Features Features
CONSTRUIDO PARA
EQUIPOS DE INGENIERÍA.
BUILT FOR
ENGINEERING TEAMS.
Esto es lo que hace Musha, con detalle: los ecosistemas soportados, las reglas activas, las integraciones disponibles y cómo se comporta el worker en cada scan. Here's what Musha does, in detail: the supported ecosystems, the active rules, the available integrations, and how the worker behaves on each scan.
SCA
Software Composition Analysis. Buscamos vulnerabilidades conocidas en las dependencias open source de tu proyecto y las reportamos directo en el PR, así el dev las arregla antes de mergear. Software Composition Analysis. We hunt for known vulnerabilities in your project's open source dependencies and report them straight into the PR, so the dev can fix before merging.
Cobertura de advisories Advisory coverage
Cada finding referencia un CVE oficial con su severidad y enlaza a la fuente pública correspondiente. Trabajamos con bases de datos curadas y auditables; no usamos catálogos propietarios cerrados que el cliente no pueda verificar. Every finding references an official CVE with its severity and links to the corresponding public source. We work with curated, auditable databases; we don't use closed proprietary catalogs that customers can't verify.
Lo que detectamos What we detect
- CVEs con severity (Critical / High / Medium / Low / Info) CVEs with severity (Critical / High / Medium / Low / Info)
- Dependencias directas vs transitivas Direct vs transitive dependencies
- Fix versions disponibles + breaking change warnings Available fix versions + breaking change warnings
- CWE category, helpUri al advisory oficial CWE category, helpUri to the official advisory
Ecosistemas soportados Supported ecosystems
IaC
Análisis estático de Infrastructure-as-Code. Encontramos los misconfigurations en tu Terraform, CloudFormation, Kubernetes y Dockerfiles antes del apply. Las reglas se derivan de fuentes oficiales como AWS FSBP, CIS Benchmark, NSA/CISA Kubernetes Hardening y CIS Docker Benchmark. Static analysis for Infrastructure-as-Code. We catch misconfigurations in your Terraform, CloudFormation, Kubernetes, and Dockerfiles before apply. The rules are derived from official sources like AWS FSBP, CIS Benchmark, NSA/CISA Kubernetes Hardening, and CIS Docker Benchmark.
Terraform · 320 reglas Terraform · 320 rules
Cobertura completa de AWS: 35+ servicios, ~90% del CIS AWS Benchmark. Fuentes: AWS FSBP + CIS AWS Foundations + CIS Compute + CIS Database + CIS Storage + CIS End User Compute. Full AWS coverage: 35+ services, ~90% of the CIS AWS Benchmark. Sources: AWS FSBP + CIS AWS Foundations + CIS Compute + CIS Database + CIS Storage + CIS End User Compute.
CloudFormation · 308 reglas CloudFormation · 308 rules
Paridad completa con Terraform: mismo set de servicios y controles. Detección de templates YAML/JSON con heurística de contenido. Soporte para stacks mono-recurso y multi-recurso. Full parity with Terraform: same services and controls. YAML/JSON template detection via content heuristic. Supports single-resource and multi-resource stacks.
Kubernetes · 50 reglas Kubernetes · 50 rules
Manifests de Deployment, Pod, DaemonSet, StatefulSet. ~90% del Chapter 5 del CIS Kubernetes Benchmark v2.0.0 — la porción verificable estáticamente desde manifiestos. Deployment, Pod, DaemonSet, StatefulSet manifests. ~90% of CIS Kubernetes Benchmark v2.0.0 Chapter 5 — the portion statically verifiable from manifests.
Dockerfile · 5 reglas Dockerfile · 5 rules
Cobertura del 100% de las reglas estáticamente verificables del CIS Docker Benchmark v1.8.0 §4: usuario no-root, imagen pinned, HEALTHCHECK, update+install combinados, ADD vs COPY. 100% of the statically verifiable rules from CIS Docker Benchmark v1.8.0 §4: non-root user, pinned image, HEALTHCHECK, combined update+install, ADD vs COPY.
Severidades reales Real severities
No todo es "Critical". Severities mapean al impacto real del misconfig: Critical (pérdida total de datos), High (exposición pública), Medium (defense-in-depth), Low (best practice). Not everything is "Critical". Severities map to real misconfig impact: Critical (total data loss), High (public exposure), Medium (defense-in-depth), Low (best practice).
AWS · 35+ servicios cubiertos · por ahora solo AWS AWS · 35+ services covered · AWS only for now
Las reglas de Terraform y CloudFormation cubren AWS exclusivamente. Azure y GCP próximamente. Terraform and CloudFormation rules cover AWS exclusively. Azure and GCP coming soon.
SECRETS
Detectamos credenciales filtradas en código y archivos. Combinamos un catálogo de patrones conocidos con análisis estadístico para encontrar credenciales custom. No hacemos verificación activa: nunca llamamos a APIs externas con una credencial que encontramos en tu repo. We detect leaked credentials in code and files. We combine a known-pattern catalog with statistical analysis to find custom credentials. No active verification: we never call external APIs with a credential we found in your repo.
Providers con patrones Providers with patterns
- AWS (Access Key ID + Secret)
- GitHub (PAT, OAuth, Server-to-server, Refresh)
- Stripe (sk_live, rk_live)
- Slack (xoxb, xoxp, xoxa, xoxs)
- SendGrid (SG.)
- Twilio (Account SID + Auth Token)
- Google API keys (AIza...)
- y otros — total 21 providers cubiertos and more — total 21 providers covered
Filosofía anti-noise Anti-noise philosophy
- No reportamos secrets en *.test.*, *.spec.*, *.example.*, *.md No reports in *.test.*, *.spec.*, *.example.*, *.md
- Suprimimos placeholders (YOUR_KEY_HERE, fake_, dummy_) Placeholders suppressed (YOUR_KEY_HERE, fake_, dummy_)
- Comentarios noqa, nosec, pragma-allowlist respetados noqa, nosec, pragma-allowlist comments respected
- Snippets redactados — nunca exponemos el valor completo del secret en findings Snippets redacted — we never expose the full secret value in findings
CÓMO FUNCIONA HOW IT WORKS
Tu dev hace push o abre un PR. Tu plataforma de Git nos notifica a través del webhook que tú configuraste. Your dev pushes or opens a PR. Your Git platform notifies us through the webhook you configured.
Accedemos al repo de forma temporal usando tu integración, sólo durante el tiempo necesario para correr el análisis. We access the repo temporarily through your integration, only for the time needed to run the analysis.
Corremos los tres frentes en paralelo (dependencias, infra, secretos) y consolidamos los findings. We run the three fronts in parallel (dependencies, infra, secrets) and consolidate the findings.
Comentario automático en tu PR con los findings ordenados por severidad y agrupados según puedan o no bloquear el merge. Automated comment on your PR with findings ordered by severity and grouped by whether they can block the merge or not.
Al terminar el scan, los datos temporales del repo se eliminan. Sólo conservamos metadata de los findings (paths, líneas, rule IDs). When the scan ends, the repo's temporary data is removed. We only keep findings metadata (paths, lines, rule IDs).
DÓNDE ESTÁN
NUESTROS LÍMITES
WHERE OUR
LIMITS ARE
Transparencia sobre lo que Musha cubre y lo que todavía no. Preferimos decírtelo claramente antes de que lo descubras tú. Transparency about what Musha covers and what it doesn't yet. We'd rather tell you upfront than have you find out later.
No reemplazamos un pentest We don't replace a pentest
Musha es una herramienta automatizada de análisis estático. Si tu equipo necesita un pentest manual con investigadores de seguridad, eso lo hace una consultora especializada y nosotros complementamos ese trabajo, no lo sustituimos. Musha is an automated static analysis tool. If your team needs a manual pentest with security researchers, that's the work of a specialized consultancy and we complement it rather than replace it.
SAST todavía no SAST not yet
SAST (análisis estático del código propio de la aplicación) está en el roadmap, pero llega post-launch. Por ahora nos enfocamos en SCA, IaC y Secrets para que cada release tenga buena base. Cuando llegue SAST te avisamos. SAST (static analysis of your own application code) is on the roadmap, but it comes post-launch. For now we focus on SCA, IaC, and Secrets to give every release a solid base. When SAST is ready, you'll hear about it.
Sin verificación activa de secrets No active secret verification
Cuando encontramos un secret en tu código, lo reportamos pero no lo usamos. Nunca llamamos a APIs externas con esa credencial. Es una decisión ética y, además, evita que el proveedor revoque la key automáticamente al detectar uso desde una IP inesperada. When we find a secret in your code, we report it but we don't use it. We never call external APIs with that credential. It's an ethical decision, and it also prevents the provider from auto-revoking the key when they see use from an unexpected IP.
No guardamos tu código fuente We don't keep your source code
El acceso a tu repo es temporal y dura sólo lo que dura el scan. Al terminar, los datos del repo se eliminan automáticamente. Lo único que persistimos es metadata de findings: paths, líneas y rule IDs. El código fuente en sí no se almacena. Access to your repo is temporary and lasts only as long as the scan. When it ends, the repo data is removed automatically. We only persist findings metadata: paths, lines, and rule IDs. The source code itself is never stored.
VER EN ACCIÓN SEE IT IN ACTION
14 días de trial. Conecta tu primer repo en 5 minutos. 14-day trial. Connect your first repo in 5 minutes.