Corgea

הסקירה

Corgea מתחבר לריפו שלכם, סורק את הקוד, ומייצר הצעות תיקון ישירות בתוך ה־pull request בלי שתצטרכו לכתוב את הפאץ' בעצמכם. הוא לא עוצר בסריקה סטטית שטחית, אלא עוקב אחרי נתיבי ריצה של נתונים, החל מנתיבים פומביים כמו עמודי התחברות ועד לקריאות פנימיות בבסיס הנתונים. המטרה שלו היא למצוא כשלי אימות, הרשאות שבורות ופגיעויות לוגיות שסורקים רגילים מפספסים לעיתים קרובות. הוא מתממשק ישירות לכלים כמו GitHub או GitLab ומופיע כבוט שמעיר על שורות ספציפיות.

הוא מציג תיקונים אוטומטיים מיד. זה חוסך שעות.

סינון רעשים ותיקון קוד

סורקי אבטחה ישנים זורקים מאות התראות סרק ומציפים את לוח הבאגים בדברים שאף תוקף לא יכול לנצל במציאות. מה שמבדיל את הכלי הזה הוא הניסיון למפות את יכולת הניצול בפועל על ידי חיבור בין נתיבים חיצוניים לחבילות פגיעות או שורות בעייתיות. הכלי מתמקד בנתיבי ריצה שמגיעים מקלט אמיתי ולא מסתפק ברשימת פגיעויות תיאורטית. במקום רק לצעוק שיש בעיה, הוא מציע קוד חלופי שאמור לסגור את הפרצה ברמת ביטחון מוגדרת. הוא משלב סריקת קוד סטטי, תלויות צד שלישי, תשתיות ענן וקונטיינרים תחת ממשק עבודה אחד.

עברית לא מעניינת אותו בכלל. הממשק באנגלית מלאה וסריקת הקוד מתבססת על שפות פיתוח סטנדרטיות בלבד, כך שאין כאן שום התאמה מקומית מיוחדת.

התמחור מתחיל ממסלול חינמי לשני מפתחים ועד עשרה מאגרים, שכולל את מנועי הסריקה הבסיסיים אבל מגביל אתכם לעשר סריקות pull requests בחודש ועשרה תיקונים אוטומטיים בלבד. אם תרצו סריקה רציפה בכל עדכון קוד תצטרכו לעבור למסלול Growth שעולה 39 דולר לחודש לכל מפתח, עם מינימום של חמישה מושבים, מה שמביא את מחיר הכניסה האמיתי ל־195 דולר לחודש. מסלול Scale דורש 49 דולר לפתח עם מינימום של עשרים עובדים, והוא כולל חוקי חסימה ואינטגרציות מתקדמות יותר.

המינימום במסלולים בתשלום מייקר את העסק מאוד. צוות של שלושה אנשים ישלם על חמישה.

• מסלול חינםקיים לעד שני מפתחים
• מינימום מושביםחמישה מפתחים בתשלום
• קוד פתוחחלק מהרכיבים פתוחים

למי זה לא מתאים

הגדרת מושב בתשלום נספרת לפי מפתחים שתרמו קוד בתשעים הימים האחרונים, כך שאי אפשר לקנות רישיון בודד לאיש אבטחה שיבדוק את כולם מאחורי הקלעים. לא הייתי משתמש בזה לפרויקטים קטנים שבהם כותבים מעט שורות קוד בחודש או בצוותים של שניים או שלושה אנשים שלא מוכנים לספוג תשלום עודף על מושבים ריקים. הכלי מיועד בבירור לצוותי פיתוח בינוניים ומעלה שמחזיקים מאות מאגרי קוד, מתמודדים עם עומס בדיקות ידני, ורוצים לצמצם את החיכוך בין אנשי האבטחה למתכנתים.

מה שבאמת מפריע כאן הוא שאין אפשרות גמישה לחברות קטנות לצמוח בקצב שלהן בלי לקפוץ ישר לרף של חמישה רישיונות חודשיים. בנוסף, למרות שהחברה מצהירה על עמידה בתקן SOC 2 Type II, אתם עדיין נותנים למערכת חיצונית לקרוא את הקוד שלכם ולהציע בו שינויים אוטונומיים. זה שווה את זה רק אם אתם סומכים על סוכני בינה מלאכותית שמייצרים פאצ'ים לקוד המקור שלכם.

תצטרכו לוודא שסביבת הפיתוח שלכם נתמכת היטב, בין אם אתם כותבים בתוך Visual Studio Code או Cursor ומשתמשים במערכות ניהול גרסאות תואמות. אם התהליך שלכם לא כולל בדיקות קוד אוטומטיות מסודרות, תיקוני הבינה המלאכותית עלולים ליצור בעיות תחזוקה חדשות בלי השגחה הדוקה של מתכנת בכיר.