Instalación

Gerion CLI orquesta cuatro escáneres de seguridad (Gitleaks, OSV-Scanner, KICS, Opengrep) y envía los hallazgos normalizados a la plataforma Gerion. Tu código nunca sale de tu infraestructura.

Opción A — Docker (recomendado)

La imagen Docker incluye el CLI y todos los escáneres preinstalados. No requiere Python ni dependencias adicionales en el host.

docker pull ghcr.io/gerion-appsec/gerion-cli:latest

Primer escaneo

# Escaneo completo del directorio actual
docker run --rm -v "$PWD:/code" \
  ghcr.io/gerion-appsec/gerion-cli:latest \
  scan-all /code

# Con envío a la API de Gerion
docker run --rm -v "$PWD:/code" \
  -e GERION_API_URL="https://api.gerion.dev" \
  -e GERION_API_KEY="tu-api-key" \
  ghcr.io/gerion-appsec/gerion-cli:latest \
  scan-all /code

Consejo

En CI/CD no necesitas ejecutar docker run directamente — usa el container job nativo de tu plataforma o la GitHub Action oficial. Consulta la guía de integración CI/CD para más detalles.

---

Opción B — Instalación local (desarrollo)

Para contribuir al proyecto o ejecutar el CLI sin Docker.

Requisitos

• Python 3.12+
• Poetry
• Make
• curl y tar

Instalación

git clone https://github.com/gerion-appsec/gerion-cli
cd gerion-cli
make install

make install instala las dependencias de Python con Poetry y descarga los binarios de los escáneres externos (Gitleaks, Opengrep, OSV-Scanner, KICS) en ~/.local/bin.

Añade ~/.local/bin a tu PATH si no lo está ya:

export PATH="$HOME/.local/bin:$PATH"

Verificar la instalación

make check

Instalar componentes por separado

make install-python       # Solo dependencias Python
make install-gitleaks
make install-opengrep
make install-osv-scanner
make install-kics

---

Configuración de credenciales

Obtén tu API Key en gerion.dev → Settings → API Keys.

Variables de entorno

export GERION_API_URL="https://api.gerion.dev"
export GERION_API_KEY="tu-api-key-aquí"

.env local

Crea un fichero .env en la raíz del proyecto:

GERION_API_URL=https://api.gerion.dev
GERION_API_KEY=tu-api-key-aquí

Añade .env a tu .gitignore.

Primer escaneo

gerion scan-all /ruta/a/tu/proyecto

Para escáneres individuales:

gerion secrets-scan .
gerion sca-scan .
gerion sast-scan .
gerion iac-scan .

Siguientes pasos

• Escaneo de Secretos — Gitleaks
• Escaneo SCA — OSV-Scanner
• Escaneo SAST — Opengrep
• Escaneo IaC — KICS
• Integración CI/CD