Conecta el análisis de repositorios, la revisión contextual de código con IA, las correcciones automáticas y el pentesting autorizado con las herramientas de tu equipo.
¿Has usado esta herramienta? Valórala
¿Has usado esta herramienta? Valórala
Aikido es una plataforma de seguridad de aplicaciones que centraliza la protección del código, la nube y la ejecución.
La revisión de código con IA, el análisis de fuentes y el pentesting con IA cubren distintas fases del desarrollo, con condiciones de acceso y cobro independientes.
AutoFix propone cambios revisables para dependencias, código de aplicaciones, infraestructura como código, contenedores y hallazgos de pentesting mediante diferencias en línea en el IDE, sugerencias CI/PR y solicitudes de incorporación generadas manualmente o a diario.
Para dependencias, AutoFix prefiere la versión mínima corregida, normalmente una actualización de parche o menor; una actualización mayor significa que ninguna versión inferior resuelve el problema.
Cloud Discovery busca recursos, riesgos y configuraciones erróneas entre cuentas; Cloud Inventory mapea activos y las reglas CSPM personalizadas señalan configuraciones de riesgo.
Zen Firewall se integra directamente en el código y se ejecuta en el mismo servidor que la aplicación. Los controles enumerados abarcan entradas peligrosas, ataques de inyección y recorrido de rutas, límites de frecuencia por ruta y usuario, tráfico malicioso como bots o atacantes conocidos, acceso por país y supervisión del tráfico saliente.
Aikido ilustra Deep Review con una PR que expone los pedidos de un usuario a otro: la aplicación sigue funcionando y SAST puede no detectar ningún patrón peligroso conocido.
AI Code Analysis examina el código fuente existente cuando un equipo no sabe con certeza si una aplicación establecida aísla a sus clientes entre sí.
Attack Surface Monitoring descubre activos accesibles, como una antigua página de acceso o una API de administración expuesta por un cambio de proxy. Quick Scan comprueba continuamente la exposición de dominios ya conocidos.
Aikido se conecta mediante GitHub, GitLab, Bitbucket, Azure DevOps e instalaciones locales de control de código fuente. Las vías de IDE incluyen Visual Studio, VS Code, JetBrains IDEs, Cursor, Windsurf, Kiro, Google Antigravity y Eclipse.
La documentación del escáner local incluye configuración CI/CD para Azure DevOps Server, Bitbucket Pipelines, Bamboo, CircleCI, GitHub Actions, GitLab Self-Managed, Jenkins y TeamCity, junto con guías para Linux, Mac y Windows.
Hay configuraciones MCP publicadas para Claude Code, Cursor, Codex CLI, Gemini CLI, JetBrains AI, GitHub Copilot, Mistral Vibe, OpenCode y Devin. También está disponible la documentación API Authorization and Rate Limiting.
SAST distingue el seguimiento de contaminación entre archivos y dentro de un archivo. Para el análisis entre archivos enumera JavaScript, TypeScript, PHP, .NET/C#, Java, Rust, Go, Ruby, Python, Scala, C/C++ y Visual Basic. Para el análisis dentro de un archivo enumera Swift, Android, Kotlin, Dart, Elixir, Apex y Clojure.
Zen admite los entornos Node.js, Python, PHP, Java, .NET Core and Framework, Ruby y Golang; Golang está marcado como beta.
Los precios en USD registrados el 28 de octubre de 2026 usan 10 usuarios por plan de pago; los precios anuales son totales de un año. Excluyen retenciones, impuestos de importación, sobre ventas, IVA y otros impuestos locales.
| Plan | Facturación mensual | Facturación anual | Usuarios incluidos |
|---|---|---|---|
| Developer | $0 | $0 | 2 |
| Basic | $350/mes | $3780/año | 10 |
| Pro | $700/mes | $7560/año | 10 |
| Advanced | $1050/mes | $11340/año | 10 |
Developer no requiere tarjeta y anuncia nuevos análisis cada tres días. Las cuotas de las tarjetas de planes están sujetas a uso razonable. Un guion indica que la tarjeta no enumera una cuota de grupos de escalado de VM.
| Plan | Repositorios / imágenes | Dominios / cuentas en la nube | Grupos de escalado de VM | AI AutoFix al mes | Solicitudes protegidas al mes |
|---|---|---|---|---|---|
| Developer | 10 / 2 | 1 / 1 | — | 10 | 250k |
| Basic | 100 / 50 | 3 / 3 | — | Sin límite | 10M |
| Pro | 200 / 100 | 10 / 10 | 30 | Sin límite | 20M |
| Advanced | 500 / 200 | 20 / 20 | 100 | Sin límite | 50M |
Aikido Max se ofrece como complemento bajo presupuesto, con créditos mensuales ilimitados para todas las funciones de IA, incluido Deep Review, sujeto a uso razonable.
Un crédito Aikido equivale a $1 USD. Los espacios Pro y Advanced activos que cumplan los requisitos pueden recibir 100 y 200 créditos gratuitos por mes natural, respectivamente; Developer y Basic no incluyen esas recargas. Los créditos comprados y gratuitos comparten un saldo sin caducidad. No usar el monedero puede implicar no recibir la recarga gratuita ese mes; el saldo previo permanece.
La compra mínima es de 500 créditos por transacción. Se puede pagar con tarjeta o factura, pero la facturación solo está disponible para clientes de pago; los créditos se añaden tras completarse el pago.
Los administradores del espacio pueden fijar topes por función, con periodos de reinicio según la función. Al alcanzar el tope, Aikido omite las acciones que cobrarían créditos hasta que se reinicie.
Deep Review cuesta un crédito por solicitud de incorporación, sin cargos adicionales por revisiones posteriores de la misma PR. Se omiten revisiones al agotarse los créditos. Su tope mensual omite las revisiones de pago hasta el siguiente mes natural.
Un Standard Pentest cuesta 4000 créditos por una evaluación de tiempo limitado de una aplicación y sus API principales. Rightsized Pentests usa repositorios conectados para mapear vectores de ataque y fijar el alcance de pruebas relevante para la seguridad, con el total confirmado antes de empezar. Rightsized muestra $50–$30000+, con alcance determinado por repositorios, endpoints y roles.
Continuous Pentesting cobra 10 créditos por agente iniciado. La estimación anualizada usa los últimos 30 días de actividad Git. Aikido comprueba despliegues configurados o ejecuciones programadas, pero solo inicia agentes ante cambios relevantes para la seguridad; los cargos reales dependen de los inicios, no solo de la estimación. Los hallazgos del pentest inicial pueden volver a probarse hasta seis meses, incluida la comprobación de vías para eludir las correcciones.
La primera evaluación completa puede empezar con créditos pendientes de pago sin comprarlos por adelantado. Los hallazgos High y Critical permanecen difuminados hasta el pago; las evaluaciones grandes revelan al menos uno como vista previa. El informe y las repeticiones de pruebas se habilitan al pagar o condonar el saldo pendiente. Cualquier saldo adeudado debe pagarse antes de volver a usar esta oferta.
Se exige no tener créditos impagados, un pentest de como máximo 8000 créditos, al menos un repositorio activo que no sea de demostración, al menos dos cuentas válidas de prueba y un correo laboral del usuario o de un administrador del espacio. Los correos personales no cumplen los requisitos.
La condonación exige todo lo siguiente: primera evaluación completa del espacio, uso de Run now, pay later, Rightsized Pentest con cobertura recomendada o superior, configuración correcta que permita pruebas exhaustivas y finalización sin hallazgos High ni Critical. La condición de no pagar excluye cobertura inferior a la recomendada, segundas ejecuciones y repeticiones de pruebas, Continuous Pentesting, pruebas restringidas de funciones o endpoints y configuración incompleta, como usuarios ausentes o contexto insuficiente de la aplicación. También puede denegarse por un hallazgo Medium o Low si Exploit Further estaba disponible pero no se usó y el hallazgo podría razonablemente haber alcanzado gravedad High o Critical. La condición trata de gravedad y va más allá de escalar privilegios.
El MSA público establece renovación automática por un periodo igual al actual, con aviso escrito al menos 30 días naturales antes del final para cancelar al terminar el periodo. Si se cancela por un motivo distinto de un incumplimiento sustancial no subsanado de Aikido, el cliente sigue debiendo las cuotas del resto del periodo. La cancelación por dicho incumplimiento da derecho a devolución proporcional de importes prepagados no usados.
La tarjeta gratuita dice «gratis para siempre», mientras que el MSA no da a la versión gratuita un plazo mínimo o garantizado y permite a Aikido terminarla en cualquier momento por cualquier motivo.
Snyk enumera productos para código, dependencias de código abierto, contenedores, infraestructura como código, DAST de API/web y secretos: una comparación basada en el alcance de los escáneres para desarrolladores.
SonarQube cubre verificación del código, calidad y seguridad; SonarQube for IDE ofrece análisis sobre la marcha y orientación de programación. SonarQube Cloud es un SaaS totalmente gestionado; SonarQube Server se autogestiona dentro del perímetro del cliente.
Los objetivos deben designarse expresamente y pertenecer al cliente o contar con autorización legal para las pruebas. Los objetivos de terceros requieren su permiso explícito. Las pruebas de aplicaciones usan por defecto entornos ajenos a producción, de preproducción o de prueba, sin datos reales de usuarios ni riesgo para la actividad real, salvo acuerdo expreso escrito de ambas partes. Network Pentests puede incluir objetivos de producción seleccionados expresamente en el alcance, reconociendo el mayor riesgo para el servicio.
Credential-Based Testing es opcional y requiere selección explícita en la configuración del alcance o autorización escrita. Puede abarcar credenciales predeterminadas o débiles y credenciales filtradas previamente que parezcan vinculadas al cliente, dominios o usuarios. La autorización puede limitarse por objetivo, portal o categoría de credenciales y retirarse; se promete el cese en un plazo comercialmente razonable. El cliente debe tener los derechos y la base de tratamiento de datos personales pertinentes. El anexo también reconoce posibles bloqueos de cuentas, alertas, restablecimientos de contraseñas o efectos similares.
AutoFix GitHub App solicita lectura/escritura de Code, PRs y Workflows, y lectura de Checks y Actions. Esta vía de corrección con escritura difiere del alcance mínimo de solo lectura de la integración de análisis predeterminada.
Aikido dice que el análisis de repositorios usa un contenedor nuevo y borra los datos de análisis al terminarlo. Documenta excepciones: AutoFix conserva diferencias originales y corregidas de los archivos afectados, y los hallazgos AutoTriaged SAST conservan árboles de llamadas hasta dos semanas.
La documentación de datos de repositorios identifica instancias de aplicación EU, US, US Gov, ME y AU y describe almacenamiento en las regiones respectivas.
Aikido describe las operaciones de IA como solo inferencia, con procesamiento transitorio en memoria sin conservar ni reutilizar los datos, y dice que pequeños fragmentos anonimizados de código pueden favorecer una clasificación y corrección precisas. Para AutoFix de SAST, IaC y contenedores, afirma que solo se envían los fragmentos mínimos necesarios por canales cifrados a AWS Bedrock, y que ni Aikido ni AWS Bedrock entrenan o ajustan modelos con ese código. Son declaraciones del proveedor sobre esos ámbitos de procesamiento.
La política de privacidad sitúa los datos personales en Europa y Estados Unidos y conserva datos del servicio durante la relación con el cliente y después para operaciones, historial y archivo. Los datos personales bajo control de Aikido pueden borrarse tras una solicitud verificada.
Las actividades y hallazgos de pentest se registran. Los datos de prueba pueden ayudar a entregar resultados y mejorar el servicio; las credenciales de las pruebas de credenciales y otros datos personales se limitan a entregar resultados bajo el DPA. Los datos brutos se conservan un tiempo limitado para responder preguntas posteriores o defenderse de reclamaciones y luego se borran; la cláusula citada no fija un plazo. Aikido puede conservar una copia de archivo del informe final.
El MSA preserva la propiedad del cliente sobre contenidos, repositorios, bases de código, contenedores e infraestructura en la nube y permite el procesamiento necesario para cumplir obligaciones, ejercer derechos contractuales o satisfacer requisitos legales o autorizaciones. Tras la cancelación, permite 30 días para recuperar contenidos en formato nativo y analíticas de uso y exige purgar los contenidos en 200 días. La conservación durante ese periodo se limita a la disponibilidad de copias de seguridad.
No. Según Aikido, proporcionar acceso a repositorios mejora mucho el contexto sobre lógica de la aplicación, roles y flujos de datos, logrando una cobertura más profunda y hallazgos más precisos.
Debe completarse una evaluación inicial y conectarse los repositorios usados para identificar cambios relevantes para la seguridad. Tras configurarse, Aikido puede ejecutar pentests dirigidos a medida que cambia la aplicación.
La configuración de tokens API usa OAuth Client Credentials para comunicaciones entre servidores. Primero un administrador del espacio crea las credenciales de cliente con las que obtener un token de acceso.
Los administradores del espacio gestionan los permisos MCP, que se aplican a todos los usuarios en todas las herramientas MCP. La lista de problemas se limita a los ya accesibles al usuario, e ignorar hallazgos sigue sujeto a sus permisos de rol actuales.
