Lionshead, un proyecto de un único fundador, aplica en cada pull request un conjunto de herramientas de seguridad que replica las comprobaciones que un equipo corporativo de tamaño medio ejecutaría semanalmente contra código en producción. La premisa es directa: a escala individual, una brecha real de datos probablemente termina con el producto, así que la estrategia consiste en atacarse a uno mismo antes que un atacante externo lo haga.
El stack incluye Trivy (filesystem e IaC) para vulnerabilidades, secretos y problemas de licencias; Gitleaks, que rastrea secretos en todo el historial de Git; Checkov como segundo escáner de Terraform para defensa en profundidad; OWASP ZAP en modo baseline contra las previews de Vercel para DAST; Actionlint para workflows de GitHub Actions; Shellcheck para scripts de shell; Hadolint para Dockerfiles; y un verificador propio que exige fijar cada acción de terceros a un SHA de commit completo, cerrando así vectores de ataque a la cadena de suministro. Infracost añade un control de gasto en Terraform con umbral de 50 dólares mensuales.
Fuera del pull request, un workflow programado ejecuta auditorías diarias con npm audit y Trivy, y Renovate automatiza las actualizaciones de dependencias y de los SHA fijados. En roadmap quedan Semgrep para SAST, ZAP programado contra el entorno de desarrollo y hooks de pre-commit con Husky. Todas las herramientas son de código abierto; el coste es de configuración inicial y de ajuste de falsos positivos, no de licencias. El artículo cierra anunciando una próxima entrada sobre el patrón de entornos de preview con Vercel y Neon Postgres.