0207GitHub · GitLab · Azure DevOps
Verbinden Sie ein Repository, importieren Sie automatisch bei jedem Push, und halten Sie die Bestände von Veröffentlicht- und Test-Branch getrennt, bevor Käufer irgendetwas sehen.
Zuletzt aktualisiert: 2. Juli 2026
Publish-on-Merge
Verbinden Sie einmalig ein Repository. Jeder Push auf den beobachteten Branch importiert Abhängigkeitsänderungen neu, unbedenkliche Lizenzen werden automatisch freigegeben, und wenn ein Merge auf Ihrem Produktions-Branch landet, kann die Attestierungsseite sich von selbst neu veröffentlichen. Niemand muss an irgendetwas denken.
Repository-Sync
Verbinden Sie ein Repository pro Projekt, auf GitHub, GitLab oder Azure DevOps. Wenn jemand auf einen beobachteten Branch pusht, ruft SourceTrust das Lockfile ab, importiert neue und aktualisierte Abhängigkeiten automatisch und markiert sie als prüfungsbedürftig. Es gibt keinen separaten Vorschau- oder Anwendungsschritt.
Installieren Sie die SourceTrust-GitHub-App, oder verbinden Sie GitLab oder Azure DevOps mit einem Access Token. Wählen Sie ein Repository und legen Sie fest, welche Branches beobachtet werden sollen. Für verbundene Projekte ist der manuelle Datei-Upload deaktiviert, damit der Bestand immer mit dem verknüpften Repository übereinstimmt.
Push auf main → neue Pakete erscheinen innerhalb von Minuten in Ihrer Prüfliste.
Jedes verbundene Projekt beobachtet standardmäßig zwei Branches. Der Bestand des Veröffentlicht-Branch ist das, was Sie an Käufer veröffentlichen. Der Test-Branch ist ein separater Bestand zur Prüfung von Änderungen, bevor sie in Produktion gehen.
Prüfen auf develop, veröffentlichen von main, ohne Pflichten zu vermischen.
Wenn freigegebene Test-Arbeit in Veröffentlicht gemerged wird, werden geprüfte Pakete automatisch übernommen. Optionales Publish-on-Merge kann bei Abschluss des Merges einen neuen Attestierungs-Snapshot veröffentlichen.
Recht gibt auf einem Feature-Branch frei; die Produktionsveröffentlichung bleibt bis zum Merge gesperrt.
Pull Requests und Merge Requests können informative Kommentare erhalten, die Base- und Head-Lockfiles vergleichen. Der Bestand ändert sich nur bei Pushes auf beobachtete Branches, nicht bei jedem Review-Kommentar.
Engineering sieht vor dem Merge, was sich geändert hat; Compliance sieht denselben Diff in der App.
Der Repository-Sync findet Lockfiles rekursiv im gesamten Repository, einschließlich Monorepo-Unterverzeichnissen: npm (package-lock.json), pnpm (pnpm-lock.yaml), Yarn (yarn.lock), Bun (bun.lock), Go (go.mod) und weitere. CycloneDX-SBOMs werden manuell oder über einen expliziten Lockfile-Pfad hochgeladen.
Jedes aktive Projekt umfasst zwei beobachtete Branches (Veröffentlicht + Test), auf GitHub, GitLab oder Azure DevOps. Brauchen Sie mehr? Fügen Sie zusätzliche Branch-Slots für 5 $/Monat oder 50 $/Jahr pro Slot über die enthaltenen zwei hinaus hinzu.
Liefern Sie nicht länger auf Verdacht aus
Legen Sie ein Projekt für jedes Repository an, prüfen Sie Ihre Pflichten, veröffentlichen Sie, wenn Sie bereit sind, und halten Sie den Nachweis bei jedem Release aktuell. Laden Sie Lizenz- und Namensnennungsdateien herunter, wenn Engineering sie braucht, mit Pipeline-Prüfungen, damit das nächste Update nicht zunichtemacht, was Sie bereits freigegeben haben. Ihr SOC-Bericht ist kein Ersatz.
Noch nicht bereit anzufangen? View pricing
Cookies auf sourcetrust.dev
Wir verwenden essenzielle Cookies für die Sicherheit, einschließlich der Missbrauchsprävention bei unserem Website-Scan und dem Anfrageformular für Live-Demos. Mit Ihrer Einwilligung nutzen wir außerdem optionale Analyse und Diagnostik (Google Tag Manager auf dieser Website und das Sentry-Browser-SDK in der SourceTrust-Anwendung, sofern konfiguriert). Siehe unsere Cookie-Richtlinie.