Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Protegido antes mesmo de entrar na sua pilha – de forma contínua até a data de fim de vida útil.
Todos os benefícios do ecossistema. Sem nenhuma confiança cega.
SecureChain para software de código aberto
Uma cadeia de suprimentos Python reforçada – confiável na instalação, verificada contra malware e protegida enquanto permanecer em sua pilha
O SecureChain substitui o repositório público do PyPI por uma alternativa verificada e recompilada a partir do código-fonte. Ele verifica cada pacote em busca de ameaças conhecidas antes da instalação, fornece correções contínuas de vulnerabilidades e mantém as dependências do Python protegidas mesmo depois que os mantenedores deixam de lançar atualizações.
Cobertura dos ecossistemas que sustentam as pilhas de produção atuais
O problema da cadeia de suprimentos do Python é mais complexo do que parece
O PyPI dá suporte a milhões de aplicativos em Python.
Além disso, é um alvo cada vez mais frequente de ataques à cadeia de suprimentos.
O typosquatting, a confusão entre dependências e os uploads maliciosos continuam a aumentar – explorando a confiança no comando `pip install`.
Um repositório. Milhares de formas de acessá-lo.
-
Incidente na Ultralytics
O lançamento malicioso de um pacote de aprendizado de máquina amplamente utilizado, revelando com que facilidade pacotes confiáveis podem levar ao roubo de credenciais e à execução remota de código.
-
Vulnerabilidade na versão “nightly” do PyTorch
A dependência interna do torchtriton foi replicada no PyPI público, interferindo nas compilações noturnas por meio da resolução de índice do pip.
Essa é a realidade do desenvolvimento moderno em Python – e não uma exceção.
Como o risco se infiltra nas suas dependências do Python
Sua visibilidade está integrada ao funcionamento do PyPI.
A cada instalação e atualização do pip
Cada instalação do `pip` se baseia em um ecossistema público construído sobre a confiança.
Essa confiança é constantemente explorada.
- Pacotes semelhantes
- Versões comprometidas
- Dependências confusas
- Cargas úteis ocultas em scripts de instalação
Tudo o que acontece depois que a manutenção fica mais lenta
Cada instalação do `pip` se baseia em um ecossistema público construído sobre a confiança.
Essa confiança é constantemente explorada.
- Projetos ficam paralisados
- Os mantenedores se afastam
- Continuam surgindo CVEs
Seu aplicativo continua funcionando – mas a proteção vai diminuindo.
A segurança do Python é fragmentada.
Cada ferramenta deixa você para trás em algum ponto do caminho.
O SecureChain não faz isso.
O SecureChain se diferencia porque não é meramente consultivo – ele é ativo.
E isso não acaba quando o mantenedor para de trabalhar.
para software de código aberto
Segurança em todo o ciclo de vida dos pacotes do PyPI
Desde o momento em que você instala um pacote – até muito tempo depois de os mantenedores terem encerrado suas atividades.
Ciclo de vida do pacote
Adotar
Construir e entregar
Operar
Pós-fim de vida útil
Cobertura mantida por um longo período após o término da manutenção
Segurança para visitas sem agendamento:
Nada muda para seus desenvolvedores
Configure seu gerenciador de repositórios — ou diretamente seu gerenciador de pacotes — para
SecureChain e continue trabalhando.
Os mesmos pacotes, as mesmas APIs, o mesmo fluxo de trabalho.
Compatível com:
JFrog Artifactory
Sonatype Nexus
Pacotes do GitHub
Proteja seus pacotes do PyPI em todas as etapas
Pergunte-nos como o SecureChain verifica os pacotes durante a instalação, corrige vulnerabilidades continuamente e protege suas dependências mesmo muito tempo depois do fim da manutenção.
Faça uma pergunta para nós
A velocidade e a flexibilidade do código aberto,
, sem os riscos.
Com o SecureChain, cada pacote é:
Recondicionado e verificado
Cada pacote é recompilado a partir do código-fonte em ambientes fortificados e isolados — sem binários herdados, sem artefatos opacos do desenvolvedor original. O que você instala é exatamente o que foi compilado e verificado de ponta a ponta.
Verificado contra malware
Cada pacote é analisado em busca de malware conhecido, padrões de código suspeitos e riscos na cadeia de suprimentos. Qualquer item que não passe na inspeção é bloqueado antes de chegar ao seu ambiente.
Atualizado continuamente
Os componentes ativos são monitorados e atualizados de acordo com o SLA à medida que surgem CVEs. Quando a manutenção do desenvolvedor original é encerrada, o Endless Lifecycle Support (ELS) continua fornecendo correções enquanto você depender do pacote.
Em conformidade e pronto para auditoria
Saiba exatamente o que está em execução e o que já recebeu correções. A proveniência SLSA Nível 3, o SBOM e o VEX oferecem garantia completa da cadeia de suprimentos — as evidências de que seus auditores precisam, sempre que necessário.
+ Cobertura sob demanda
Se um pacote do qual você depende ainda não estiver no catálogo, nós o adicionaremos
sem custo adicional: verificado, atualizado e com suporte, assim como todos os outros.
Criado para equipes que assumem o risco:
Segurança e Dev
DevSecOps
Componentes verificados na instalação, proteção contínua a partir de então. Sem pontos cegos ao longo de todo o ciclo de vida.
Liderança em Engenharia d
Sem alterações no fluxo de trabalho. Sem reescritas forçadas quando as dependências chegam ao fim da vida útil.
Conformidade
e e GRC
SBOMs integrados, VEX, proveniência e cobertura de patches – projetado para estar pronto para auditorias.
Por que a TuxCare?
Conta com a confiança de inovadores da
em todo o mundo
Perguntas frequentes
Sim. Os pacotes podem executar código durante a instalação por meio do `setup.py` ou no momento da importação, o que torna o comando `pip install` um risco comum na cadeia de suprimentos do Python. Os invasores têm aproveitado esse comportamento para roubo de credenciais, inspeção do ambiente e entrega de cargas maliciosas. O SecureChain analisa o código-fonte dos pacotes Python antes da entrega, sinalizando comportamentos suspeitos e bloqueando pacotes maliciosos antes que eles cheguem ao seu ambiente.
Por padrão, isso geralmente não acontece. O PyPI público distribui pacotes “wheels” e distribuições de código-fonte sem garantir que eles correspondam ao repositório original ou ao processo de compilação. Isso cria uma discrepância entre o código-fonte revisado e os artefatos instalados. O SecureChain recompila pacotes a partir de código-fonte verificado em um ambiente controlado; assim, o que você instala é rastreável, auditável e consistente com o código original.
Grande parte disso se deve a dependências que você não escolheu diretamente. Um único pacote Python pode trazer dezenas de dependências transitivas por meio do resolvedor do pip. Muitas delas nunca são revisadas, mas ainda assim podem executar código em seu ambiente. O SecureChain protege todo o gráfico de dependências, aplicando controles de verificação, verificação de malware e aplicação de patches a todos os pacotes, e não apenas às dependências de nível superior.
Você precisa ter controle sobre o que entra no seu ambiente, e não apenas fazer uma verificação após a instalação. O SecureChain verifica os pacotes Python antes da instalação, bloqueia pacotes maliciosos e corrige vulnerabilidades continuamente ao longo do tempo. Isso proporciona às equipes de produção uma fonte controlada e auditável de pacotes Python que permanecem seguros durante todo o seu ciclo de vida.
Não. O SecureChain monitora continuamente os pacotes Python em busca de CVEs recém-divulgados e fornece correções validadas, alinhadas às suas versões fixadas. Isso reduz a necessidade de acompanhar manualmente alertas, bancos de dados de vulnerabilidades ou resultados de auditorias do pip.
O risco aumenta porque ainda é possível que vulnerabilidades sejam descobertas após o término da manutenção. O SecureChain continua aplicando correções por meio do Suporte de Ciclo de Vida Ilimitado, retroaplicando correções críticas para que você possa permanecer protegido sem precisar forçar uma atualização ou reescrever o aplicativo.
Não. O SecureChain funciona como um substituto direto do PyPI. Os desenvolvedores continuam usando as mesmas ferramentas, comandos e fluxos de trabalho, sem precisar alterar os pipelines de compilação nem as práticas de desenvolvimento.
