15   secciones del informe
  110s duración de la auditoría