Primeros pasos: espacio de trabajo, control de código fuente y primer escaneo

Inicio de sesión y asistente de onboarding

Tu espacio de trabajo es tu organización de Plexicus: la cuenta que reúne a tus miembros, conexiones, repositorios y hallazgos. El producto y el resto de este curso la llaman organización.

Cómo llegas a Plexicus la primera vez depende de cómo lo gestione tu empresa. En Plexicus SaaS inicias sesión en app.plexicus.ai. Un despliegue autoalojado usa tu propio nombre de host. Si un administrador te ha invitado a una organización existente, acepta primero el correo de invitación. No te registres antes por tu cuenta: el autorregistro crea una organización independiente. Las invitaciones, los roles y la configuración de SSO se tratan en el módulo 10.

Registro e inicio de sesión

La página de registro permite registrarse con un clic con GitHub, Google o Microsoft, además de “o regístrate con tu correo” (Email, Password, Confirm Password). En algunas regiones la página muestra solo el formulario de correo. Marca la casilla de los Términos antes de registrarte, tanto con un botón de proveedor como con tu correo. Si no lo haces, la casilla aparece señalada y el registro no se completa. Si te registras con correo, la contraseña necesita al menos 8 caracteres, con una mayúscula, una minúscula, un número y un carácter especial. Después de enviar el formulario, Plexicus muestra “Revisa tu correo”. Haz clic en el enlace de verificación, espera a ver “Tu correo está verificado” e inicia sesión.

La página de inicio de sesión ofrece los mismos tres proveedores; “Iniciar sesión con SSO”, donde escribes el slug de inicio de sesión SSO de tu organización (pídeselo a tu administrador; el texto de ejemplo del campo parece una dirección de correo); y correo y contraseña, con un enlace “¿Olvidaste tu contraseña?”. Si tu organización ha configurado SSO, úsalo: así tu proveedor de identidad controla quién entra.

Las cuatro etapas

En una organización nueva, tu primer inicio de sesión abre el asistente de onboarding. Su columna izquierda sigue cuatro etapas:

Etapa	Qué haces
Conectar	Eliges un proveedor de control de código fuente y lo autorizas, o eliges una base de código de demostración
Elegir repos	Buscas tus repositorios, marcas hasta 5 y eliges una rama para cada uno
Config. básica	Defines un nombre de organización opcional, los estándares de cumplimiento y el idioma de escaneo e informes
Escaneando	Ves cómo Plexalyzer, el motor de escaneo de Plexicus, analiza tus repositorios

Conectar. “Conecta tu repositorio” muestra una tarjeta por proveedor: GitHub (con la etiqueta “Más popular”), GitLab, Bitbucket Cloud, Gitea, Forgejo y Azure DevOps. Haz clic en Configurar en una tarjeta para autorizarlo o introducir las credenciales; la lección 2 explica cada proveedor. Una tarjeta conectada muestra Configurado, y Continuar se activa.

La opción de base de código de demostración. Debajo de las tarjetas, en “O pruébalo al instante”, haz clic en Probar repo de muestra. “Select a Demo Codebase” muestra repositorios de ejemplo seguros y preconfigurados que contienen vulnerabilidades intencionadas. Marca uno o varios y haz clic en Continue. Elige este camino cuando quieras ver hallazgos reales antes de que tu equipo de seguridad apruebe una conexión con código de producción, o cuando estés formando a un compañero.

Elegir repos. Busca, marca hasta 5 repositorios y define la rama de cualquier repositorio que tenga más de una. En la mayoría de los proveedores puedes añadir más repositorios después desde Activos (lección 3).

Config. básica. Tres ajustes determinan el primer escaneo:

• Nombre de la organización (opcional).
• Estándares de cumplimiento: elige uno o varios, como NIS2, DORA, CRA, GDPR, ISO 27001
  , PCI DSS v4.0.1 o SOC 2, o elige “Ninguno por ahora”. Los hallazgos se mapean a cada marco para que los informes muestren las brechas de cobertura. Plexicus genera mapeos y evidencia para tus auditorías, no un veredicto de cumplimiento. Los marcos que no incluye tu plan aparecen bloqueados.
• Idioma de escaneo e informe: las notas de remediación, el texto de los pull requests y los informes se redactan en este idioma. Puedes elegir entre inglés y español.

En este paso el orden importa. Plexicus crea los repositorios e inicia su primer escaneo solo cuando haces clic en Iniciar escaneo. Así, el primer escaneo ya usa tus marcos y tu idioma. Usa “Volver a repositorios” si antes necesitas cambiar la selección.

Escaneando. “Escaneo en progreso” sigue el análisis. No tienes que esperar en esta pantalla: la franja “Tu escaneo continúa en segundo plano” te permite pasar a Activos mientras el escaneo sigue ejecutándose en el servidor. El botón de la franja dice Ir al panel, pero abre Activos, donde puedes seguir el escaneo. Cuando todos los repositorios llegan a Enriquecido, el onboarding termina y Plexicus te lleva al Panel de control.

Conectar el control de código fuente

Plexicus escanea el código que lee de tu proveedor de control de código fuente (SCM) y entrega las correcciones en ese mismo sitio, como pull requests e issues. Los permisos que pide una conexión responden directamente a esas dos tareas. Tu código no se usa para entrenar modelos de IA y, por defecto, los datos de SaaS se quedan en la UE.

Después del onboarding, gestiona las conexiones en Configuración Configuración Integraciones . La sección “Control de código (SCM)” muestra cada proveedor como Conectado o No conectado, con un botón Conectar o Gestionar. Puedes conectar varios proveedores, y Plexicus escanea repositorios de todos ellos.

Referencia de proveedores

Proveedor	Cómo se conecta	Qué aportas
GitHub.com	Redirección OAuth y, después, instalación de la GitHub App de Plexicus	Aprobar el acceso a la organización y elegir los repositorios
GitHub Enterprise Server	Credenciales de la instancia	GitHub Enterprise URL más un token de acceso personal, el client ID y el secret de una OAuth App, o el ID de una GitHub App y su clave privada (PEM)
GitLab.com	Redirección OAuth	Aprobar los scopes
GitLab Self-Hosted	Aplicación OAuth en tu GitLab	Gitlab URL, Gitlab Client ID, Gitlab Client Secret
Bitbucket Cloud	Redirección OAuth	Aprobar el acceso; Server y Data Center no son compatibles
Gitea	Token de acceso	Gitea URL, Token
Forgejo	Token de acceso	Forgejo URL, Token
Azure DevOps	Token de acceso	Personal Access Token (PAT), Organization URL opcional

En Configuración Configuración Integraciones , las tarjetas de GitHub y GitLab piden primero el tipo de instancia. Ahí es donde conectas GitHub Enterprise Server o un GitLab autogestionado. Confirma con Plexicus que tu instancia de GitHub Enterprise Server es compatible antes de planificar un despliegue que dependa de ella.

Qué acceso necesita Plexicus y por qué

El acceso de lectura cubre el descubrimiento y el escaneo; el de escritura, la entrega. Los nombres de los scopes cambian según el proveedor:

Acceso	Por qué lo pide Plexicus
Leer repositorios y ramas	Listar repositorios, cargar ramas y clonar la rama seleccionada para escanearla
Leer usuario o cuenta	Verificar el token o la cuenta y mostrar qué perfil está conectado
Escribir pull requests o merge requests	Abrir pull requests de remediación para que los revises (módulo 7) y el pull request del pipeline de CI
Escribir issues o elementos de trabajo	Crear un issue cuando una corrección no se puede entregar como pull request
Webhooks	Saber cuándo se fusiona un pull request de Plexicus o se cierra un issue vinculado, para que el hallazgo pase a Corregido
Variables y secretos de CI/CD	Guardar el token del escáner como secreto del repositorio cuando configuras un pipeline

Tener acceso de escritura nunca significa que Plexicus fusione. Plexicus abre pull requests; tu equipo los revisa y conserva el control de la fusión, y nada cambia en producción de forma automática.

Notas por proveedor

• GitHub.com. Tras la redirección OAuth, instala la GitHub App de Plexicus en la cuenta u organización propietaria de tus repositorios, selecciona los repositorios que quieres compartir y aprueba de forma explícita el acceso a los recursos de la organización. Si GitHub aparece como conectado pero no se ve ningún repositorio, usa el botón Instalar App de GitHub del selector de repositorios.
• GitLab. Plexicus solicita ocho scopes: api, read_api, read_user, read_repository, write_repository, openid, profile y email. Para una instancia autogestionada, registra una aplicación OAuth en tu GitLab, marca Trusted, selecciona esos scopes y define como Redirect URI tu host de Plexicus seguido de /api/callback/gitlab (en SaaS, https://app.plexicus.ai/api/callback/gitlab). Después introduce en Plexicus el origen de la instancia, el client ID y el secret, y haz clic en Conectar.
• Bitbucket Cloud. Solo se admite bitbucket.org. Si usas Bitbucket Data Center, replica los repositorios en un proveedor compatible.
• Gitea y Forgejo. El token necesita lectura de repositorios y de usuario, además de escritura de repositorios para los pull requests de remediación. Plexicus lo valida contra tu instancia antes de guardarlo, así que la instancia tiene que ser accesible desde Plexicus.
• Azure DevOps. Concede al PAT los scopes que indica el texto de ayuda del conector: Code (Read & Write) y Work Items (Read & Write). La documentación pública también incluye Pull Request Threads (read & write). Deja Organization URL en blanco para https://dev.azure.com o introduce la URL de tu servidor on-premises. La misma conexión cubre los proyectos TFVC y, como TFVC no tiene pull requests, las correcciones en TFVC siempre llegan como issues.

Añadir y gestionar repositorios en Activos

Activos reúne tus repositorios, registros de contenedores y cuentas cloud en tres pestañas: Repo Scan, Registry Audit y Cloud Assessment. Los objetivos de AI Pentest están en App Pentest. Esta lección trata Repo Scan.

Añadir repositorios

Abre Activos Repo Scan Agregar Repository . El mismo botón está también en la barra de herramientas de Hallazgos. Lo que pasa después depende de tus conexiones:

• Un proveedor conectado: se abre directamente Gestionar repositorios.
• Varios proveedores: “Seleccionar Control de Código Fuente” te pregunta desde cuál quieres añadir. Con Azure DevOps conectado, la lista incluye “TFVC (Azure DevOps / TFS)”.
• Ninguno: un mensaje te indica que aún no tienes configurado el control de código fuente y te redirige a la página de conectores.

En Gestionar repositorios:

1. Busca en la lista. Cada repositorio lleva la etiqueta Privado o Público, y los que ya has añadido aparecen marcados como “Repositorio ya existe”.
2. Marca hasta 5 repositorios por lote.
3. Elige una Rama para cada repositorio seleccionado que tenga más de una.
4. Si quieres, abre Opciones avanzadas para elegir qué herramientas de seguridad se ejecutan (módulo 3).
5. Haz clic en Lanzar. Plexicus crea los repositorios y pone en cola un escaneo para cada uno.

Elige la rama desde la que realmente despliegas. Un escaneo de una rama de funcionalidad desactualizada puede señalar una dependencia vulnerable que ya has actualizado en main, o pasar por alto una inyección SQL fusionada la semana pasada.

La tabla de Repo Scan

Las columnas son Actions, SCM, Repo, Findings (recuentos por severidad), Pipeline, Priority, Tags, Branch, Creation Date y Finished Scan At. Descargar exporta la lista como repositories.csv. Cada fila ofrece estas acciones:

Acción	Qué hace
Configurar	Elige las herramientas de seguridad de este repositorio
Re-escanear	Elimina y vuelve a crear el repositorio, y lo escanea de nuevo
Mostrar hallazgos	Abre Hallazgos filtrado por este repositorio
Mapa de exposición	Abre el análisis de exposición del repositorio
Mostrar repositorio	Abre el repositorio en tu SCM
Configurar escaneo	Abre, en modo de solo lectura, el ajuste Programar Escaneo de toda la organización. No es una programación por repositorio. Su disponibilidad depende de tu plan
Eliminar repositorio	Quita el repositorio de Plexicus

Para tener una cadencia de escaneo fiable, ejecuta los escaneos desde tu pipeline de CI (módulo 3) en lugar de depender de una programación.

Mientras un repositorio está en cola, en ejecución o en enriquecimiento, su indicador de estado sustituye a estas acciones. Selecciona varias filas para ver las acciones masivas Re-escanear, Configurar y Eliminar repositorio. La eliminación masiva está limitada a los roles Administrador y Operador de Ciberseguridad.

Re-escanear frente a Finalizar Ahora

Re-escanear es empezar de cero. Su confirmación lo dice claramente: elimina y vuelve a crear el repositorio y borra todos los hallazgos existentes. Para volver a escanear un repositorio sin perder sus hallazgos, usa Reintentar escaneo en el Centro de Actividad (siguiente lección).

Un escaneo que deja de avanzar muestra la etiqueta “Escaneo Bloqueado”. Su tooltip muestra la última actividad y cuántas herramientas han entregado resultados. Haz clic en la etiqueta para abrir “Escaneo Bloqueado — Acción Requerida” y elige Finalizar Ahora. Plexicus recalcula los recuentos de hallazgos y marca el repositorio como completado, sin perder datos. Si en realidad el escaneo sigue avanzando con normalidad, Plexicus se niega a finalizarlo y deja que siga ejecutándose. Si nadie actúa, Plexicus finaliza por sí solo un escaneo que lleva varias horas atascado.

Configuración del pipeline de CI

En los proveedores compatibles, Configurar Pipeline en la columna Pipeline pasa a ser clicable cuando el repositorio está enriquecido. Abre un pull request que añade el workflow de Plexalyzer al repositorio, y nada cambia en tu CI hasta que alguien de tu equipo lo fusione. El módulo 3 trata los proveedores compatibles, los estados del pipeline y el token de Plexalyzer.

Seguir un escaneo

En la tabla de Repo Scan, la columna Actions muestra queued, running o enriching mientras hay un escaneo en curso. Enriching significa que los escáneres han terminado y el enriquecimiento con IA sigue en marcha. Cuando el repositorio está enriquecido, ese indicador desaparece y vuelven las acciones de la fila, los recuentos de hallazgos y el botón de Pipeline. Enriquecido significa que el escaneo ha terminado.

El Centro de Actividad

En la página Activos, la bandeja de actividad muestra cuántos escaneos están en ejecución y cuántos se han completado hoy. Haz clic en Activos Abrir Centro de Actividad para ver el panel completo. Define el ámbito como “Esta vista” (el tipo de activo actual) o “Todos los activos” y, después, filtra:

• Resumen: los escaneos en ejecución más el último resultado de cada activo.
• En ejecución: solo los escaneos en curso.
• Incidencias: ejecuciones atascadas o parciales que necesitan atención.
• Historial: todas las ejecuciones, de la más reciente a la más antigua.

Cada ejecución es una tarjeta con un indicador de fases:

Fase	Qué está pasando
En cola	La solicitud se ha aceptado y espera un hueco
Preparando entorno	Se está preparando el entorno de análisis
Escaneando	Las herramientas de seguridad se están ejecutando
Procesando resultados	Los resultados se normalizan y se incorporan como hallazgos
Completado	El escaneo ha terminado
Enriquecido	Se han aplicado el análisis y la priorización con IA

Las tarjetas ofrecen Ver hallazgos, Reintentar escaneo en las ejecuciones terminadas (también en las parciales) y Cancelar en las que están en curso (tienes que confirmarlo). Reintentar escaneo solicita un nuevo escaneo del mismo repositorio y no elimina nada. Por eso es la alternativa no destructiva a Re-escanear.

Hay dos estados de tarjeta a los que conviene prestar atención:

• Atascado: no hay avances recientes. Plexicus lo reintenta automáticamente y el indicador de fases muestra el número de reintento.
• Parcial: algunas herramientas no terminaron, y el indicador de fases lo explica como Degradado. Los hallazgos entregados son reales, pero las partes que no se cubrieron no se escanearon, así que no se sabe si están limpias. Haz clic en Reintentar escaneo en la tarjeta para volver a escanear sin perder tus hallazgos. El texto del producto dice “Se recomienda volver a escanear”, pero la acción de fila Re-escanear borra todos los hallazgos.

Notificaciones

La campana de la cabecera muestra las notificaciones recientes, con Marcar como leído y Mostrar todas las notificaciones. La página Notificaciones tiene las pestañas Todas, Éxitos, Fallos, Solicitudes de revisión y Marcadas, y puedes seleccionar elementos para eliminarlos o marcarlos como leídos. Durante un primer escaneo puedes ver mensajes como “Repositorio creado” y “Escaneo completado”. Un mensaje “Falló la creación del repositorio” indica de qué repositorio se trata, y un mensaje de cobertura parcial te dice qué parte del escaneo no terminó.

Soporte, en el pie de la barra lateral o en el menú del perfil, abre el formulario Contactar con soporte: introduce un Asunto, elige una Categoría y una Prioridad, escribe un Mensaje y haz clic en Enviar ticket. El equipo responde por correo electrónico.

Qué significa “enriquecer”

La salida de los escáneres está en bruto. El enriquecimiento la convierte en hallazgos que puedes priorizar:

• Validación. Cada hallazgo conserva la severidad del escáner y recibe además una severidad validada por IA.
• Deduplicación. La repetición de un hallazgo anterior en la misma ubicación pasa a ser un duplicado. Un hallazgo de dependencia para la misma librería, versión y CVE en la misma ubicación pasa a ser un subhallazgo del principal.
• Contexto. Alcanzabilidad, EPSS para los hallazgos que tienen un CVE, un mapeo de CWE a OWASP Top 10, los controles de OWASP CI/CD Top 10 y tus marcos de cumplimiento.
• Puntuación y responsable. Una puntuación de prioridad de 0 a 100, un valor de confianza y un responsable del issue que se obtiene del blame del SCM sobre el archivo afectado.

Si tu organización ha activado la Detección de falsos positivos con IA, también se ejecuta una pasada de IA después del escaneo. Los hallazgos que aún se están enriqueciendo se ocultan por defecto en la lista de hallazgos, y los que ya han terminado llevan la etiqueta “Analizado por IA”. Por eso la lista puede parecer corta justo después de que un escaneo llegue a Completado. El módulo 4 explica cada campo en profundidad.

Un primer recorrido por el Panel de control

Cuando termina el onboarding, llegas al Panel de control. La barra lateral y la paleta de comandos ⌘K funcionan como se describe en el módulo 1. La paleta solo sirve para saltar entre secciones; no busca hallazgos ni repositorios.

Casi todo el curso está detrás de las entradas de la barra lateral. App Pentest es donde AI Swarm Pentest aparece como “AI Pentest” (módulo 6). Hallazgos es donde haces el triage (módulo 4), XBOM es el inventario de componentes (módulo 8), la página Automatizaciones (Plexicus Automation) se trata en el módulo 9 y Configuración, en el módulo 10.

Filtros y pestañas

La barra de filtros define el rango de fechas (7d, 30d, 90d, Todo o Personalizado) y el repositorio, y los widgets se ajustan a esa selección. La pestaña activa se guarda en la URL, así que un enlace que termina en ?tab=compliance abre directamente la pestaña Compliance.

Pestaña	Widgets principales
CISO	Tu valor, Puntuación de Postura de Riesgo, Nuevos vs Corregidos, Informe de Hallazgos, Repositorios de Mayor Riesgo, Total Hallazgos, Cadena de Suministro, Exposición a internet
DevSecOps	Distribución de Alcanzabilidad, Antigüedad de Hallazgos, MTTR / Velocidad de Remediación, Cobertura de Escáneres, Riesgo por lenguaje, OWASP Top 10, OWASP CI/CD Top 10
Compliance	Cifras por marco (Controles, Hallazgos abiertos, Críticos / Altos, Corregidos, Activos afectados) y una tabla control por control, según tu plan
Developer	Mis repositorios, Simulador de Impacto de Corrección y accesos directos de “Ir a los hallazgos”, como Críticos y Altos o Alcanzables
Personalizado	Tus propios paneles con nombre: Crear un panel, Añadir widget, Editar diseño

Cómo leer tus primeras cifras

• Los totales solo cuentan trabajo abierto. Excluyen duplicados, subhallazgos, falsos positivos, hallazgos eliminados y hallazgos ya Corregidos, así que pueden ser más bajos que el recuento bruto que dio un escaneo. Los hallazgos de hardening se cuentan aparte de las cifras de vulnerabilidades.
• Tu valor muestra estimaciones de referencia del tiempo de desarrollo ahorrado. Puedes configurar la tarifa por hora y la moneda, pero son cifras de referencia, no mediciones de tu entorno. Preséntalas como tales.
• Puntuación de Postura de Riesgo va de 0 a 100, y cuanto más alta, más riesgo. Pondera los hallazgos abiertos por severidad, da más peso a los hallazgos con alcanzabilidad demostrada y se dibuja frente a una línea de apetito de riesgo que, por ahora, es fija y no se puede configurar.
• Cobertura de Escáneres muestra cuándo se escaneó por última vez cada repositorio con cada herramienta. Un repositorio marcado como “Nunca escaneado” todavía no ha completado ningún escaneo.
• Compliance muestra “No hay marcos de cumplimiento configurados” si elegiste “Ninguno por ahora” durante el onboarding. Su botón Configurar marcos abre la pestaña Regulaciones de la configuración de tu organización.

Un widget que muestra “Sin datos todavía” no tiene nada que enseñar con los filtros actuales. Amplía el rango de fechas o comprueba en el Centro de Actividad que la ejecución llegó a Enriquecido.

Conclusiones clave

• El onboarding tiene cuatro etapas: Conectar, Elegir repos, Config. básica y Escaneando. El primer escaneo empieza solo cuando haces clic en Iniciar escaneo, así que define antes los estándares de cumplimiento y el idioma. Una base de código de demostración te permite explorar sin conectar tu propio código.
• Cada permiso del SCM responde a una tarea: lectura para descubrir y escanear, escritura para abrir pull requests e issues, y webhooks para marcar como Corregido las correcciones fusionadas. Plexicus nunca fusiona; tu equipo conserva el control de la fusión.
• Añade repositorios en lotes de hasta 5 desde Activos Repo Scan y escanea la rama desde la que realmente despliegas.
• En un escaneo bloqueado, usa Finalizar Ahora para conservar los hallazgos. Re-escanear elimina y vuelve a crear el repositorio y borra todos sus hallazgos, mientras que Reintentar escaneo en el Centro de Actividad no elimina nada.
• Un escaneo termina en Enriquecido, no en Completado. El enriquecimiento añade la severidad validada, la deduplicación, la alcanzabilidad, el EPSS, los mapeos, la prioridad y el responsable. Una ejecución Parcial (Degradado) entrega hallazgos reales pero una cobertura incompleta; cubre el hueco con Reintentar escaneo, no con Re-escanear.
• Los totales del Panel de control solo cuentan trabajo abierto. Usa las pestañas y los filtros para confirmar la cobertura antes de empezar el triage.