Code Maps tiene una sola idea: poner cada número que ya recolectas sobre una base de código en un lugar al que puedas apuntar. Esto es lo que eso te da.
Un repositorio, dibujado una vez. Cada carpeta con código se vuelve un edificio; el primer tramo significativo de su ruta se vuelve un barrio con su placa, su color y su nombre. Nada se ubica al azar: el mismo repositorio siempre produce la misma ciudad, así que te aprendes su perfil.
Pasa el puntero por cada elemento y míralo en la ciudad. Es la misma ciudad que dibuja la app.
Día se lee como una plancha topográfica. Noche deja el suelo oscuro y enciende solo las ventanas. Neón activa el bloom, que no sirve para trabajar y se ve muy bien en una demo.
openclaw/openclaw en tema Neón: 578 edificios, nota C. Los rombos son posibles secretos; el repositorio quedó truncado en 15 mil archivos.
El color de la fachada responde una pregunta a la vez. Cambiar de lente deja cada edificio exactamente donde estaba, y ese es justamente el punto: estás comparando cuatro respuestas sobre el mismo lugar.
Pasa el puntero por cada elemento y míralo en la ciudad. Es la misma ciudad que dibuja la app.
Cada edificio irradia su valor sobre el suelo, y la placa de cada barrio se tiñe con la media y el pico de los edificios que tiene encima. El riesgo deja de ser un número en una lista y se vuelve una mancha que ves extenderse.
Pulsa 2D y la cámara se va directo arriba. El perfil desaparece y el calor se lee como un mapa térmico limpio del repositorio: la vista más rápida para una lámina o una captura.
El mismo repositorio visto desde arriba. Sin el perfil de los edificios, el calor se lee como un mapa térmico de dónde se acumula el riesgo.
Todo lo que está sobre los edificios viene de una herramienta que corrió de verdad, o de una heurística que está escrita. No hay un modelo adivinando severidades.
Trivy sobre manifiestos y lockfiles (npm, yarn, pnpm, pip, poetry, go.mod, Cargo, pom, gradle) y sobre Dockerfile, compose, Kubernetes y Terraform. En Java sin lockfile también escanea los jar de build/libs.
gitleaks con sus reglas por defecto, excluyendo build, logs, node_modules, target, dist, .gradle y .git. Solo se guardan el nombre de la regla y el archivo:línea. El valor encontrado nunca sale del escáner.
TODO FIXME HACK XXX como baja; archivos de más de 500 líneas como media; más de 0,25 ramas por línea en archivos de más de 50 líneas como media. Horas: 1 por media, 4 por alta.
Commits × complejidad en el 5 % superior del repositorio, contado como alta. Es la medición que más vale la pena atender: ahí es donde se cruzan el cambio y la dificultad.
Cada hallazgo con su archivo y su línea, las líneas, archivos, complejidad y commits del módulo, sus importaciones y quiénes lo importan como chips navegables, y botones para abrir la carpeta en GitHub, en Finder o en tu editor en la línea exacta.
Último cambio el 18/9/2026. Depende de 1Lo usan 1
12 Críticas 48 Altas
Clic para abrir · doble clic para entrarpackages/react-reconciler/src: 47.019 líneas, complejidad 7.473, zona caliente, con cada hallazgo enlazado a su archivo y su línea.
Code Maps no compite con tus escáneres: les da un mapa. Además de lo que corre por su cuenta, lee los informes de las herramientas que ya usas y pone cada hallazgo sobre su edificio.
Corre solo, en local, sin configurar nada.
Disponible hoy. Deja el .sarif de tu herramienta en .codemap/ y vuelve a analizar. Con security-severity cuenta como seguridad; sin él, como deuda.
snyk code test --sarif-file-output=.codemap/snyk.sarif
semgrep scan --sarif -o .codemap/semgrep.sarifConexión directa, sin archivos de por medio. Todavía no existe.
Probado de punta a punta con un informe SARIF 2.1.0 de prueba. Los valores de secretos nunca se leen: de un escáner de secretos solo pasan la regla y archivo:línea.
Disponible hoy
Las de Trivy y gitleaks tal como vienen, más las heurísticas de deuda. Y las de cualquier otra herramienta, a través de su informe SARIF.
Próximamente
Tu .gitleaks.toml, tus paquetes de reglas de Semgrep y tus supresiones, aplicados a todos tus repositorios desde un solo sitio.
Próximamente
Reglas propias sobre lo que el mapa ya mide: «ningún edificio de más de 40 de complejidad sin tests», «nada en billing/ importa de web/».
* Requiere un plan de pago de Code Maps Cloud, que todavía no existe. Precios →
Un nodo por módulo, una arista por import resuelto dentro del repositorio; los paquetes externos no cuentan. Los nodos se agrupan en regiones por barrio. El hover muestra la dirección de cada relación con flechas; el tamaño del nodo puede seguir complejidad, líneas o riesgo; las aristas pueden ser todas, solo entre barrios, o ninguna. Clic en el nombre de un barrio para acercar, doble clic para entrar.
langchain-ai/langchain como constelación: al pasar el mouse sobre runnables se ven en naranja los 13 módulos que importa y en azul los 99 que lo usan.
Un panel que califica el repositorio completo, o el pedazo que estés mirando en ese momento. Conteos por severidad, horas estimadas de deuda, la lista de barrios con sus hallazgos y la lista de zonas calientes. Pulsa una fila de severidad para aislar esos edificios; exporta todos los hallazgos a CSV.
Empieza en 100. Resta hasta 50 por 4 × críticas + 1,5 × altas + 0,3 × medias, hasta 20 por 0,2 × secretos, y hasta 30 por 3 × horas de deuda cada 1.000 líneas. Los topes existen para que una categoría catastrófica no tape todo lo demás. Es una heurística para comparar repositorios de un vistazo, no un estándar de cumplimiento.
Pulsa una fila para aislar esos edificios.
El acta de inspección de react/react: 47 sobre 100, nota D, por 215 vulnerabilidades críticas sin parchear.
El chat corre contra la API de Anthropic con cinco herramientas: get_findings, get_module, read_file, search_code y highlight_buildings. La IA lee el código real y los hallazgos reales antes de afirmar nada.
¿Qué arreglo primero?
Empieza por el muro de dependencias. tomcat-embed-core 10.1.52 arrastra dos CVE de bypass de autenticación; subir a 10.1.58 cierra los dos.
Después Thymeleaf: el SSTI alcanzable desde cualquier plantilla controlada por el usuario está declarado en pom.xml:64.
Y luego los dos secretos de src/main/resources/application.yml:14: rótalos antes de tocar nada más.
(root) · pom.xmlweb/templatesmain/resources
La IA explicando las capas de react/react, nombrando los paquetes y los conteos de líneas que leyó en el camino.
?repo=…&view=…&lens=…&scope=…&sel=…&cam=…&theme=…: recarga o comparte el enlace y recuperas exactamente la misma vista..repos/, una carpeta por repositorio, con el análisis y los hallazgos al lado. Un repo que ya viste carga al instante; Volver a analizar lo rehace desde cero.react/react, langchain-ai/langchain o tu propia ruta. No se sube nada y no hace falta cuenta.