Ein Frühwarnsystem für die Abhängigkeiten, die Sie nicht mehr im Blick haben.
Im KI-Zeitalter veröffentlichen Sie mehr Node.js-Projekte, als Sie pflegen können. Sentinello überwacht jedes einzelne und deckt bekannte CVEs in deren npm-Abhängigkeiten auf — damit ein vergessenes Projekt nie zum Vorfall wird.
Mit einem einzigen Befehl starten:
docker run -d \
--name sentinello \
-p 3870:3000 \
-v sentinello-data:/app/data \
-v sentinello-nvm:/root/.nvm \
-v ~/Developer:/roots/personal:ro \
ghcr.io/walkofcode/sentinello:latestKein Konto. Kein SaaS. Keine Telemetrie. Ein Docker-Image und eine SQLite-Datei — Ihr Code und Ihre Befunde verlassen niemals Ihre Maschine.
So funktioniert es
Drei Schritte. Keine Agenten, die Sie in Ihren Projekten installieren müssen, keine Konten, die Sie anlegen müssen.
Richten Sie es auf Ihren Code
Binden Sie Ihre Repositories unter /roots ein oder fügen Sie sie unter Einstellungen → Roots hinzu. Jedes Verzeichnis wird beim Start automatisch registriert und erkannt.
Es scannt kontinuierlich
Ein Hintergrundprozess gleicht Ihre Abhängigkeiten nach einem Zeitplan mit bekannten CVEs ab und installiert bei Bedarf die Node-Version, die jedes Projekt festlegt.
Triage in einer Warteschlange
Jeder Befund aus jedem Projekt landet in einer einzigen Warteschlange, die Sie nach Schweregrad filtern können — mit optionalen Benachrichtigungen an Slack, Telegram oder einen Webhook.
Funktionen
Alles in einem selbstgehosteten Portal — keine externen Dienste, keine Daten, die Ihr Netzwerk verlassen.
Eine Triage-Warteschlange
Sehen und triagieren Sie CVEs Ihres gesamten Portfolios an einer Stelle — statt npm audit verstreut über ein Dutzend Checkouts.
Nach Projekt durchsuchen
Tauchen Sie in ein beliebiges Repository ein, um aktuelle Befunde, Fix-Versionen, Scan-Verlauf und Stummschaltungen zu sehen.
Nach Bibliothek durchsuchen
Wechseln Sie zu einem verwundbaren Paket und sehen Sie jedes betroffene Projekt — und schalten Sie es überall auf einmal stumm.
Kontinuierliches Scannen
Ein Hintergrundprozess scannt nach einem Zeitplan erneut, sodass neue Hinweise erscheinen, ohne dass Sie ans Nachsehen denken müssen.
Filtern nach Schweregrad
Sortieren und filtern Sie Befunde nach Schweregrad, um die kritischen zuerst und das Rauschen später zu behandeln.
Benachrichtigungen
Erhalten Sie Fehler- und Befund-Benachrichtigungen über Slack, Telegram oder einen einfachen Webhook — in der von Ihnen gewählten Sprache.
Advisory-Export
Exportieren Sie Befunde eines Projekts oder einer Bibliothek als Markdown, mit einem anpassbaren Remediation-Prompt für Ihr Team oder ein LLM.
Ein Image, eine Datei
Ein Docker-Image und eine SQLite-Datei. Kein Datenbankserver, keine Nachrichten-Warteschlange, keine Cloud-Abhängigkeit.
Automatisch registrierte Roots
Alles, was unter /roots eingebunden ist, wird beim Start registriert und gescannt — der Verzeichnisname wird zu seiner Bezeichnung.
Node pro Projekt
Respektiert die .nvmrc jedes Projekts und installiert und cacht die festgelegte Node-Version genau einmal.
10 Sprachen
Die Portal-Oberfläche, die Scan-Begründungscodes und die Status sind in 10 Sprachen lokalisiert.
Benachrichtigungen & Webhooks
Erfahre sofort, wenn ein Projekt eine Schwachstelle bekommt — und löse deine eigene Automatisierung zur Behebung aus.
Slack
Poste Funde in jeden Kanal über einen Incoming-Webhook, mit nativer Fettschrift und Aufzählungen.
Telegram
Sende Alerts an einen Chat oder eine Gruppe über einen Bot — sauber formatiert, kein roher Markup-Code.
Webhook
POST an einen beliebigen Endpoint, um Alerts dorthin zu leiten, wo dein Team ohnehin arbeitet.
Zwei Webhook-Formate
Wähle das Payload, das zu dem passt, was du baust.
Strukturiertes JSON
Root, Projekt und eine Schwachstellenliste — je mit Bibliothek, Version, empfohlener Version und Advisory. Bereit für einen Auto-Fix-Agenten.
Klartext-Advisory
Derselbe Advisory-Export wie im Portal, als Text — direkt in ein LLM zum Triagieren und Beheben geben.
Nach Root oder Projekt
Schicke alles an einen Ort, oder verbinde einen bestimmten Root — oder ein einzelnes Projekt — mit seinem eigenen Kanal oder Webhook.
Screenshots
Sehen Sie es in Aktion — das Portal beim Scannen einiger Demo-Projekte. Klicken Sie auf eine Aufnahme, um sie zu vergrößern.
Selbst hosten
In wenigen Minuten selbst hosten. Kopieren, einfügen, localhost öffnen. Für die Produktion ein Versions-Tag fixieren.
docker run -d \
--name sentinello \
-p 3870:3000 \
-v sentinello-data:/app/data \
-v sentinello-nvm:/root/.nvm \
-v ~/Developer:/roots/personal:ro \
ghcr.io/walkofcode/sentinello:latestAlles, was unter /roots eingebunden ist, wird beim Start automatisch registriert — der Verzeichnisname wird zu seiner Bezeichnung — sodass Erkennung und Scan von selbst beginnen. Das Einbinden ist optional; Sie können Roots auch über das Portal hinzufügen.
Warum wir das gebaut haben
Im KI-Zeitalter veröffentlichen Sie mehr, als Sie pflegen können.
Eine einzelne Entwicklerin oder ein einzelner Entwickler startet, liefert und verlässt heute ein Dutzend Projekte pro Jahr. Die Marketing-Seite, das Kunden-Dashboard, das Nebenprojekt, das still in die Produktion ging — sie laufen weiter, lange nachdem jemand zuletzt darauf geschaut hat.
Eine einzige vergessene Abhängigkeit mit einer kritischen Remote-Code-Execution-Lücke genügt. Die einfachste Website kann zum Einfallstor werden.
Sentinello ist das Frühwarnsystem für diesen langen Schwanz. Es überwacht jedes Projekt, auf das Sie es richten, sodass ein neues CVE in etwas, das Sie vor Monaten veröffentlicht haben, an einer einzigen Stelle auftaucht — bevor es zur Katastrophe wird.
Roadmap
Heute überwacht Sentinello Ihre Node.js-Abhängigkeiten. Hier geht es hin — und das können Sie anfragen.
Mehr Schwachstellenquellen
GeplantÜber die npm-Advisory-Datenbank hinaus — zusätzliche Feeds wie OSV, für breitere und frühere Funde.
Mehr Integrationen
GeplantMehr Benachrichtigungskanäle und Wege, Sentinello an die Tools anzubinden, die Ihr Team bereits nutzt.
Statische Analyse (SAST)
GeplantErkennen Sie riskante Muster in Ihrem eigenen Code, nicht nur bekannte CVEs in Ihren Abhängigkeiten.
Secret- & Lizenz-Scan
GeplantMarkieren Sie committete Secrets und Lizenzprobleme im selben Portfolio, in derselben Warteschlange.
Sagen Sie uns, was Sie als Nächstes integrieren oder scannen würden — öffnen Sie ein Issue auf GitHub und gestalten Sie die Roadmap mit.
Für wen es ist
Sentinello ist für alle, die mehr in Produktion haben, als sie im Blick behalten können — die Solo-Entwicklerin oder der Solo-Entwickler, das kleine Team, die Agentur, die Kundenprojekte jongliert.
- Sie veröffentlichen Nebenprojekte und Kundenseiten, die noch lange nach dem Launch sicher bleiben müssen.
- Sie wollen einen portfolioweiten Überblick, ohne CI in jedes Repository zu verdrahten.
- Sie hosten lieber selbst, als Ihr Code-Inventar einem SaaS zu übergeben.
Wenn Sie eine große Organisation mit Snyk oder Dependabot sind, die bereits in eine ausgereifte Pipeline integriert sind, behalten Sie sie — Sentinello versucht nicht, Enterprise-SCA zu ersetzen. Es ist für den Rest Ihres Portfolios da, den niemand im Blick hat. Es ist Open Source und MIT-lizenziert, sodass Sie genau nachlesen können, was es tut.