Repolode
Enviar
Legit-Labs

Legit-Labs/legitify

Scanner de CLI que verifica organizações, repositórios e membros do GitHub e do GitLab em busca de configurações incorretas de segurança e lacunas de conformidade.

Ver no GitHubSite
Estrelas
895
Forks
81
Issues abertas
18
Último commit
há 2 meses

O que é?

O Legitify analisa a configuração de segurança de recursos de gerenciamento de código-fonte no GitHub e no GitLab. Ele aplica políticas integradas a organizações, repositórios, membros, configurações do GitHub Actions e grupos de runners, e informa violações com níveis de gravidade. Os resultados podem ser exibidos em texto legível, JSON ou SARIF e agrupados por namespace, recurso ou gravidade.

A ferramenta é distribuída como um único binário e pode ser instalada via Homebrew, como extensão da GitHub CLI, ou executada como GitHub Action em um workflow agendado. É possível limitar as verificações a organizações, repositórios ou namespaces específicos, além de ignorar políticas individuais por meio de um arquivo. A integração opcional com o OpenSSF Scorecard adiciona verificações de pontuação dos repositórios no GitHub.

O comando opcional gpt-analysis envia metadados de repositórios ou organizações à OpenAI para gerar um resumo da postura com base em GPT. Os lançamentos incluem documentos de procedência SLSA Level 3 para verificar artefatos.

Recursos principais

  • 01Verifica organizações, repositórios, membros e configurações do Actions no GitHub e no GitLab com políticas integradas.
  • 02Exibe os resultados em texto legível, JSON ou SARIF.
  • 03Agrupa os achados por namespace, recurso ou gravidade.
  • 04Pode ser executado como binário independente, pacote Homebrew, extensão da GitHub CLI ou GitHub Action.
  • 05Oferece suporte ao GitHub Enterprise Server e ao GitLab auto-hospedado por meio de SERVER_URL.
  • 06Executa opcionalmente verificações do OpenSSF Scorecard em repositórios do GitHub.

Casos de uso

  • Auditar periodicamente uma organização do GitHub em busca de configurações arriscadas, como branches desprotegidas ou Actions não verificadas.
  • Executar uma verificação agendada de CI que falha ou informa quando as políticas dos repositórios divergem do esperado.
  • Auditar grupos e projetos do GitLab em busca de configurações incorretas antes de uma revisão de conformidade.
  • Enviar a saída SARIF para painéis de análise de código.

Início rápido

  1. 1

    Instale o legitify com o Homebrew

    brew install legitify
  2. 2

    Analise sua organização do GitHub usando um personal access token

    SCM_TOKEN=<your_token> legitify analyze --org org1,org2 --namespace organization,member

Antes de usar

  • Para uma análise completa, o GitHub exige um personal access token com escopos amplos, como admin:org e repo.
  • Personal access tokens com permissões granulares não são compatíveis.
  • A análise baseada em GPT envia metadados do repositório e da organização para os servidores da OpenAI.

Em coleções

Ferramentas de CLI e terminalFerramentas de varredura, auditoria e inteligência de ameaças

Tópicos

#security#github#gitlab#devsecops#misconfiguration#supply-chain-security#compliance#cli#ci#devops

Perguntas frequentes

O que é legitify?
Scanner de CLI que verifica organizações, repositórios e membros do GitHub e do GitLab em busca de configurações incorretas de segurança e lacunas de conformidade. O Legitify analisa a configuração de segurança de recursos de gerenciamento de código-fonte no GitHub e no GitLab. Ele aplica políticas integradas a organizações, repositórios, membros, configurações do GitHub Actions e grupos de runners, e informa violações com níveis de gravidade. Os resultados podem ser exibidos em texto legível, JSON ou SARIF e agrupados por namespace, recurso ou gravidade.
legitify é gratuito? Qual é a licença?
legitify é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
legitify ainda é mantido?
Atualizado nos últimos 6 meses. O último commit de legitify foi em 31 de ago. de 2026.
Para que posso usar legitify?
Auditar periodicamente uma organização do GitHub em busca de configurações arriscadas, como branches desprotegidas ou Actions não verificadas. Executar uma verificação agendada de CI que falha ou informa quando as políticas dos repositórios divergem do esperado. Auditar grupos e projetos do GitLab em busca de configurações incorretas antes de uma revisão de conformidade. Enviar a saída SARIF para painéis de análise de código.
Como instalar legitify?
Instale o legitify com o Homebrew: brew install legitify Analise sua organização do GitHub usando um personal access token: SCM_TOKEN=<your_token> legitify analyze --org org1,org2 --namespace organization,member
Onde consigo legitify?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/Legit-Labs/legitify

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados