El sistema de registro de los controles de cambios de software
Cada cambio de código y de proceso, sellado como evidencia de auditoría.
Toevan revisa el código de cada pull request, registra cómo se revisó, aprobó y fusionó cada cambio, y detecta cada cambio en las reglas que lo rodean. Cada hecho se firma y se encadena como evidencia que su auditor verifica sin conexión con openssl estándar, sin software de Toevan ni una cuenta.
- Datos procesados en la UE
- DPA disponible
- Verificable con Sigstore, in-toto y cosign
Funciona con
- GitHub
- Kosli
- Sigstore
- Slack
- Jira
- Linear
Se asigna a
- SOC 2
- ISO/IEC 27001
- PCI DSS v4.0
- NIST 800-53 Moderate
- HIPAA
- GDPR
- DORA
- Revisa cada cambioBloquea la fusión ante una regla incumplida, con el archivo y la línea.
- Registra cómo entróCada revisión, aprobación y fusión, tal como ocurre en GitHub.
- Detecta cambios en los controlesReglas desactivadas, omisiones de administrador y pushes directos.
- Lo sella como evidenciaFirmado y encadenado, para que su auditor lo verifique sin conexión.
Por qué ahora
Los archivos de reglas piden al modelo que se porte bien. Toevan verifica que lo hizo.
Los asistentes de AI escriben ya buena parte del código que fusionan los equipos regulados, más rápido de lo que ningún proceso de revisión fue diseñado para absorber. Un archivo CLAUDE.md o .cursorrules es una petición. Un gate de fusión es un control, y el registro que escribe es la evidencia.
Cómo funciona
Un gate, un registro. Todas las vistas que necesita una auditoría.
Toevan se ejecuta en cada pull request, en main tras cada fusión y en cada cambio de sus reglas de revisión. Lo que decide, lo registra, y lo que registra pueden verlo su equipo y sus auditores.
§1
Gate
Bloquea el cambio y dice exactamente por qué.
Cada pull request se comprueba como un check de GitHub frente a los blueprints que adopte. Mismo cambio, misma regla, mismo resultado. Ningún modelo decide un veredicto.
- 28 tipos de restricción deterministas en cumplimiento, seguridad y arquitectura
- Comenta en la línea y publica su veredicto como revisión
- Excepciones solicitadas desde el pull request, con motivo y caducidad
- Correcciones sugeridas, validadas por compilación y por radio de impacto
§2
Registro
Registra cómo entró cada cambio.
Cada fusión, aprobación y cambio en sus reglas de revisión, capturado desde GitHub tal como ocurre.
- Aprobación independiente sobre el commit final y las reglas vigentes en la fusión
- Reglas de revisión desactivadas, omisiones de administrador y pushes directos, como eventos
§3
Sello
Sella cada decisión como evidencia.
Cada ejecución del gate, fusión y cambio de reglas escribe un registro firmado y de solo adición, anclado al commit y a la versión del conjunto de reglas vigente.
- Encadenado por hash y firmado, con anclaje opcional en Sigstore Rekor
- Exportaciones CSV y PDF por marco, repositorio y periodo
- Conservado al menos tres años (5, 7 o 10 en Enterprise), con una copia en su propio repositorio
Controles
Muestra el estado de los controles como lo pide una auditoría.
Siga cada repositorio frente a los marcos por los que se le audita, vea las excepciones antes de que caduquen y dé a los auditores externos un rol de solo lectura. Vistas para ingenieros, auditoría interna y auditores externos.
Tasa de restricciones superadas
96.4%27 / 28 reglas sin hallazgo abierto en mainInfracciones abiertas
30 críticas · 1 alta · 2 mediasEjecuciones del gate hoy
1412 superadas · 2 bloqueadasRegistros de evidencia
4,812últimos 90 días · solo adición · firmados| Repositorio | SOC 2 | DORA | Excepciones abiertas | Última verificación |
|---|---|---|---|---|
| payments-api | 6 con evidencia | 1 parcial | 1 | 17aa93d |
| ledger-service | 6 con evidencia | 1 parcial | 0 | 91ac03e |
| web-checkout | 1 fallando | 1 parcial | 0 | 4d2e8b1 |
| partner-gateway | 6 con evidencia | 1 parcial | 2 | e07f5a2 |
§4
Verificar
Su auditor lo verifica sin conexión, con openssl estándar.
Sin software de Toevan y sin cuenta: estándares abiertos y herramientas habituales. Tres pasos, y la respuesta llega en palabras claras. Si algo de un registro se cambió tras sellarlo, la comprobación lo dice.
- Obtenga una copia de la evidencia
La evidencia vive en una rama del propio repositorio de su cliente, junto al código que describe. Una carpeta de registros corriente.
- Confirme la clave
Compruebe que la huella de la clave coincide con el id de clave que Toevan publica en api.toevan.com/v1/public/evidence/keys y que imprime en cada informe. Un comando la imprime.
- Compruebe un registro de su muestra
Ejecute la comprobación sobre cualquier registro. Responde dos preguntas: ¿se cambió la declaración firmada?, ¿y es este registro el que se firmó?
rec_5b81d4eun registro de una muestra de 25 · datos de ejemploVerified OKLa declaración es exactamente lo que se firmó con la clave publicada.
record matches the statementEste archivo de registro es el que cubre la firma. Puede fiarse de lo que dice.
Las líneas que imprime el README de la rama de evidencia. Solo necesitan openssl y el shell.
- paso 2: imprima la huella de la clave y compárela con la publicada
- paso 3a: reconstruya los bytes exactos que se firmaron (DSSE v1) y compruebe la firma
- paso 3b: ¿es el archivo de registro el que nombra la declaración firmada?
$ ENV=attestations/<head_sha>/<record_id>.dsse.json
$ REC=records/<head_sha>/<record_id>.json
$ PUB=toevan.pub
$ openssl pkey -pubin -in "$PUB" -outform DER | openssl dgst -sha256
SHA2-256(stdin)= <key id>
$ T=$(sed -E 's/.*"payloadType":"([^"]*)".*/\1/' "$ENV")
$ sed -E 's/.*"payload":"([^"]*)".*/\1/' "$ENV" | openssl base64 -d -A > statement.json
$ sed -E 's/.*"sig":"([^"]*)".*/\1/' "$ENV" | openssl base64 -d -A > sig.der
$ { printf 'DSSEv1 %s %s %s ' "${#T}" "$T" "$(wc -c < statement.json | tr -d ' ')"; cat statement.json; } > pae.bin
$ openssl dgst -sha256 -verify "$PUB" -signature sig.der pae.bin
Verified OK
$ H=$(sed -E 's/.*"record_hash":"sha256:([0-9a-f]{64})".*/\1/' statement.json)
$ if [ "$(openssl dgst -sha256 -r "$REC" | cut -d' ' -f1)" = "$H" ]; then echo "record matches the statement"; else echo "RECORD DOES NOT MATCH THE STATEMENT"; fi
record matches the statement
$ printf 'record %s\n' "$(sed -nE 's/.*"record_id":"([^"]*)".*/\1/p' statement.json)"
record <the record id you picked>
$ printf 'subject %s\n' "$(sed -nE 's/.*"subject":\[\{"digest":\{"([^"]*)":"([^"]*)"\},"name":"([^"]*)"\}\].*/\3 \1:\2/p' statement.json)"
subject git+https://github.com/<owner>/<repository> gitCommit:<the commit you picked>
Para auditores
Hecho para la auditoría, y honesto sobre su alcance.
Cada control de cada marco del catálogo, mapeado: dónde Toevan da evidencia de código, dónde da evidencia de proceso, y la parte mucho mayor que queda en su organización.
Lo que recibe su auditor
- Un informe por marco. Para cualquier periodo y repositorio: un PDF para el expediente y un CSV de los registros para las pruebas.
- La traza de evidencia completa. Cada resultado de código, excepción, fusión, aprobación y cambio de reglas, cada uno anclado a su commit y a la versión del conjunto de reglas vigente.
- Cambios en los controles tal como ocurren. Reglas de revisión desactivadas, omisiones de administrador y pushes directos, sellados cuando ocurren.
- Acceso de solo lectura. Un rol de Auditor que lee la evidencia, las exportaciones y los informes, y no ve repositorios ni código.
- Instrucciones que no necesitan cuenta. La verificación se ejecuta sin conexión con herramientas abiertas frente a una clave publicada.
Cómo se etiqueta cada hecho
Cada hecho lleva una de seis etiquetas, para que su auditor sepa hasta dónde fiarse.
Ambas se sellaron cuando ocurrieron, así que nada queda entre instantáneas. Recuente la población usted mismo con git y el CSV de población del informe.
Integraciones
Completo por sí solo. Conectado cuando lo necesite.
Toevan solo necesita sus repositorios de GitHub para comprobar cada cambio, registrar cómo entró, sellar la evidencia y dar a los auditores lo que piden. Conserve Semgrep, Snyk o CodeQL para más profundidad.
- Gate de pull requests y excepciones con caducidad
- Evidencia sellada por cambio y evidencia de proceso por fusión
- Paneles de auditoría y una insignia de estado para el README
- Funciona sobre sus repositorios de GitHub
Precios
Empiece gratis. Hable con nosotros cuando la auditoría sea real.
Todos los planes sellan la misma evidencia y se verifican de la misma forma. Los planes difieren en alcance, informes, flujos de trabajo y dónde se ejecuta Toevan.
Gratis
Para un primer repositorio y un primer vistazo al gate.
- Repositorios: hasta 2 en una organización, 1 en una cuenta personal
- Puestos: hasta 3 en una organización
- Registro de evidencias sellado con exportación
- Gate de pull requests y canvas de arquitectura
- Marketplace oficial de blueprints
- Correcciones con AI: 10 al mes
Team
RecomendadoCon precio por repositorio gobernado y facturación anual, para organizaciones con entre cinco y cien repositorios.
- Repositorios: de 5 a 100, con precio por repositorio gobernado y facturación anual
- Puestos: ilimitados
- Marcos: todos los marcos
- Deep Check: bajo uso razonable
- Roles por repositorio
- Correcciones con AI: incluidas, bajo uso razonable
- Informes de cumplimiento en CSV y PDF
- SSO (SAML y OIDC), próximamente
Empiece con un piloto: un repositorio y un marco, a lo largo de un ciclo de auditoría.
Enterprise
Más de cien repositorios, o condiciones a medida.
- Repositorios: más de 100
- Despliegue autoalojado o en VPC privada, a petición
- Conservación de la evidencia: 3, 5, 7 o 10 años, a su elección
- Soporte prioritario
- Condiciones por volumen
| Función | Gratis | Team | Enterprise |
|---|---|---|---|
| Evidencia | |||
| Registro de evidencias sellado con exportación | Incluido | Incluido | Incluido |
| Verificación sin conexión con herramientas abiertas | Incluido | Incluido | Incluido |
| Informes de cumplimiento en CSV y PDF | No incluido | Incluido | Incluido |
| Registro de auditoría | No incluido | Incluido | Incluido |
| Conservación de la evidencia | Al menos 3 años | Al menos 3 años | 3, 5, 7 o 10 años, a su elección |
| Gate y controles | |||
| Gate de pull requests y canvas de arquitectura | Incluido | Incluido | Incluido |
| Marketplace oficial de blueprints | Incluido | Incluido | Incluido |
| Marcos de cumplimiento | No incluido | todos los marcos | todos los marcos |
| Flujos de excepciones | No incluido | Incluido | Incluido |
| Análisis previo a la fusión con Deep Check | No incluido | bajo uso razonable | bajo uso razonable |
| Escala y soporte | |||
| Repositorios | hasta 2 en una organización, 1 en una cuenta personal | de 5 a 100, con precio por repositorio gobernado y facturación anual | más de 100 |
| Puestos | hasta 3 en una organización | ilimitados | condiciones a medida |
| Correcciones con AI | 10 al mes | incluidas, bajo uso razonable | incluidas, bajo uso razonable |
| Use sus propias claves de LLM | No incluido | Incluido | Incluido |
| Soporte prioritario | No incluido | No incluido | Incluido |
| Condiciones por volumen | No incluido | No incluido | Incluido |
| Integraciones y seguridad | |||
| Notificaciones por Slack y webhook | No incluido | Incluido | Incluido |
| Roles por repositorio | No incluido | Incluido | Incluido |
| SSO (SAML y OIDC) | No incluido | Pronto | Pronto |
| Despliegue autoalojado o en VPC privada | No incluido | No incluido | a petición |
Todavía no hay precios de lista. Team tiene precio por repositorio gobernado y facturación anual, y lo acordamos con usted.
Las preguntas que más oímos
Respuestas directas sobre alcance, determinismo y adónde va su código.
¿Algo que no hemos respondido?- Escríbanospilots@toevan.com
- Pregunte en una llamada de piloto de 45 minutosReservar una llamada
- ¿Audita a un cliente de Toevan?Más respuestas para auditores
Alcance y encaje
3 preguntas¿Tenemos que sustituir Vanta, Kosli o nuestros escáneres?
No. Toevan funciona por sí solo para la capa de código, y junto a las herramientas que ya tiene. Conserve sus escáneres para el análisis en profundidad; las comprobaciones propias de Toevan dan a cada cambio una base y deciden la fusión frente a sus reglas. Los veredictos firmados llegan a Kosli como attestations, y los informes de Toevan se adjuntan a los controles en Vanta, Drata o su propio registro.
Lo que añade Toevan es un registro sellado, calculado a partir del propio cambio: lo que hace cada cambio y, desde v1.4.0, su camino del commit a producción, firmado cuando ocurrió y comprobable sin conexión con openssl estándar.
¿Un informe en verde significa que cumplimos la normativa?
No, y cada informe lo dice. Toevan aporta evidencia para los controles que viven en el código y, desde v1.4.0, en su proceso de cambios. Nunca certifica un control ni emite una opinión sobre si los controles están bien diseñados o funcionan con eficacia. Las revisiones de acceso, la respuesta a incidentes, las pruebas de resiliencia, el riesgo de terceros y la gobernanza quedan en su proceso, y cada informe enumera exactamente lo que no cubre.
¿Solo admiten GitHub?
GitHub hoy, mediante una GitHub App con check runs y anotaciones en los pull requests. Desde v1.4.0 también lee fusiones, revisiones, cambios de reglas y despliegues a producción según ocurren. GitLab y Bitbucket están en la hoja de ruta. Si uno de ellos es su impedimento, díganoslo y sube de prioridad.
Cómo funciona
3 preguntas¿La aplicación de las reglas es realmente determinista?
Sí. Las restricciones de los blueprints se evalúan sobre el grafo de dependencias sin ningún modelo en el circuito: misma entrada, mismo veredicto, en cada ejecución. La AI se usa para sugerir correcciones y explicar violaciones, nunca para decidir si el código cumple.
¿Sale nuestro código de nuestro perímetro?
El análisis, la evaluación de blueprints, el gate de pull requests y la firma de evidencia se ejecutan en la propia infraestructura de Toevan en la UE, y su código fuente no sale de ella. Las comprobaciones de dependencias envían nombres y versiones de paquetes, salvo los que Toevan identifica como privados, a servicios públicos como OSV.dev. Las funciones opcionales de AI pueden enviar contexto derivado del código a un proveedor de la UE o a su propia clave de proveedor. El anclaje en Rekor, integrado y voluntario por organización, publica solo hashes de registros. El autoalojamiento está disponible a petición. La declaración completa está en la página de Seguridad.
¿Qué pasa cuando el gate se equivoca?
Usted solicita una excepción con una justificación, un alcance y una duración. El responsable adecuado la revisa, caduca según lo previsto y la propia excepción se convierte en evidencia.
Traiga un repositorio y su próxima auditoría.
Los pilotos empiezan en el T1 de 2027 con un pequeño grupo de design partners: equipos regulados que entregan código asistido por AI, desde Series B hasta enterprise. El primer ciclo de auditoría es la prueba.
- Un repositorio, un marco
- Evidencia desde el primer pull request
- Verificable sin una cuenta de Toevan