Руководство пользователя

1. Откройте главную или страницу «Новая проверка» и вставьте ссылку на репозиторий, например https://github.com/owner/repo. Подходят GitHub, GitLab, Bitbucket, GitVerse и GitFlic.
2. Нажмите «Проверить». Если вы не вошли, пройдите капчу.
3. Откроется страница проверки: она обновляется сама, перезагружать её не нужно. Обычно результат готов через пару минут.

Мы скачиваем код, проверяем его в закрытой среде без доступа в интернет и сразу удаляем. К закрытым репозиториям доступ только на чтение.

Публичные репозитории можно проверить без входа — до 3 проверок в неделю. Вы увидите оценку и известные уязвимости в библиотеках. Находки в вашем собственном коде и найденные ключи в полном виде скрыты: их открывает вход и права на репозиторий.

Войдите через GitHub или другой хостинг кода (или по email и паролю). Проверки оплачиваются токенами: базовая стоит 100 токенов, а проверка с динамической атакой — ещё 200. На тарифе Free даём 500 токенов за скользящие 30 дней (неиспользованные сгорают). Полный отчёт по своей проверке бесплатный — вы платите только за саму проверку.

На тарифе Free в отчёте видна треть самых опасных находок. Полная атака доступна на подписке.

1. Войдите через хостинг, на котором лежит код. Для GitHub установите приложение Holefy и выберите, какие репозитории ему открыть.
2. Проверьте репозиторий как обычно. Стоит он столько же, сколько публичный.

Если приложение не стоит на нужном репозитории, мы скажем об этом при запуске. Чужие приватные проверки не видны никому, кроме их владельцев.

Оценка — число от 0 до 100 и буква от A до F. A значит «серьёзных проблем не нашли», F — «проект уязвим». Оценка зависит от опасности и количества находок, но каждая следующая находка того же уровня снижает её меньше предыдущей. Уязвимости библиотек учитываются вполовину, а отказ в обслуживании считается слабее взлома. В отчёте под оценкой есть расшифровка «Оценку снизили», из чего она сложилась.

Откройте его кнопкой «Открыть полный отчёт» на странице проверки. Для каждой находки вы увидите:

• файл, строку и фрагмент кода;
• чем это опасно и как исправить, простыми словами;
• категорию (утёкшие ключи и пароли, уязвимые зависимости, опасный код, ошибки конфигурации, цепочка поставок, при запуске) и уровень от «Информации» до «Критической».

Находки можно искать, фильтровать и группировать по категории или файлу. Каждой находке можно поставить статус: «Открыта», «Исправлено», «Ложное срабатывание» или «Риск принят». Отчёт скачивается в PDF. Полный отчёт открывается тому, кто запускал проверку и имеет права на запись в репозиторий.

Если проверку запустил гость, а потом вы вошли, откройте её полный отчёт за цену проверки с баланса.

Включите галочку «Динамическая атака» в форме (+200 токенов). Мы соберём приложение, запустим его в закрытой среде и попробуем взломать так, как это сделал бы злоумышленник. Это занимает несколько минут, поэтому мы пришлём письмо, когда отчёт дополнится. Сейчас атакуем проекты на Node, PHP и Python. Атака входит в подписку. Если приложение не удалось собрать или запустить и атаки не было, доплату за неё мы возвращаем на баланс сами.

ИИ-помощник доступен только подписчикам. В полном отчёте у каждой находки есть две кнопки:

• «Объяснить» — языковая модель расскажет простыми словами, что это за проблема и чем она грозит, и скажет, настоящая ли это уязвимость, ложное срабатывание или нужна проверка;
• «Промпт для исправления» — готовый текст, который можно скопировать в Cursor или Claude Code.

Над списком находок есть блок «ИИ-помощник» с кнопкой «Промпт по всем открытым»: один промпт, чтобы исправить сразу все находки без отметок «исправлено», «ложное» и «принято», от самых опасных. Если вы потом отметили часть находок, промпт можно сгенерировать заново.

Цена написана на каждой кнопке. Готовые тексты остаются в отчёте. Если такой же текст для того же кода уже писали, он появится сразу и бесплатно. Если текст не получился, токены вернутся. Для приватных репозиториев нужно поставить галочку согласия: фрагменты кода (секреты скрыты) уйдут во внешнюю модель.

Свои проверки лежат в кабинете. Гостям история привязана к браузеру. Проверку можно убрать из истории. Если она была публичной, её можно скрыть и из ленты «Недавние проверки» на главной: там видны только репозиторий, оценка и дата.

1. Откройте «Мои репозитории» и подключите хостинг, там появятся ваши репозитории, в том числе приватные.
2. Нажмите «Проверить» у нужного репозитория или «Обновить список», если что-то добавили недавно.
3. На платном тарифе у репозитория есть «Автосканирование»: выберите ветку и расписание (каждый коммит, раз в день, неделю или месяц).

Токены за автопроверки списываются сами. Если их не хватит, запуск пропустится, а мы напишем на почту. Если проверка нашла больше серьёзных проблем, чем в прошлый раз, мы напишем об этом в любом случае.

• Токены входят в тариф и обновляются каждый месяц, неиспользованные не переносятся. Starter даёт 3 000 токенов в месяц за 349 ₽, Pro — 15 000 за 1 390 ₽. Есть и недельный предел, он виден в балансе. Остаток и расход смотрите в разделе «Баланс и подписка».
• Кредиты — проверки без подписки. Пакет покупается один раз и живёт 12 месяцев. Кредиты тратятся, только когда токенов не хватает, и каждый раз мы спрашиваем подтверждение. Одна проверка без подписки обойдётся от 49 ₽.
• Подписка списывается раз в месяц, за три дня до списания мы пришлём письмо. Тариф можно сменить: повышение действует сразу с доплатой за остаток месяца, понижение — со следующего месяца.

Тарифы и цены — на странице «Тарифы», условия — в оферте.

Откройте «Баланс и подписка» и нажмите «Отменить подписку». Она закончится сразу, больше мы ничего не спишем. За неиспользованную часть месяца вернём деньги — по меньшей из двух долей: оставшихся дней или неистраченных токенов. Если оплаченный месяц уже закончился, возврата не будет.

Вход и подключение работают через GitHub, GitLab, Bitbucket, GitVerse и GitFlic. Доступ только на чтение. Подключайте нужные хостинги на странице «Мои репозитории»: их репозитории окажутся в одном списке. Если хостинг временно не отвечает, мы покажем остальные.

В разделе «Безопасность» можно:

• задать или сменить пароль (если вы входите через хостинг, пароль не обязателен);
• включить двухфакторную аутентификацию;
• добавить ключ доступа (passkey), чтобы входить без пароля;
• посмотреть «Активность аккаунта» — свои последние входы и изменения безопасности.

Тему оформления (светлая, тёмная или системная) выбирают в «Настройках → Оформление».

Откройте «Настройки → Профиль» и нажмите «Удалить аккаунт». Данные обезличиваются, приватные проверки без других владельцев теряют отчёт, а ваши обращения в поддержку стираются.

Вопрос или жалоба — на странице поддержки (нужно войти). Выберите категорию, опишите проблему, приложите до пяти скриншотов и, если нужно, привяжите проверку, находку или платёж. Ответ придёт на почту и появится в переписке на странице обращения без перезагрузки.