Я раньше работал обычным безопасником. Кто-то называет таких «ИБшниками», кто-то — «параноиками», кто-то — «тем самым занудой, который мешает жить».
Каждый день у меня был один и тот же диалог:
Тимлид: «У нас релиз в пятницу, отстань со своим сканированием».
Менеджер: «В бюджете только Jira и пицца, какие ещё 15 миллионов за софт?»
Разработчик: «Код сгенерил AI, билд прошёл, значит, всё норм».
Я смотрел на всё это и понимал: уязвимости не спрашивают, есть ли у компании бюджет.
Где болит у всех
Я специально копался в исследованиях и разговаривал с коллегами. Картина одинаковая у многих компаний.
ИБшники жалуются, что инструментов полно, но работать некому. Настроить пайплайн, объяснить разработчику, что такое CWE — это целая наука.
DevOps-ы ругаются: «Ваш DevSecOps тормозит пайплайн». Ложных срабатываний так много, что проще выключить сканер.
Тимлиды говорят: «Мы лучше успеем к дедлайну, чем будем возиться с вашей безопасностью».
Топы улыбаются: «Да, безопасность важна». Но реально выделяют 10–15 % от всего бюджета на ИБ, и то с боем.
Итого: релизы летят, уязвимости остаются, все делают вид, что так и надо.
Что я сделал
Я собрал SecCoder.com Code Scanner — бесплатный сайт, где можно просто взять файл, перетащить его мышкой и сразу увидеть результат.
Поддерживаются Python, JavaScript, Java, C++, Go, PHP, конфиги типа Dockerfile, Kubernetes, Terraform и многие другие. Всё, что реально встречается в жизни, а не только в презентациях вендоров.
Три проверки:
SAST (уязвимости в коде),
SCA (дырявые библиотеки и зависимости),
IaC (инфраструктурные конфиги).
Никаких формальностей: без регистрации, без ввода карты, без того, чтобы три месяца ждать, пока пройдёт закупка у вендора.
Почему это работает именно так
Все базовые сканеры давно лежат в open-source: Bandit, Semgrep, Trivy, Checkov. Но чтобы это реально заработало:
нужен сервер,
нужно обновлять базы,
нужно писать обвязку,
нужно нормализовать результаты.
Вендоры всё это продают по цене 6–20 миллионов рублей в год. Но если честно, большая часть этой суммы — не про функции, а про бумажки: сертификации, лицензии, маркетинг, юристы.
Я не против вендоров: пусть крупные корпорации с гигантскими бюджетами продолжают покупать их коробки. Но объясните, зачем маленькой команде платить десятки миллионов просто за то, что уже доступно в open-source? По факту им продают воздух.
Я решил собрать это в одну работающую систему и отдать бесплатно. Потому что маленьким командам и соло-разработчикам нужны не «коробки с логотипом», а быстрый способ проверить код.
Как решаются реальные боли
ИБшники больше не бегают с PDF-ками. Они берут код, загружают, показывают результат тимлиду прямо здесь и сейчас.
DevOps-ы не орут, что пайплайн сломан. Проверка идёт отдельно, ложных срабатываний меньше, отчёт нормализован.
Тимлиды получают аргументы. Не страшилки, а конкретные баги с привязкой к строкам кода.
Топы наконец-то видят, что безопасность можно встроить без бюджета на уровне «год лицензии и тендер».
Что дальше
Сканер останется бесплатным навсегда, также я хочу сделать DAST, но там придётся проработать юридические аспекты, чтобы не появилось злоупотреблений — например, чтобы пользователи не сканировали чужие сайты. Уже есть идеи, как можно верифицировать такие проверки.
Сейчас сайт работает в Бете на небольших ресурсах. Может лагать, может не проглотить большой файл — дробите на части. Если будет долго обрабатывать ваши файлы или конфиги то заранее извиняюсь. Но небольшие файлы обрабатывает быстро. В дальнейшем если пользователей будет больше - расширю ресурсы.
По поводу утечек: файлы хранятся только 7 дней, потом автоматически удаляются. Я понимаю, что у всех паранойя на тему «куда улетит код», но давайте честно — половина людей уже сливает свой приватный код в AI-ассистенты и не задаётся вопросами. Если у вас сомнения — не заливайте ничего ценного. Здесь нет аутентификации: загрузил — просканировал — получил отчёт. Всё максимально просто, без барьеров.
Есть ещё одна удобная штука — share отчёта по ссылке. Сделали скан, получили результат и одним кликом сгенерировали ссылку. Она живёт 7 дней, после чего удаляется. Это удобно для тимлидов и ИБшников: можно показать результат команде или заказчику, не пересылая файлы руками.
Итог
Это не «корпоративный монстр», а рабочий инструмент для обычных людей. Для ИБшника, тимлида, менеджера и разработчика, которые устали от бесконечных разговоров и хотят просто проверить код.
И да, я знаю, что в комментах сейчас появятся люди из вендоров и начнут доказывать, что без их продуктов никак. Что у них поддержка 24/7, сертификаты, SLA. Всё так. Но давайте честно: у скромной команды из пару человек нет ни бюджета, ни желания платить за то, что давно доступно бесплатно.
