Repolode
Enviar
Junhan2

Junhan2/reaproof

Una CLI de un solo comando que evalúa cuánto expone el artefacto de compilación de una app publicada a agentes de ingeniería inversa con IA como rea y corrige lo que puede de forma segura.

Ver en GitHubSitio web
Estrellas
10
Forks
2
Issues abiertos
0
Último commit
hace 19 días

¿Qué es?

Reaproof analiza el artefacto de compilación de una app web, de escritorio o móvil antes de su lanzamiento e informa de qué podría extraer de él un agente de ingeniería inversa con IA, como rea. Busca mapas de fuentes residuales que contienen el código fuente original, claves de API solo para el servidor, valores de .env que terminaron en archivos distribuidos, carpetas .git, símbolos de depuración y opciones de compilación exclusivas del desarrollo, como el modo debuggable de Android o los fuses de Electron. Cada hallazgo tiene un nivel de gravedad e incluye una explicación en lenguaje sencillo y la solución que se debe aplicar.

De forma predeterminada, la herramienta solo lee. Enumera los archivos de mapas de fuentes que puede eliminar, pide confirmación y los mueve a una copia de respaldo que puede restaurarse con el comando undo. Si no hay una terminal disponible, por ejemplo en CI o en un shell de agente, no cambia nada y termina con un código que puede usar un pipeline de lanzamiento. Los resultados también se pueden guardar en formato JSON para agentes o SARIF para el análisis de código de GitHub.

Admite Next.js, Vite, Nuxt, SvelteKit, Astro, React Router, Electron, Tauri, archivos Android APK y AAB, archivos iOS IPA y binarios nativos Mach-O, ELF, PE, .NET, Go y WebAssembly. Requiere Node.js 18.3 o posterior y no tiene dependencias de npm.

Funciones clave

  • 01Evalúa el riesgo de rea en un artefacto de compilación, desde muy alto hasta mínimo, y explica cada hallazgo.
  • 02Encuentra mapas de fuentes que exponen el código fuente original y ofrece una solución reversible que los mueve a una copia de respaldo.
  • 03Detecta claves solo para el servidor, como claves secretas de Stripe, claves de acceso de AWS y claves de servicios de IA, en archivos distribuidos.
  • 04Compara los valores de .env y los secretos de entorno de CI con lo que realmente se distribuye.
  • 05Genera JSON para agentes y SARIF para el análisis de código de GitHub, además de códigos de salida para bloquear lanzamientos.

Casos de uso

  • Comprobar si una compilación web de Next.js o Vite filtra mapas de fuentes y claves de API antes del despliegue.
  • Configurar un pipeline de lanzamiento de CI para que los hallazgos críticos o de gravedad alta detengan la compilación.
  • Auditar un paquete de lanzamiento de Electron, Tauri o Android antes de distribuirlo a los usuarios.
  • Permitir que un agente de programación ejecute la comprobación y corrija los problemas señalados en un proyecto.

Inicio rápido

  1. 1

    Ejecuta la herramienta en la carpeta de tu proyecto (no hace falta instalar nada)

    npx reaproof

Antes de usarlo

  • Necesita Node.js 18.3 o posterior.
  • Solo puede evaluar una build; no puede demostrar que no se filtre nada, ya que una evaluación de baseline no significa que la aplicación esté completamente oculta.

En colecciones

Bibliotecas de skills para agentes de IAHerramientas de CLI y terminalHerramientas de escaneo, auditoría e inteligencia de amenazasFrameworks de pruebas y herramientas de automatización

Temas

#security#reverse-engineering#source-maps#secrets#cli#ci-cd#devops#agent-skills#claude-code-plugin#electron

Preguntas frecuentes

¿Qué es reaproof?
Una CLI de un solo comando que evalúa cuánto expone el artefacto de compilación de una app publicada a agentes de ingeniería inversa con IA como rea y corrige lo que puede de forma segura. Reaproof analiza el artefacto de compilación de una app web, de escritorio o móvil antes de su lanzamiento e informa de qué podría extraer de él un agente de ingeniería inversa con IA, como rea. Busca mapas de fuentes residuales que contienen el código fuente original, claves de API solo para el servidor, valores de .env que terminaron en archivos distribuidos, carpetas .git, símbolos de depuración y opciones de compilación exclusivas del desarrollo, como el modo debuggable de Android o los fuses de Electron. Cada hallazgo tiene un nivel de gravedad e incluye una explicación en lenguaje sencillo y la solución que se debe aplicar.
¿reaproof es gratuito? ¿Qué licencia tiene?
reaproof es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿reaproof sigue mantenido?
Mantenimiento activo. El último commit de reaproof fue el 19 oct 2026.
¿Para qué puedo usar reaproof?
Comprobar si una compilación web de Next.js o Vite filtra mapas de fuentes y claves de API antes del despliegue. Configurar un pipeline de lanzamiento de CI para que los hallazgos críticos o de gravedad alta detengan la compilación. Auditar un paquete de lanzamiento de Electron, Tauri o Android antes de distribuirlo a los usuarios. Permitir que un agente de programación ejecute la comprobación y corrija los problemas señalados en un proyecto.
¿Cómo se instala reaproof?
Ejecuta la herramienta en la carpeta de tu proyecto (no hace falta instalar nada): npx reaproof
¿Dónde consigo reaproof?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/Junhan2/reaproof

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados