Cómo medimos

Del repositorio a la ciudad

Cuatro pasos, todos en tu máquina.

1. RepositorioUna carpeta local o un clon.
3. LeerCarpetas, líneas, ramas, historial de git, imports.
5. Escanear localTrivy · gitleaks · reglas de deuda.
7. Ciudad + actaEdificios, barrios, hallazgos y una nota.

En la versión local nada sale de tu máquina, salvo el chat.

Anatomía de un edificio

Una carpeta con código adentro. Nueve cosas se leen de un vistazo.

Qué cuenta como «complejidad»

Puntos de decisión por archivo, sumados por carpeta. Una heurística rápida, no complejidad ciclomática completa.

export function settle(orders, rates) {  let total = 0;  for (const order of orders) {    if (!order.paid || order.voided) continue;    const rate = rates[order.currency];    while (order.items.length && rate) {      const item = order.items.pop();      switch (item.kind) {        case 'refund': total -= price(item, rate); break;        case 'fee':    total += fee(item, rate);   break;      }      try { audit(item); } catch (e) { report(e); }    }  }  return total;}

Haz clic en un punto de decisión para quitarlo, como si simplificaras el código, y mira cómo baja la torre.

switch y try no cuentan: solo if for while case catch && ||.

De dónde salen los hallazgos

Tres instrumentos. Dos son herramientas estándar; el tercero es un puñado de reglas sin herramienta detrás.

• Trivy

  LeeLockfiles y manifiestos (npm, yarn, pnpm, pip, poetry, go.mod, Cargo, pom, gradle), los jar compilados en Java, y Dockerfile, compose, Kubernetes y Terraform.

  EmiteVulnerabilidades y configuración insegura. La severidad es la de Trivy.

• gitleaks

  LeeEl árbol de trabajo, con sus reglas por defecto.

  EmitePosibles secretos, hoy todos contados como Alta: todavía no se clasifican en probables y dudosos, y eso infla el riesgo. Solo se guardan la regla y archivo:línea.

• Reglas de deuda

  LeeTodos los archivos de código, más los commits de git.

  EmiteTODO/FIXME/HACK/XXX = Baja · más de 500 líneas = Media · más de 0,25 ramas por línea en archivos de más de 50 líneas = Media · zona caliente (commits × complejidad en el 5 % superior del repositorio) = Alta.

• Informes SARIF

  LeeLos .sarif que dejes en .codemap/: Snyk, Semgrep, CodeQL, ESLint, Checkov y cualquier herramienta que exporte SARIF 2.1.0.

  EmiteCon security-severity: vulnerabilidad (≥ 9 Crítica, ≥ 7 Alta, ≥ 4 Media). Sin él: deuda, Media si es error y Baja si no. Lo suprimido en la herramienta no entra.

Cuatro severidades

• Crítica
• Alta
• Media
• Baja

Zonas calientes

Cada punto es una carpeta real de expressjs/express: a la derecha, cuánto cambió en los últimos 12 meses; arriba, cuánta lógica tiene. El 5 % con mayor producto de los dos recibe un mástil rojo.

Riesgo de un edificio

La nota, en vivo

Estos deslizadores alimentan la función de puntuación del propio producto: el mismo módulo que importa el panel. Muévelos.

Los cuatro lentes

La misma ciudad, cuatro valores, una rampa. Cada lente normaliza a 0–1 y pinta las fachadas.

• Riesgo

  Decidir qué arreglar primero.

  sin hallazgoscrítica

  log(1 + riesgo) / log(81)Logarítmico: una crítica ya se nota, cien no saturan.

• Deuda

  Planificar refactors y ver qué barrio se está pudriendo.

  0 h16 h o más

  horas / 1616 horas son dos jornadas: de ahí en adelante, rojo pleno.

• Pulso

  Distinguir código vivo de código dormido. Dormido y con riesgo es lo más peligroso.

  hace un añohoy

  1 − días / 365Tocado hoy = 1; sin tocar en un año = 0.

• Tráfico

  Encontrar los corredores por donde pasa todo el equipo.

  0 commitsel más transitado

  commits / máx(commits)Relativo al edificio más transitado del repositorio.

Los mismos ocho edificios, pintados por cada lente.

Barrios y enlaces