Seguridad

Tu código nunca pasa por nuestros servidores para análisis semántico

La arquitectura es pull: cuando se necesita leer el contenido de tu código (calidad de documentación real, navegabilidad, reglas de negocio), es tu propio agente de IA (Claude Code, Codex, Cursor…) quien lo analiza en tu máquina o en tu CI, con tus credenciales, y nos envía solo resultados estructurados vía MCP. Nosotros computamos únicamente señales mecánicas sobre metadata.

El clon temporal

Para leer el historial git, la ingestión clona tu repo en un directorio temporal con un token efímero de solo lectura. El directorio se elimina siempre al terminar (incluso ante errores) y el token nunca se persiste ni aparece en logs (los errores se redactan antes de guardarse).

Credenciales

• GitHub: usamos una App con tokens de instalación de corta vida (~1h); no guardamos secretos de larga vida.
• Bitbucket: los tokens de refresco se cifran en reposo (AES-256-GCM).
• Tokens MCP: guardamos solo su hash; el valor se muestra una única vez.
• Contraseñas: hash bcrypt. Tokens del login social: no se persisten.
• Secretos de webhooks: cifrados en reposo; firmas verificadas en tiempo constante.

Aislamiento

Cada workspace es un tenant aislado: sus repos, análisis y tokens no son visibles para otros. Todas las lecturas y acciones se autorizan server-side contra tu membresía.