El producto
Un único camino controlado desde lo que distribuyes hasta la prueba que puedes enviar
Importa, revisa, publica y mantente al día: cada paso tiene su puerta, para que la página que publicas siempre coincida con lo que realmente se distribuye. Esto es todo el proceso.
Nada es publicable hasta que se confirma. Las señales de copyleft y de aviso ausente proceden de un catálogo de más de 700 licencias, no de un interruptor de "creemos que está bien". Cómo funciona realmente una revisión →
¿Quieres verlo paso a paso con nosotros? Solicita una demostración en directo →
01Entradas
Lee lo que ya generas.
Conecta un repositorio y el inventario sigue cada push. Sin un nuevo pipeline de CI, sin un segundo analizador que configurar.
O trae los archivos que ya tienes:
- package-lock.json
- pnpm-lock.yaml
- yarn.lock
- bun.lock
- go.mod
- Cargo.lock
- + más
14 formatos en 9 ecosistemas, incluidas las subidas de SBOM CycloneDX.
- Sincronizado automáticamente en el push · hace 3 horas
- 4 dependencias añadidas, 1 eliminada
- Comentario de dependencias publicado en el #482
Los comentarios de pull request y merge request son solo informativos; nada bloquea tu merge. SourceTrust lee lockfiles y SBOM, nunca tu código fuente.
02Mantente al día
Sabrás que la página está desactualizada antes que tu cliente.
Cuando el inventario en vivo se desvía de tu última instantánea publicada, el proyecto lo señala. El aviso de versión de licencia alerta claramente cuando un paquete cambia de licencia. La monitorización de seguridad opcional vigila los avisos de OSV solo para tu equipo: los hallazgos nunca aparecen en la página pública.
- El aviso del panel y los indicadores de estado señalan exactamente qué se movió desde la revisión publicada
- Una pestaña de Cambios lista los paquetes añadidos, actualizados y eliminados, para que arreglarlo sea una revisión, no una investigación
- Un clic vuelve a publicar, y publicar al fusionar puede cerrar el ciclo sin que intervengas
03Tú controlas lo que se expone
Todos los controles de exposiciónPublicar la prueba no significa publicarlo todo.
La primera preocupación sobre una página de cumplimiento pública es la exposición. Cada capa de ella está en tus manos.
- Protege con contraseña cualquier página; la protección invisible contra bots mantiene fuera a los scrapers
- Los controles de indexación por página mantienen las páginas fuera de los buscadores
- Los lockfiles se analizan en tu navegador antes de subirlos
- Los hallazgos de vulnerabilidades se quedan solo para el proveedor, nunca en la página pública
- Roles de visor de solo lectura y finanzas, SSO empresarial y autenticación de dos factores opcional
- Las notas de revisión del equipo son internas y nunca se muestran públicamente
Una instantánea congelada. Todos los formatos que pide la debida diligencia.
La página alojada y cada exportación se generan a partir de la misma instantánea aprobada, con la procedencia y la URL pública incorporadas. No pueden discrepar.
/acme/platform
Página de atestación alojada
Instantáneas personalizadas e inmutables con historial de revisiones. Dominio personalizado opcional.
NOTICE
Archivos de atribución
THIRD_PARTY_LICENSES.md y NOTICE para lo que se distribuye en el artefacto.
SPDX
Legible por máquina
CycloneDX, SPDX, JSON, CSV y plist para herramientas y portales.
PDF
PDF personalizado
Un documento de divulgación limpio para adjuntar a cualquier cuestionario.
Profundiza
Cada parte de la plataforma, en una página propia y centrada
- Flujo de trabajoCinco pasos desde la importación del inventario hasta las puertas de publicación, un camino controlado por cada producto distribuido.Ve el flujo de trabajo
- Sincronización GitConecta un repositorio, importa automáticamente en cada push, ramas Publicado y Prueba, y comentarios de dependencias en cada pull request o merge request.Ve cómo funciona la sincronización
- EntregablesPágina de atestación, divulgación de licencias y exportaciones multiformato a partir de una instantánea revisada.Ve los entregables
- ExportacionesTHIRD_PARTY_LICENSES.md, NOTICE, JSON, PDF, CycloneDX, SPDX y procedencia a partir de instantáneas congeladas.Ve los formatos de exportación
- AtestaciónPáginas de cara al comprador con puntuaciones de estado, historial de instantáneas, seguidores y dominio personalizado opcional.Ve las páginas de atestación
- MonitorizaciónDeriva en la publicación, aviso de licencias, sincronización de repositorios y monitorización de seguridad opcional solo para proveedores.Ve la monitorización
- PruebaMira cómo mantenemos nuestro propio registro: las mismas puertas de publicación y rutas de importación que obtienes como cliente.Inspecciona la prueba
¿Preguntas sobre la plataforma? hello@sourcetrust.dev
Ve todo el flujo en un proyecto real.
Crea un proyecto, importa tu inventario y revísalo, todo gratis. Solo pagas cuando publicas.
Miembros ilimitados incluidos en cada proyecto.Ver precios →