zizmor

zizmor es una herramienta de análisis estático para sistemas CI/CD. Escanea configuraciones comunes de CI/CD y reporta problemas de seguridad, con la capacidad de ayudar a corregirlos. Los objetivos compatibles incluyen GitHub Actions, Dependabot y configuraciones de pre-commit. Entre los problemas que detecta se encuentran vulnerabilidades de inyección de plantillas que pueden conducir a la ejecución de código controlado por el atacante, persistencia y filtración accidental de credenciales, alcances de permisos excesivos y concesiones de credenciales a los runners, y commits impostores o referencias git confundibles. La documentación del proyecto enumera auditorías adicionales más allá de estos ejemplos. Las instrucciones de instalación, una guía de inicio rápido y recetas de uso detalladas se proporcionan en la documentación del proyecto en docs.zizmor.sh. La herramienta se distribuye a través de crates.io y aparece en varios repositorios de paquetes según su insignia de empaquetado. El proyecto tiene licencia MIT y acepta contribuciones a través de su guía de contribución. El desarrollo cuenta con el apoyo de patrocinadores, y la discusión comunitaria tiene lugar en Discord.