Confianza
Un agente que puedes comprobar, no uno en el que tengas que confiar
Cada afirmación de esta página está respaldada por un documento que publicamos: la referencia de seguridad, el DPA, la política de privacidad o el fichero de política que delimita qué puede hacer el agente en tu repositorio.
Si no está registrado, no ocurrió
El registro de auditoría es append-only: el agente no tiene forma de reescribir su propia historia. Esa única propiedad es lo que hace comprobable el resto de esta página en vez de meramente tranquilizador: no tienes que creer que el agente se mantuvo dentro de sus permisos, puedes leer qué hizo, en orden, con la entrada, la salida y el motivo de cada paso.
La frontera
Dónde se ejecuta cada paso y qué deja registrado
La programación ocurre en tu máquina, el triaje y el merge se ejecutan de nuestro lado, cada llamada al modelo usa tu propia clave y el registro de auditoría guarda la petición, el veredicto del triaje y el merge.
- la tarea
- una llamada al modelo con tu clave
- una fila de auditoría, solo se añade
- fusionado tras la puerta de merge
Qué protege tu código y tus claves
Los permisos de la App, completos
La lista completa de permisos que solicita la GitHub App está en la página de la App, github.com/apps/developerz-ai. Contrástala con esta afirmación antes de instalarla. Puede subir una rama, fusionar un PR cuando CI y la revisión lo aprueban, y publicar una release si tu maintainer.yml lo pide. No solicita administration ni secrets, así que no puede cambiar la configuración del repositorio, leer tus secretos de Actions ni gestionar accesos.
BYOK: tu cuenta de proveedor
La inferencia corre con tu propia clave (Anthropic, OpenAI, Gemini, DeepSeek, Kimi, GLM, MiniMax y más, o cualquier endpoint compatible con OpenAI) bajo tus condiciones de tratamiento de datos. Nunca revendemos tokens ni estamos en la ruta de la llamada como revendedor.
Secretos cifrados en reposo
Las credenciales almacenadas se cifran en reposo y solo se descifran en memoria en el momento de usarlas. Nunca se escriben en logs ni en eventos de auditoría.
Un registro de auditoría append-only
Cada acción se registra con actor, repositorio, tipo, entrada, salida y marca de tiempo, solo se añade y nunca se modifica ni se borra después.
Sin ciclos entre bots
CodeRabbit, Copilot, Dependabot y Renovate se reconocen por identidad y nunca se les responde, de modo que dos bots nunca acaban discutiendo en un hilo. Los PRs de Dependabot y Renovate se siguen revisando, corrigiendo y fusionando a través de la puerta de merge.
Los documentos que lo respaldan
Lee el detalle, no el resumen
- Referencia de seguridad
Los permisos exactos de GitHub, el esquema de cifrado, los campos del registro de auditoría y cómo reportar una vulnerabilidad.
- BYOK
Qué proveedores se admiten, cómo se guardan las claves y qué sale de tu cuenta cuando el agente trabaja.
- Anexo de tratamiento de datos
Las condiciones como encargado: qué tratamos, con qué base, durante cuánto tiempo y con qué subencargados.
- Política de privacidad
Qué recogemos de ti y de tus repositorios, y qué no recogemos en absoluto.
- Referencia de maintainer.yml
El fichero que delimita al agente: qué puede tocar, qué espera siempre a una persona y qué no debe hacer nunca.
- Reportar una vulnerabilidad
La divulgación responsable va a nuestra dirección de seguridad, no a una incidencia pública. Respondemos.
Publica más. Mantén menos.
Creemos que el software se va a escribir más rápido de lo que cualquier equipo puede revisar. Trae tus repositorios, tus servidores y tus claves. Nosotros ponemos la organización que sigue el ritmo.