Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Protegido antes mesmo de entrar na sua pilha – de forma contínua até a data de fim de vida útil.
Todos os benefícios do ecossistema. Sem nenhuma confiança cega.
SecureChain para software de código aberto
Uma cadeia de suprimentos Java reforçada – confiável na fase de compilação, verificada contra malware e protegida enquanto permanecer em sua pilha
O SecureChain substitui os repositórios públicos do Maven Central por uma alternativa verificada e recompilada a partir do código-fonte
. Ele verifica cada componente durante a resolução de dependências, fornece continuamente
correções de CVE e mantém a proteção mesmo após o término do suporte do desenvolvedor original.
Cobertura dos ecossistemas que sustentam as pilhas de produção atuais
A cadeia de suprimentos do Java é mais frágil do que parece
O Maven Central é fundamental para o desenvolvimento moderno em Java.
Além disso, é um alvo de alto valor.
Da confusão em torno das dependências aos artefatos comprometidos, o modelo de confiança relacionado às dependências do Java está sob pressão.
Um repositório. Milhares de formas de acessá-lo.
-
Log4Shell
Uma vulnerabilidade crítica no Log4j que expôs milhões de sistemas, demonstrando como dependências profundamente enraizadas podem se tornar um risco sistêmico.
-
MavenGate
Milhares de groupIds do Maven Central estão vinculados a domínios expirados, permitindo que invasores se apropriem de namespaces confiáveis e insiram bibliotecas com backdoors em árvores de dependências legítimas.
Em Java, o risco nem sempre é visível — ele fica bem escondido na árvore.
Como o risco se infiltra nas suas dependências Java
O risco surge da forma como as dependências são resolvidas e mantidas.
Durante a compilação e a cada resolução de dependências
Cada compilação obtém as dependências transitivas de um repositório público.
Uma corrente é tão forte quanto seu elo mais fraco.
- Artefatos adulterados
- Confusão de namespaces
- Mantenedores comprometidos
- Arquivos binários não verificados
Tudo o que acontece após o término do suporte
Cada compilação obtém as dependências transitivas de um repositório público.
Uma corrente é tão forte quanto seu elo mais fraco.
- As bibliotecas ficam sem manutenção
- As CVEs se acumulam
- Fim dos patches
Mas seu aplicativo continua enviando esses dados.
A segurança em Java é fragmentada – a cobertura termina em
onde começa a sua vulnerabilidade.
O SecureChain não para por aí.
O SecureChain se diferencia porque não é meramente consultivo – ele é ativo.
E isso não acaba quando o mantenedor para de trabalhar.
para software de código aberto
Segurança em todo o ciclo de vida das dependências do Maven
Desde o momento em que você adiciona uma dependência – até muito tempo depois que os mantenedores deixam de fazer a manutenção.
Ciclo de vida do pacote
Adotar
Construir e entregar
Operar
Pós-fim de vida útil
Cobertura mantida por um longo período após o término da manutenção
Segurança para visitas sem agendamento:
Nada muda para seus desenvolvedores
Configure seu gerenciador de repositórios — ou diretamente seu gerenciador de pacotes — para
SecureChain e continue trabalhando.
Os mesmos pacotes, as mesmas APIs, o mesmo fluxo de trabalho.
Compatível com:
JFrog Artifactory
Sonatype Nexus
Pacotes do GitHub
Proteja seus pacotes do Maven Central em todas as etapas
Pergunte-nos como o SecureChain verifica os pacotes durante a instalação, corrige vulnerabilidades continuamente e protege suas dependências mesmo muito tempo depois do fim da manutenção.
Faça uma pergunta para nós
A velocidade e a flexibilidade do código aberto,
, sem os riscos.
Com o SecureChain, cada pacote é:
Recondicionado e verificado
Cada pacote é recompilado a partir do código-fonte em ambientes fortificados e isolados — sem binários herdados, sem artefatos opacos do desenvolvedor original. O que você instala é exatamente o que foi compilado e verificado de ponta a ponta.
Verificado contra malware
Cada pacote é analisado em busca de malware conhecido, padrões de código suspeitos e riscos na cadeia de suprimentos. Qualquer item que não passe na inspeção é bloqueado antes de chegar ao seu ambiente.
Atualizado continuamente
Os componentes ativos são monitorados e atualizados de acordo com o SLA à medida que surgem CVEs. Quando a manutenção do desenvolvedor original é encerrada, o Endless Lifecycle Support (ELS) continua fornecendo correções enquanto você depender do pacote.
Em conformidade e pronto para auditoria
Saiba exatamente o que está em execução e o que já recebeu correções. A proveniência SLSA Nível 3, o SBOM e o VEX oferecem garantia completa da cadeia de suprimentos — as evidências de que seus auditores precisam, sempre que necessário.
+ Cobertura sob demanda
Se um pacote do qual você depende ainda não estiver no catálogo, nós o adicionaremos
sem custo adicional: verificado, atualizado e com suporte, assim como todos os outros.
Criado para equipes que assumem o risco:
Segurança e Dev
DevSecOps
Componentes verificados na instalação, proteção contínua a partir de então. Sem pontos cegos ao longo de todo o ciclo de vida.
Liderança em Engenharia d
Sem alterações no fluxo de trabalho. Sem reescritas forçadas quando as dependências chegam ao fim da vida útil.
Conformidade
e e GRC
SBOMs integrados, VEX, proveniência e cobertura de patches – projetado para estar pronto para auditorias.
Por que a TuxCare?
Conta com a confiança de inovadores da
em todo o mundo
Perguntas frequentes
Não totalmente. O Maven Central distribui os artefatos conforme publicados, mas não comprova como cada binário foi compilado nem se ele corresponde ao repositório de código-fonte. O SecureChain recompila artefatos Java a partir de código-fonte verificado, ajudando a garantir que os JARs que você usa sejam consistentes, auditáveis e livres de modificações ocultas.
Binários não verificados e dependências transitivas ocultas. Uma única dependência Java pode acionar dezenas de bibliotecas indiretas. Incidentes como o Log4Shell mostraram o quanto as vulnerabilidades podem se espalhar por meio de dependências que as equipes talvez nem saibam que utilizam. O SecureChain protege toda a árvore de dependências Java, reduzindo os pontos cegos em toda a sua aplicação.
Sim. Mesmo um código-fonte limpo pode gerar um JAR comprometido se o ambiente de compilação for adulterado. Um bytecode malicioso pode ser injetado durante a compilação, tornando a confiança no binário um grande risco para o ecossistema Java. O SecureChain reduz esse risco ao recompilar artefatos em ambientes controlados e validar a saída em relação ao código-fonte verificado.
É necessário ter controle tanto sobre os artefatos quanto sobre seus ciclos de vida. O SecureChain oferece um repositório verificado de dependências Java, bloqueia artefatos maliciosos ou adulterados e corrige vulnerabilidades continuamente, para que as compilações permaneçam seguras sem interromper os fluxos de trabalho existentes do Maven ou do Gradle.
Não. O SecureChain fornece patches validados e compatíveis com suas versões atuais. Isso reduz a necessidade de atualizações frequentes e ajuda a evitar alterações que possam causar incompatibilidades em aplicativos Java corporativos.
As correções de segurança chegam ao fim, mas as vulnerabilidades persistem. O SecureChain é complementado pelo Suporte de Ciclo de Vida Ilimitado para dependências Java, que aplica correções retroativas para que você possa manter a segurança sem precisar de grandes atualizações ou reescritas.
Não. O SecureChain funciona como um repositório de integração direta. As compilações do Maven e do Gradle continuam funcionando da mesma forma que hoje.
