SlopGrade vs Snyk
Ambos detectan problemas de seguridad en tu pipeline. Snyk es una plataforma amplia — SCA, SAST, contenedores, IaC — que analiza tu código y grafo de dependencias en su nube. SlopGrade hace una sola cosa, nítida: un gate determinista que lee cada PR en tu propio runner y devuelve pasa o bloquea, sin enviar tu código fuente por defecto.
Snyk brilla cuando quieres un solo proveedor para vulnerabilidades de dependencias, cumplimiento de licencias, escaneo de contenedores e IaC, con un panel rico y PR de corrección. Esa amplitud viene con una nube que ingiere tu código, precios por asiento de desarrollador, y hallazgos SAST que triangulas en vez de un gate duro. SlopGrade es deliberadamente estrecho: no escanea dependencias ni contenedores — bloquea las fugas de alta severidad que la IA escribe en el código de aplicación (consultas entre inquilinos, inyección, secretos, cripto rota) en cada PR, de forma determinista, con tu fuente que se queda en el runner por defecto. En repos privados, el deep scan (heisen-slop) es una opción de pago.
SlopGrade vs Snyk
Elige Snyk cuando la seguridad de dependencias y contenedores en muchos proveedores es tu necesidad principal y un análisis en la nube es aceptable. Elige SlopGrade — o usa ambos — cuando quieres un gate duro y determinista sobre las fugas que la IA escribe en tu código de aplicación, con tu código fuente en tu runner por defecto y un solo plan Team plano con usuarios ilimitados. El Deep Scan opt-in (heisen-slop) es la excepción.
¿SlopGrade reemplaza a Snyk?
No del todo — se solapan poco. La fuerza de Snyk es el escaneo de dependencias (SCA) y contenedores/IaC; SlopGrade no hace eso. SlopGrade reemplaza la parte de triaje SAST con un gate determinista sobre las fugas del código de aplicación, y añade el aislamiento entre inquilinos, que Snyk no trata como clase de primer nivel. Muchos equipos usan ambos.
¿Mi código sale del runner con SlopGrade?
No por defecto. La extracción corre en tu runner de GitHub Actions; solo se publica una huella estructural ({file, line, kind}) para la clasificación. El deep scan (heisen-slop), opción de pago en repos privados y activo por defecto en repos públicos, envía como máximo 80 archivos con un sink, analizados en memoria y descartados. Un repo privado gratis nunca envía el código. Esta es la diferencia arquitectónica clave con un SAST en la nube.