AppSec.Code · Безопасная Git-платформа (VCS) Эффективное управление разработкой с встроенной безопасностью
Российская безопасная среда разработки и контроля версий: полный DevSecOps-цикл от планирования до управления релизами.
Единый процесс DevSecOps — от планирования до управления
Одна платформа вместо набора разрозненных инструментов: планирование, код, проверка, безопасность, зависимости, релизы, мониторинг и управление.
- DORA-метрики
- Value stream analytics
- Доски задач, milestone
- Управление кодом
- Code review, MR
- Web IDE, Wiki, Pages
- CI и merge trains
- Тесты и покрытие
- Управление секретами
- SAST · SCA · контейнеры
- Secret detection
- Audit events
- Dependency proxy
- Container registry
- Package · Helm registry
- Continuous delivery
- Оркестрация релизов
- Фича-флаги
- Отслеживание ошибок
- Метрики и логи
- Отчёты DevOps
- Доступ и политики
- Интеграции
- Требования и инциденты
Безопасная разработка с первого коммита
Доверенный Git-хостинг со встроенным контролем кода и секретов.
Снижение риска
Поиск секретов и контроль доступа снижают утечки и инциденты.
Управляемость
Единая платформа разработки с политиками и аудитом.
Импортонезависимость
Российское решение в реестре, on-premise в закрытом контуре.
Полный набор инструментов для команд разработки
Централизованное управление кодом, ветками, артефактами и контейнерами с отслеживанием изменений.
Обязательные merge-запросы, конфигурируемые согласующие, MR-зависимости и code ownership.
Полная поддержка конструкций .gitlab-ci.yml, множественные раннеры, merge trains, запуск по расписанию и триггерам.
Container, Package и Helm registry, dependency proxy — единое хранилище артефактов.
Запуск SAST/DAST/SCA прямо из платформы, security-дашборды и статус исправления уязвимостей.
Отчёты и аналитика, code smells, метрики кодовой базы, рейтинг разработчиков, поиск дубликатов.
Доски задач и milestone на уровне организации, метрики DORA и value stream management.
Audit events — полный аудит действий пользователей для расследований и комплаенса.
Безопасная разработка встроена в репозиторий
Контроль кода и уязвимостей на каждом этапе — без отдельных надстроек и ручных проверок.
Контроль на уровне кода
Безопасность встроена в работу с репозиторием, а не добавляется после релиза.
Push-правила
Запрет небезопасных и нежелательных изменений уже на этапе push.
Управление доступом к веткам
Гранулярные права на ветки и защищённые окружения.
Политики качества и безопасности
Правила качества и безопасности, применяемые ко всем проектам организации.
Блокировка и быстрый откат
Блокировка критичных изменений с возможностью мгновенного отката.
Ценность для каждой роли в команде
- Отсутствие издержек на переобучение персонала
- Миграция без потери данных
- Ускорение цикла поставки ПО
- Код, ветки, артефакты и контейнеры с отслеживанием изменений
- Проверка кода: настраиваемые согласующие и зависимости запросов на слияние
- Поиск по коду, история изменений и авторство строк
- Полная поддержка .gitlab-ci.yml, запуск по расписанию и событиям
- Развёртывание в разные среды, контроль выпусков и автоостановка
- Мониторинг CI/CD и выгрузка метрик в бизнес-аналитику
- Контроль качества разработки и планирование
- Глубокая настройка, интеграции по событиям и учёт задач
- Метрики DORA и аналитика потока поставки
- Постоянный мониторинг и рост защищённости ПО
- Обязательные согласования по безопасности и отчёты об уязвимостях
- Встроенная интеграция SAST/DAST/SCA
Разработка, ревью и безопасность в одном окне
Объективная картина кодовой базы и вклада команды
Отчёты и аналитика по качеству кода и code smells, метрики кодовой базы (строки, функции и оценка сложности), аналитика по разработчикам (вклад и рейтинг) и поиск дублирующегося кода по всей базе.
Подробнее в документации →Аналитика разработки
Запрос на слияние #142
Токен сессии стоит хранить в защищённом хранилище, а не в открытом виде.
Добавил проверку прав в middleware, посмотрите ещё раз.
Ревью с обязательными согласующими
Merge-запросы с конфигурируемыми аппруверами, обсуждениями и статусом пайплайна.
Нативная интеграция SAST/DAST/SCA
Результаты сканирований, критичность находок, инструмент и статус исправления — прямо в проекте.
| Компонент | Инструмент | Критичность | Статус |
|---|---|---|---|
| jackson-databind 2.9.8 | SCA | Critical | на проверке |
| Missing HSTS Header | SAST | Medium | на проверке |
| zlib 1.2.11 | SCA | High | исправлено |
| Hardcoded token | Secrets | High | на проверке |
Встроенный поиск секретов
| Файл | Тип секрета | Действие |
|---|---|---|
| .env:12 | AWS Access Key ID | push заблокирован |
| deploy/id_rsa | Private Key (RSA) | push заблокирован |
| config.yaml:8 | Hardcoded password | на проверке |
| api/client.js:5 | Bearer token | замаскирован |
Секреты не попадают в репозиторий
Pre-receive-хук проверяет каждый push и блокирует утечки — ключи, токены и пароли. Найденные секреты подсвечиваются с указанием файла и строки, а push отклоняется до исправления.
* Изображения интерфейса приведены для иллюстрации.
Ядро вашего DevSecOps-конвейера
AppSec.Code объединяет код, сборку, реестры и безопасность. Сканирования AppSec.Wave (SAST), AppSec.Track (OSA/SCA) и AppSec.Hub (ASPM) запускаются нативно прямо из CI/CD, а результаты и статусы исправления возвращаются в код.
AppSec.Code Готов к российским требованиям и закрытому контуру
Продукты AppSec Solutions используют ведущие компании банковского сектора, страхования, промышленности, онлайн-ритейла и телекома — включая участников рейтинга РБК 500.
Частые вопросы
Что такое AppSec.Code?
Можно ли перейти с зарубежной Git-платформы без потерь?
Как встроена безопасность?
С какими инструментами AppSec интегрируется?
Какая масштабируемость и отказоустойчивость?
Как разворачивается и на чём работает?
Другие продукты экосистемы
AppSec.Code vs GitLab
Функциональность корпоративного уровня и импортонезависимость.
| Функциональность | GitLab CE | GitLab Premium | AppSec.Code |
|---|---|---|---|
| Управление кодом | |||
| Репозитории и merge-запросы | ✓ | ✓ | ✓ |
| Защита веток | ○ | ✓ | ✓ |
| Code ownership | — | ✓ | ✓ |
| Merge Trains | — | ✓ | ✓ |
| MR approvals | — | ✓ | ✓ |
| CI/CD | |||
| Пайплайны | ✓ | ✓ | ✓ |
| Pipeline analytics | — | ✓ | ✓ |
| Unit test results | ○ | ✓ | ✓ |
| Custom scripts | ○ | ✓ | ✓ |
| Package proxy | — | ✓ | ✓ |
| Безопасность | |||
| Push rules | — | ✓ | ✓ |
| SAST / SCA | — | ✓ | ✓ |
| Security dashboards | — | — | ✓ |
| Secret detection | — | ✓ | ✓ |
| RBAC | ○ | ✓ | ✓ |
| Аналитика | |||
| Developer analytics | — | ✓ | ✓ |
| Code metrics | — | — | ✓ |
| Аудит и отчёты | ✓ | ✓ | ✓ |
| DORA metrics | — | — | ✓ |
| Enterprise | |||
| Multi-LDAP и SSO | — | — | ✓ |
| High Availability | — | — | ✓ |
| Geo-узлы | — | — | ✓ |
| Task Manager integration | — | ○ | ✓ |
| Импортонезависимость | |||
| Независимость от иностранных обновлений | — | — | ✓ |
| Официальная закупка в РФ | — | — | ✓ |
| Интеграции с рос. ИБ | — | — | ✓ |
| Offline-обновления | — | — | ✓ |
| Техподдержка в РФ | — | — | ✓ |
Сравнение по функциональности приведено на основе публично доступной информации о редакциях GitLab CE и GitLab Premium и носит информационный характер. GitLab — товарный знак GitLab Inc.