Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Se garantiza antes de que entre en tu pila, de forma continua hasta la fecha de caducidad.
Todos los beneficios del ecosistema. Sin necesidad de confiar a ciegas.
SecureChain para software de código abierto
Una cadena de suministro de PHP reforzada: fiable desde el momento de la instalación, libre de malware y protegida mientras permanezca en tu entorno
SecureChain sustituye a Packagist por una alternativa verificada y recompilada desde el código fuente. Comprueba cada paquete durante la instalación, ofrece continuamente correcciones de vulnerabilidades y mantiene protegidas las dependencias de PHP mucho después de que los responsables del mantenimiento dejen de publicar actualizaciones.
Cobertura de los ecosistemas que sustentan las pilas de producción actuales
El modelo de dependencias de PHP entraña un riesgo oculto
Packagist es la base de la mayoría de las aplicaciones PHP modernas.
Pero su modelo abierto lo hace vulnerable a los abusos.
Desde mantenedores comprometidos hasta paquetes abandonados, los riesgos se acumulan rápidamente.
Un ecosistema. Exposición continua.
-
Violación de seguridad en un servidor Git de PHP
Se han detectado modificaciones maliciosas introducidas en el código fuente oficial de PHP. Se detectaron antes del lanzamiento, pero esto nos recuerda que el propio entorno de ejecución forma parte de la superficie de ataque.
-
Aprovechamiento de paquetes abandonados
Las bibliotecas de uso generalizado que quedan sin mantenimiento y que posteriormente se convierten en vectores de ataque.
Las aplicaciones PHP duran más que los paquetes de los que dependen.
Cómo se introducen los riesgos en tus dependencias de PHP
El riesgo forma parte del proceso mediante el cual Composer resuelve e instala los paquetes.
Cada vez que se instala o actualiza Composer
Cada instalación de Composer se realiza a partir de un registro público.
Esa confianza puede ser objeto de abuso.
- Paquetes secuestrados
- Versiones manipuladas
- Scripts maliciosos
- Confusión de dependencias
Todo lo que ocurre una vez finalizado el mantenimiento
Cada instalación de Composer se realiza a partir de un registro público.
Esa confianza puede ser objeto de abuso.
- Los proyectos se abandonan
- Se suspenden las correcciones de seguridad
- Siguen apareciendo nuevas vulnerabilidades CVE
Tu aplicación sigue ejecutándolas de todos modos.
Las soluciones de seguridad de PHP cubren una capa cada una.
El riesgo reside en las brechas. SecureChain no deja ninguna.
SecureChain se diferencia de otros sistemas porque no es meramente consultivo, sino que es activo.
Y no se detiene cuando lo hace el responsable del mantenimiento.
para el software de código abierto
Seguridad durante todo el ciclo de vida de los paquetes PHP
Desde el momento en que instalas un paquete hasta mucho después de que los mantenedores dejen de trabajar en él.
Ciclo de vida del paquete
Adoptar
Crear y entregar
Operar
Post-EOL
Cubierto mucho tiempo después de que finalice el mantenimiento
Seguridad sin cita previa:
Para tus desarrolladores no cambia nada
Configura tu gestor de repositorios —o directamente tu gestor de paquetes— para que apunte a
SecureChain y sigue trabajando.
Los mismos paquetes, las mismas API, el mismo flujo de trabajo.
Compatible con:
JFrog Artifactory
Sonatype Nexus
Paquetes de GitHub
Asegura tus paquetes PHP en cada etapa
Pregúntanos cómo SecureChain verifica los paquetes durante la instalación, corrige las vulnerabilidades de forma continua y protege tus dependencias mucho después de que finalice el mantenimiento.
Pregúntenos
La rapidez y la flexibilidad del código abierto,
, pero sin riesgos.
Con SecureChain, cada paquete:
Reacondicionado y comprobado
Cada paquete se compila desde el código fuente en entornos reforzados y aislados: sin binarios heredados ni artefactos opacos del desarrollador original. Lo que instalas es exactamente lo que se ha compilado y verificado de principio a fin.
Analizado en busca de malware
Cada paquete se analiza en busca de malware conocido, patrones de código sospechosos y riesgos en la cadena de suministro. Todo lo que no supere la inspección se bloquea antes de que llegue a su entorno.
Actualizado continuamente
Los componentes activos se supervisan y se actualizan conforme al acuerdo de nivel de servicio (SLA) a medida que surgen vulnerabilidades CVE. Cuando finaliza el mantenimiento del desarrollador original, el servicio Endless Lifecycle Support (ELS) sigue proporcionando correcciones mientras usted siga utilizando el paquete.
Conforme a la normativa y preparado para una auditoría
Sepa exactamente qué programas se están ejecutando y cuáles han sido parcheados. La trazabilidad SLSA de nivel 3, la SBOM y VEX ofrecen una garantía total de la cadena de suministro: la documentación que sus auditores necesitan en cualquier momento.
+ Cobertura bajo demanda
Si un paquete del que dependes aún no figura en el catálogo, lo añadiremos a
sin coste adicional: verificado, actualizado y con soporte técnico, como cualquier otro.
Diseñado para equipos que asumen el riesgo:
Seguridad y DevSecOps de
Componentes verificados durante la instalación y protección continua a partir de ese momento. Sin puntos ciegos a lo largo de todo el ciclo de vida.
Liderazgo en ingeniería e
Sin cambios en los flujos de trabajo. Sin reescrituras obligatorias cuando las dependencias llegan al final de su vida útil.
Cumplimiento normativo
o y GRC
SBOM integradas, VEX, trazabilidad y cobertura de parches: diseñado para estar listo para auditorías.
¿Por qué elegir a TuxCare?
Con la confianza de
innovadores
alrededor del mundo
Preguntas frecuentes
Normalmente no procede del propio Packagist. Packagist actúa como un directorio que redirige a Composer hacia repositorios externos, como GitHub o GitLab, de donde se obtiene el código en el momento de la instalación. SecureChain sustituye ese modelo por un repositorio controlado en el que cada paquete PHP se verifica antes de su distribución.
Las instalaciones de Composer pueden suponer un riesgo mayor del que los equipos esperan. Composer puede ejecutar scripts definidos en composer.json, y las dependencias pueden incluir código que se ejecute durante la instalación o el inicio de la aplicación. SecureChain revisa el código fuente en busca de estos comportamientos y bloquea los paquetes PHP maliciosos antes de que lleguen a tu entorno.
Pueden ser muy extensos. Los marcos de trabajo como Laravel y Symfony pueden incluir más de un centenar de paquetes transitivos. Muchos de ellos nunca se revisan manualmente, pero aun así afectan a la seguridad de la aplicación. SecureChain verifica, analiza y aplica parches de forma continua a todas las dependencias del árbol de paquetes de PHP.
Necesitas tener control sobre lo que se instala y cómo funciona. SecureChain ofrece una fuente verificada de paquetes de Composer, bloquea los maliciosos y corrige continuamente las vulnerabilidades en todo el árbol de dependencias.
No. SecureChain supervisa continuamente las vulnerabilidades y proporciona soluciones validadas para las versiones que utilizas, lo que reduce la necesidad de realizar auditorías manuales de Composer.
Las correcciones de seguridad se interrumpen, pero las vulnerabilidades persisten. SecureChain se complementa con el servicio «Endless Lifecycle Support» para paquetes PHP, lo que te permite mantener la seguridad sin tener que actualizar inmediatamente los marcos de trabajo ni reescribir el código.
No. SecureChain es un sustituto directo. Los desarrolladores siguen utilizando los mismos comandos y flujos de trabajo de Composer.
