Bearer CLI: Free, source-available code security scanning tool (SAST) - Help Net Security
2026-10-19
Bearer CLI es una herramienta gratuita de pruebas de seguridad de aplicaciones estáticas (SAST, por sus siglas en inglés) que escanea el código fuente en busca de vulnerabilidades y las prioriza según los datos sensibles que tocan. SAST significa que la herramienta lee el código sin necesidad de ejecutarlo. Las organizaciones pueden usarla libremente, con una restricción de licencia que se detalla más adelante.
La propuesta de Bearer es que las herramientas SAST suelen entregar a los desarrolladores cientos de hallazgos sin indicar cuáles deben corregir primero. Su solución consiste en seguir el rastro de los datos sensibles a través del código y poner los fallos en esas rutas primero, para que quien realice el triaje (la clasificación de errores) pueda empezar por los hallazgos que pueden exponer dicha información.
Lo que Bearer CLI escanea incluye reglas integradas que cubren el OWASP Top 10 y el CWE Top 25, dos listas estándar de debilidades de seguridad comunes, como la inyección SQL, el cross-site scripting (ataques que inyectan scripts maliciosos en sitios web), el salto de directorio (path traversal) y contraseñas escritas directamente en el código.
Bearer CLI también puede generar un informe de privacidad. Identifica más de 120 tipos de datos, desde información personal hasta datos de salud, y señala los componentes que los manejan, incluyendo bases de datos como pgSQL y servicios de terceros como OpenAI y Sentry. El resultado está diseñado para servir como evidencia en evaluaciones de impacto de privacidad y registros de actividades de tratamiento bajo normativas como el GDPR.
La herramienta admite los lenguajes Go, Java, JavaScript, TypeScript, PHP, Python y Ruby. Su licencia es Elastic License 2.0: las organizaciones pueden usar la herramienta internamente sin requisitos comerciales, pero si desean ofrecerla a terceros como un servicio gestionado o alojado, requieren aprobación. El código está disponible de forma gratuita en GitHub.
Qué significa para una pyme colombiana y cucuteña: Si su empresa desarrolla software propio o utiliza programadores para personalizar su plataforma de ventas o facturación, esta herramienta le permite revisar que no estén dejando puertas abiertas (como contraseñas visibles en el código) sin tener que pagar licencias costosas de seguridad. Es especialmente útil para asegurar que los datos de sus clientes no queden expuestos por un error de programación.