Næsten intet af koden bag en moderne webshop eller et bookingsystem er skrevet af dem, der ejer den. Et enkelt projekt trækker i stilhed flere hundrede færdige pakker ind — skrevet af fremmede, opdateret i deres eget tempo — og en eneste af dem kan tage din forretning offline eller lække dine kunders data. CodeControl forbinder sig til din kode én gang og bliver ved med at svare på det spørgsmål, du ikke kan svare på i dag: ved vi, hvad vi kører, og er noget af det farligt lige nu?
Kun læseadgang til de repositories, du vælger · Din kildekode bliver aldrig gemt · Del af TrustCtrl-platformen
Når et website ser rigtigt ud i browseren, føles det færdigt. Men det, der faktisk fører til indbrud, efterlader ingen spor på skærmen: en forældet pakke med et offentliggjort hul, en API-nøgle nogen kom til at klistre ind i koden, en pakke der bare foregiver at være den, du ville have. Ingenting af det dukker op, når man tester. Det hele kommer med i luften. CodeControl står mellem "det virker" og "det er live" og fortæller dig i et almindeligt sprog, hvad der er ved at blive sluppet løs — så en usynlig fejl bliver til en synlig beslutning.
Ingen læser flere hundrede pakker igennem — hverken du, din udvikler eller dit bureau. CodeControl læser dem for dig og melder kun det, der har et navn, en version og en konsekvens: denne pakke, dette hul, sådan her gør du.
En adgangskode, der bliver committet klokken 14.00, er meldt klokken 14.01 — ikke ved næste månedlige gennemgang. Og når der åbnes en ny pull request, kører samme tjek på kun de nye linjer, mens det stadig tager et minut at rette.
Kode, du ikke har rørt i et år, kan blive farlig fra den ene dag til den anden, fordi hullet blev offentliggjort i morges. Hver nat tjekker CodeControl det, du kører, op mod det, verden nu ved om det.
Sikkerheden i AI-genereret kode handler sjældent om, at koden er forkert. AI-assistenter og kodeagenter er ualmindeligt gode til at lave software, der virker. De er langt dårligere til det, ingen kan se: hvilket bibliotek de valgte, om det stadig bliver vedligeholdt, om det overhovedet findes, og om den eksempelnøgle, de hjælpsomt udfyldte, nu ligger i dit repository for altid. Resultatet kører fantastisk og bærer en risiko rundt, som ingen på din side er rustet til at opdage. Præcis det hul er CodeControl bygget til.
AI-assistenter anbefaler nogle gange et pakkenavn med fuld overbevisning — et navn, der aldrig er blevet udgivet. Angribere holder øje med netop de navne og registrerer dem, så det næste projekt, der spørger, får kode, der virker — med en blind passager. CodeControl markerer helt nye pakker, før de bliver en del af dit produkt.
Den mest almindelige alvorlige fejl i software — og den letteste at begå, når det går stærkt. CodeControl finder dem i koden, og i historikken, hvor de stadig kan hentes frem længe efter, at nogen slettede linjen og gik ud fra, at så var den sag ude af verden.
Hvert fund har en Kopiér AI-fix-prompt-knap. Den giver din assistent hele billedet — hvad der er galt, hvorfor det betyder noget, den anbefalede rettelse, hvordan du bekræfter den, og de spilleregler, der forhindrer den i at ændre noget, den ikke skal. Du retter det der, hvor du arbejder i forvejen.
Du forbinder GitHub én gang. Derefter bliver hver eneste af dem tjekket løbende, og hver bliver sit eget fund. Du kan handle på det, parkere det med en begrundelse — eller se det lukke sig selv, når det er rettet.
Nogen har allerede offentliggjort præcis, hvordan man bryder det her — hullet har fået sit eget CVE-nummer, som alle kan slå op. Vi tjekker hver pakke, du afhænger af, også dem dine pakker trak ind uden at spørge dig.
Forskellen på en liste med 31 problemer og en liste med 3, du skal rette i denne uge. Vi krydstjekker hvert fund mod det officielle katalog over huller, der er bekræftet udnyttet i virkeligheden.
Pakker, der er udgivet netop for at stjæle adgangsoplysninger eller installere en bagdør — og pakker med navne, der ligger ét tegn fra den populære, og venter på en tastefejl.
API-nøgler, betalingsnøgler og databaseadgangskoder, der er kommet med ved et uheld. Én lækket nøgle kan betyde en regning, ingen har godkendt — eller en kundedatabase, ingen havde tænkt sig at dele.
At slette linjen sletter ikke nøglen — den kan stadig hentes frem i projektets historik. De fleste tror det modsatte, og netop derfor er det værd at tjekke.
Pakker der er år bagud, pakker der er løbet ud af deres levetid, og pakker hvis forfatter er gået videre. Gårsdagens sikre version er morgendagens sårbarhed, og ingen kommer til at rette en forladt pakke.
Nogle open source-licenser forpligter dig til at offentliggøre din egen kildekode. At opdage det midt i en investering eller et salg er en dyr måde at finde ud af det på.
Det styresystem-image, din software kører i, og den automatik, der sender den i produktion. Begge har reel magt, og begge bliver rutinemæssigt glemt.
Hver pakke, version og licens — klar til eksport som SBOM i SPDX eller CycloneDX, netop det standarddokument, dit forsikringsselskab, din store kunde eller din revisor i stigende grad beder om ved navn.
Baggrundslæsning: hvad du bør tage stilling til, før en AI-agent skriver kode, hvordan forsyningskædeangreb virker, hvad NIS2 kræver af dig som leverandør, hvilke licenser rækker ind i dit produkt, hvad du gør, når en pakke bliver forladt, hvad en SBOM er, og hvem der beder om den, hvorfor de fleste af dine afhængigheder er nogen, du aldrig har valgt, hvordan KEV og EPSS afgør, hvad der rettes først, og hvorfor det ikke fjerner en committet API-nøgle at slette den.
Hver enkelt er dokumenteret fuldt ud — hvordan den opdages, hvor data kommer fra, og hvad den bevidst ikke påstår. Læs den fulde tekniske beskrivelse
Ethvert værktøj kan lave en liste — GitHub gør det gratis. Grunden til, at de lister bliver ignoreret, er, at de ikke siger, hvor man skal begynde, og et sikkerhedsværktøj, der bliver ignoreret, beskytter ingen. CodeControl åbner med ret disse først: som regel to-tre punkter, valgt fordi de er bekræftet under aktivt angreb eller statistisk set er de næste. Alt andet står i kø bag dem. Netop den prioritering er det, de store leverandører tager penge for.
De fleste risikable pakker er nogen, du aldrig har valgt — de kom med noget andet. Hvert fund viser kæden, der trak den ind, så du ved, hvilken enkelt opdatering der rydder den af vejen.
Repository-siden giver dig det mindste sæt kommandoer, der rydder listen, klar til at kopiere. Findes der endnu ingen sikker opdatering, siger den det — og holder øje efter en hver nat.
Du får en mail ved en ondsindet pakke, en committet hemmelighed eller en afhængighed, der lige er begyndt at blive udnyttet. Aldrig for den almindelige bunke — det er dét, oversigten er til.
Resten af TrustCtrl er bygget, så en virksomhedsejer kan handle på egen hånd. CodeControl er anderledes, og det siger vi hellere før købet end efter. Hvert fund er stadig skrevet i et almindeligt sprog, og hver rettelse kommer med trin og en prompt, du kan give en AI-assistent — men for at handle på det skal nogen have adgang til koden og lov til at ændre den. Er det dig, din udvikler eller dit bureau, får du rigtig meget ud af det her. Er der ingen på din side, der kan sende en ændring afsted, så køb resten af platformen først.
Du har kode på GitHub — skrevet internt, af et bureau eller med en AI-assistent — og nogen der kan opdatere en pakke, udskifte en nøgle eller åbne en pull request. Du behøver ikke sikkerhedsviden; det er den del, vi leverer.
Dit site er en færdig platform, du ikke har kode til — en almindelig Shopify-, Wix- eller Squarespace-shop. Så er der ikke noget for CodeControl at læse. VulnControl tjekker den slags site udefra i stedet.
Skriver et bureau din software, svarer CodeControl i stilhed på noget lidt akavet: holder vores leverandør den ved lige? Ikke som en anklage — som en fælles, dateret rapport, I begge kan kigge på.
De etablerede værktøjer til forsyningskædesikkerhed er gode, og vi måler os bevidst mod dem. Vi går videre præcis de tre steder, hvor deres rapporter plejer at tabe dig: hvad skal rettes først, hvorfor har du overhovedet pakken, og ærlighed om det, der ikke blev tjekket.
Hvert opslag, der fejler, bliver meldt som ikke tjekket med en begrundelse. En pakke, hvis version ikke kan fastslås, står som ubekræftet — aldrig som formodet i orden. En rapport, der en gang imellem lyver i den beroligende retning, er værre end ingen rapport.
Hvert build bliver testet mod et plantet repository med et offentliggjort facit: overser vi et rigtigt problem eller opfinder et falsk, fejler buildet. Efter udgivelsen kan kunder markere et fund som forkert, og vi tæller det. Præcision er ikke en påstand her, det er et tal.
De store værktøjer er designet til sikkerhedsafdelinger. De fleste virksomheder har ingen. Derfor kommer rettelsen som kommandoer, du kan køre, og en prompt, du kan indsætte — ikke som et nummer, du selv forventes at gå og slå op.
Den fulde sammenligning, inklusive hvad vi bevidst ikke gør, ligger på den tekniske side. Se sammenligningen
Der er intet at installere på en server, intet at konfigurere og intet løbende arbejde. Opsætningen er ét klik og et valg af, hvilke repositories vi må læse.
Én knap i TrustCtrl opretter og installerer den. Du vælger præcis, hvilke repositories den må se — og kun dem.
Appen får det mindste, GitHub tilbyder: lov til at læse den kode, du har valgt. Den kan ikke skrive i din kode, åbne pull requests eller ændre en indstilling.
Fuld scanning hver fjortende dag, et nyt tjek for netop udnyttede huller hver nat, og en øjeblikkelig scanning hver gang der bliver pushet kode. Din kildekode analyseres i hukommelsen og bliver aldrig gemt.
Før i tiden var det kun store virksomheder, der blev spurgt. Nu kommer det som et leverandørspørgeskema, en forsikringsfornyelse eller et krav i en kontrakt — fordi NIS2 allerede kræver forsyningskædesikkerhed af de virksomheder, der er omfattet, og EU's Cyber Resilience Act indfører kravet om en dokumenteret softwarestykliste trinvis hen over 2026-27. Kort sagt: NIS2 gør software-forsyningskædesikkerhed til et krav for de omfattede virksomheder — og til et spørgeskema for deres leverandører. De fleste virksomheder svarer med et regneark eller et skuldertræk. CodeControl svarer med et genereret dokument, fra en rigtig scanning, med dato — i begge de formater, der bliver spurgt efter ved navn.
Kode fra en AI-assistent — det, mange kalder vibe coding — er som regel korrekt, hvilket ikke er det samme som sikker. AI-assistenter vælger biblioteker uden at tjekke, om de bliver vedligeholdt, stadig understøttes eller overhovedet findes, og de efterlader rutinemæssigt eksempelnøgler og adgangskoder i koden. Intet af det dukker op, når du tester siden i en browser — den virker perfekt og bærer risikoen alligevel. CodeControl tjekker præcis de ting: hver pakke der kom med på turen, hver efterladt nøgle, og hvilke af dem der bliver udnyttet lige nu.
For at forstå det, nej — hvert fund er skrevet i et almindeligt sprog med, hvad det betyder, og hvor hastende det er. For at handle på det skal nogen have adgang til din kode: dig, din udvikler eller dit bureau. Derfor siger vi det lige ud før købet. Er der ingen på din side, der kan ændre koden, får du mere ud af de andre dele af TrustCtrl.
Vi læser de repositories, du vælger, med ren læseadgang — det mindste GitHub tilbyder. Koden analyseres i hukommelsen under scanningen og bliver aldrig skrevet til disk eller gemt. Fund registrerer et filnavn, et linjenummer og et maskeret uddrag; selve værdien af en hemmelighed bliver aldrig gemt og aldrig sendt nogen steder hen.
GitHub fortæller dig, hvilke pakker der har offentliggjorte huller. CodeControl starter der og tilføjer det, der gør en liste brugbar: hvilke få der reelt bliver udnyttet, hvorfor du overhovedet har pakken, om der ligger adgangsoplysninger i din kode eller historik, om en pakke er ondsindet, uvedligeholdt eller helt ny, hvad dine licenser forpligter dig til, og en softwarestykliste du kan give en revisor. Den fortæller dig også, hvad den ikke kunne tjekke, i stedet for at vise dig et rent resultat.
Nej. Det er færdige platforme, hvor du ikke har din egen kodebase, så der er ikke noget for CodeControl at læse. VulnControl tjekker den slags site udefra — identificerer den software, det kører, og matcher den mod kendte sårbarheder — og resten af TrustCtrl dækker oppetid, certifikater, sidekvalitet, e-mail og brand.
Det analyserer ikke din egen håndskrevne kode for programmeringsfejl, og det er et bevidst valg: for den her målgruppe er den kode, du selv har skrevet, en lille del af det, du reelt kører, og netop den type analyse giver flere falske alarmer end noget andet inden for sikkerhed. Det er heller ikke en penetrationstest — det melder, hvad der kan vides ud fra repositoryet, ikke hvordan den kørende applikation opfører sig.
Forbind ét repository og se den første rapport — hvad du afhænger af, hvad der er farligt, og hvilke to-tre ting du skal rette i denne uge. CodeControl er en del af TrustCtrl-platformen.
Kun læseadgang · Kildekode bliver aldrig gemt · Fuld teknisk beskrivelse