Estas respuestas se aplican a Codex Security en la nube. Para instalarlo y ejecutar tu primer análisis, consulta la guía de configuración en la nube. Para los análisis locales, hay guías separadas para el complemento y la CLI.
Facturación
¿Cómo se facturan los análisis en la nube?
Los análisis de repositorios y los análisis continuos configurados después de las 12:53 p. m. del 1 de octubre de 2026 (hora del Pacífico) se facturan según el consumo de tokens, a las tarifas de tu plan. Los cargos se expresan en créditos o en USD, según tu plan de facturación. En las cuentas que cumplen los requisitos, primero se aplican los créditos gratuitos para análisis y luego se factura el consumo restante.
La cuota de uso incluida en tu plan no cubre este consumo.
Los análisis continuos configurados antes de esa fecha y hora son gratuitos hasta el 21 de octubre de 2026. Después, si habilitas el uso de pago, se facturan a las tarifas habituales por token del plan de facturación de tu cuenta. De lo contrario, se pausan.
¿Recibo un período de análisis gratuito o créditos gratuitos para análisis?
Lo que recibes depende de si tu cuenta ya tenía configurado el análisis continuo antes de las 12:53 p. m. del 1 de octubre de 2026 (hora del Pacífico):
- Si ya lo tenía configurado, los análisis continuos cubiertos siguen siendo gratuitos hasta el 21 de octubre de 2026. Este período gratuito no cubre los análisis de repositorios ni el análisis continuo configurado después de las 12:53 p. m. del 1 de octubre de 2026 (hora del Pacífico).
- Si aún no lo tenía configurado y tu cuenta cumple los requisitos, recibes 500 USD en créditos gratuitos para análisis en lugar del período gratuito de análisis continuo.
¿Cómo funcionan los créditos gratuitos para análisis?
Los análisis de repositorios y el análisis continuo consumen créditos del mismo saldo gratuito. En un Espacio de trabajo, todos los miembros comparten ese saldo. Estos créditos gratuitos para análisis no vencen.
Cuando se agota el saldo gratuito, los análisis posteriores se facturan según el plan de facturación de tu cuenta o de tu Espacio de trabajo.
¿Qué pasa cuando termina el período gratuito de análisis continuo?
Selecciona Mantener los análisis en ejecución y habilita el uso de pago para que estos análisis continúen después del período gratuito. A partir de ese momento, se facturan a las tarifas habituales por token del plan de facturación de tu cuenta o de tu Espacio de trabajo.
Si decides no continuar o no habilitas el uso de pago, esos análisis se pausan al terminar el período gratuito. Selecciona Reactivar los análisis para habilitar el uso de pago más adelante. Si no tienes permiso para tomar esta decisión en tu Espacio de trabajo, pídele a uno de sus propietarios que lo haga.
¿Dónde puedo consultar el consumo de tokens y los cargos?
Abre un análisis en Análisis para consultar su consumo de tokens y su costo. Coloca el cursor sobre el total de tokens para ver los de entrada, los de entrada en caché y los de salida. El total de tokens de entrada ya incluye los de entrada en caché. No se suman de nuevo.
La sección de uso muestra el costo antes de aplicar los créditos gratuitos para análisis o las exenciones de facturación, además del importe cubierto por los créditos gratuitos para análisis, si corresponde.
Los análisis marcados con “Exento de facturación. No se aplican cargos.” no generan cargos, incluso si muestran el consumo de tokens y el costo.
Análisis
¿Necesito compilar el proyecto para analizarlo?
Codex Security puede analizar el código fuente aunque el proyecto no se compile correctamente. Para reproducir un problema durante la validación, es posible que se necesiten dependencias o una compilación funcional. Configura esos requisitos en el entorno en la nube de Codex.
Si no se puede ejecutar la validación, revisa qué aspectos del hallazgo se pueden confirmar a partir del código fuente y cuáles dependen del comportamiento del sistema durante la ejecución o el despliegue.
¿Qué lenguajes se admiten?
Codex Security analiza código fuente en distintos lenguajes. Los resultados dependen de la capacidad del modelo para razonar sobre el lenguaje y el framework, así como del contexto disponible en el repositorio. Que un análisis se complete correctamente no garantiza la misma cobertura en todos los lenguajes o componentes. Consulta el informe para saber qué se revisó.
¿En qué se diferencian los análisis de repositorios y el monitoreo de commits?
Un análisis único revisa el repositorio una sola vez. El análisis continuo monitorea los commits nuevos y puede revisar una parte seleccionada del historial de commits. Para habilitarlo después del primer análisis, sigue los pasos de Monitorear commits nuevos.
¿Puedo pausar el monitoreo de commits?
Abre Repositorios, selecciona el repositorio y abre Configuración del monitoreo. Cambia el estado del monitoreo a En pausa y selecciona Guardar. Puedes volver a habilitarlo desde esa misma configuración.
¿Puedo editar el modelo de amenazas?
Sí. Actualízalo en la Configuración del monitoreo del repositorio monitoreado cuando cambien la arquitectura, el despliegue o los supuestos de seguridad. La guía del modelo de amenazas explica qué debes incluir. Los cambios se aplican a los análisis futuros.
Hallazgos y validación
¿Qué se puede confirmar con la validación?
Lee la evidencia adjunta al hallazgo que estás revisando. El análisis del código fuente puede confirmar que existe una ruta de ejecución vulnerable. La evidencia de ejecución puede mostrar que el problema se manifestó en un caso de reproducción o una prueba en particular.
El estado y la gravedad registrados para cada hallazgo ayudan a organizar la revisión. Consulta la evidencia que respalda el hallazgo y los requisitos previos para decidir si se aplica a tu sistema y qué debes corregir.
¿Qué pasa si falla la validación?
Revisa el intento de validación y los registros disponibles. Si no se logró reproducir el problema, puede ser que no se aplique a tu sistema o que el entorno o la prueba no fueran adecuados. Resuelve la limitación señalada antes de descartar el hallazgo o afirmar que se reprodujo el problema.
¿Qué pasa si el análisis no reporta hallazgos?
Confirma que el análisis se haya completado y que haya revisado la revisión prevista del repositorio correcto. Consulta las limitaciones o tareas pendientes que se hayan registrado. Un análisis sin hallazgos puede haber pasado por alto vulnerabilidades.
Correcciones
¿Codex Security aplica los parches automáticamente?
La acción depende del hallazgo. Si seleccionas Corregir con Codex en un hallazgo del repositorio, se inicia una conversación en la que se le pide a Codex que verifique el problema, implemente una corrección y ejecute las pruebas pertinentes. Revisa los cambios en esa conversación.
Si el hallazgo incluye un parche sugerido, revisa el diff antes de seleccionar Crear borrador de pull request. Crear el borrador no incorpora la corrección al repositorio.
¿Cómo sé si un parche corrigió el problema?
Revisa la evidencia de validación del parche. Comprueba si el problema original aún se puede reproducir y si el sistema sigue funcionando correctamente en los casos de uso legítimos. Si no se completó la validación, deja constancia de esa incertidumbre en el hallazgo. Por sí solos, un parche propuesto, un borrador de pull request o un cambio de estado no confirman que el problema se haya corregido.