Antes de empezar

Sigue la guía de inicio rápido de la CLI para instalar Codex Security y autenticarte. Confirma que tienes acceso a los análisis de seguridad y que puedes acceder mediante Git a los repositorios que te pertenecen o que tienes permiso para evaluar. Los análisis usan tus permisos locales y se ejecutan sin detenerse para solicitar aprobación. Consulta la guía sobre los permisos de análisis.

Prepara el inventario de repositorios

Empieza con unos pocos repositorios. Guarda el siguiente contenido como repositories.csv y luego reemplaza las URL de ejemplo y los marcadores de posición de los commits:

id,repository,revision
payments,https://github.com/YOUR-ORG/payments.git,REPLACE_WITH_FULL_COMMIT_SHA
identity,https://github.com/YOUR-ORG/identity.git,REPLACE_WITH_FULL_COMMIT_SHA

Asigna a cada repositorio un id único y el SHA completo de un commit. Para obtener el SHA a partir de una copia local del repositorio, ejecuta:

git -C /path/to/repository rev-parse HEAD

Cada análisis revisa todo el repositorio tal como estaba en ese commit. Los nombres de ramas, los hashes abreviados y los cambios sin confirmar quedan fuera de este flujo de trabajo. Para limitar el análisis a determinadas carpetas o indicar instrucciones específicas para cada repositorio, consulta las opciones del CSV.

Ejecuta los análisis

Desde el directorio que contiene repositories.csv, reemplaza la ruta de salida por la de un directorio privado fuera de los repositorios que vas a analizar y ejecuta:

npx @openai/codex-security bulk-scan repositories.csv \
  --output-dir /path/outside/repositories/security-scans \
  --workers 2 \
  --mode standard \
  --max-attempts 1 \
  --max-cost 5

Este comando ejecuta dos análisis estándar a la vez, con un intento por repositorio. --max-cost 5 detiene cada intento cuando su costo estimado supera los 5 dólares. El costo del trabajo en curso puede superar la estimación, por lo que ese valor no es un límite estricto ni un presupuesto compartido para toda la ejecución. Elige estos valores antes de empezar.

La CLI guarda los resultados de cada repositorio en una carpeta propia dentro de security-scans/artifacts/. Mantén los resultados en privado, ya que pueden contener fragmentos de código fuente y detalles sobre vulnerabilidades.

Revisa los resultados

Abre el directorio de resultados y revisa lo siguiente:

1. Inventario: confirma los repositorios y los commits en manifest.json.
2. Estado: consulta results.jsonl para ver el estado de cada intento y la ubicación de sus artefactos.
3. Cobertura y hallazgos: en la carpeta de cada intento, consulta coverage.json para identificar las partes que quedaron sin analizar y las exclusiones. Luego revisa report.md y findings.json para ver los hallazgos y la evidencia que los respalda.

El código de salida 0 indica que el análisis de cada repositorio se completó correctamente, pero no garantiza que no haya vulnerabilidades. El código de salida 2 indica que la cobertura fue incompleta, que no se pudo completar el análisis de algún repositorio o que hubo un error de entrada o de ejecución. Si la cobertura es incompleta, una lista de hallazgos vacía no demuestra que el código sea seguro.

Registra el siguiente paso para cada repositorio: investigar un hallazgo, corregir un hallazgo aceptado o dar seguimiento a las partes que quedaron sin analizar. Al pasarle el trabajo al equipo responsable, indica el commit analizado y aporta la evidencia correspondiente.

Para reanudar una ejecución interrumpida, repite el mismo comando con el mismo CSV, las mismas instrucciones y el mismo directorio de salida. La CLI omite los análisis completados y no vuelve a intentar automáticamente los que tuvieron una cobertura incompleta. Usa un directorio de salida nuevo si cambias el inventario, las revisiones, el alcance de los análisis, los modos o las instrucciones. Consulta la guía para reanudar o volver a intentar los análisis para obtener más detalles sobre la recuperación.