Esto descarga el binario precompilado para tu plataforma (Linux amd64/arm64) desde la última versión. Luego ejecuta el asistente de configuración interactivo:```bash
xalgorix --setup

`--privileged` le da al conjunto de herramientas el mismo acceso similar al del host que tiene cuando se ejecuta de forma nativa como root. El sandbox predeterminado de Docker elimina capacidades (como `NET_ADMIN`) y aplica un filtro seccomp, lo que rompe herramientas de bajo nivel (cambios de iptables/ruta, ARP-spoof/MITM, VPNs tun/tap, depuradores basados en ptrace, ajuste de interfaz de masscan). Dado que una imagen no puede otorgarse estas capacidades a sí misma, deben establecerse en tiempo de ejecución. El contenedor es un sandbox de escaneo desechable y aislado de la red que se ejecuta como root — privilegiado es la postura prevista; nunca expongas el panel públicamente sin autenticación. ¿Prefieres el menor privilegio? Cambia `--privileged` por `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Abre `http://localhost:9137`. **No necesitas una clave de LLM para empezar** — el panel se inicia sin una; establece el modelo y la clave de API en **Settings → LLM** (se guarda en el volumen `/data`). Si no pasas `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, se genera una contraseña de administrador aleatoria y se imprime en los registros del contenedor en el primer inicio.

**Lo más fácil — Docker Compose** (mapea el puerto y un volumen persistente por ti):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> ¿Prefieres cero configuración? Una versión totalmente gestionada está disponible en [www.xalgorix.com](https://www.xalgorix.com/) — haz clic para escanear, sin instalación ni claves API.

### 🤖 Revisa pull requests automáticamente — App gratuita de GitHub

¿Quieres una revisión de seguridad en cada pull request sin configuración? Instala la **[App de GitHub Xalgorix](https://github.com/apps/xalgorix)**. Lee el diff de cada PR y comenta una revisión de seguridad — inyección, auth/IDOR roto, SSRF, secretos, patrones inseguros — directamente en el pull request. Se actualiza en cada nuevo commit, y puedes comentar **`@xalgorix review`** para volver a ejecutarla bajo demanda. Sin archivo de workflow, sin clave API, sin cuenta — y es gratuita.

<div align="center">

[**➕ Añadir Xalgorix a GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Para bloqueo de merges y pentests completos verificados con exploits en CI, usa el [escáner alojado](https://www.xalgorix.com/) o la GitHub Action.

> [!IMPORTANT]
> Usa Xalgorix solo en sistemas que poseas o para los que tengas permiso explícito de prueba.

> [!TIP]
> ¿Prefieres no auto-alojar? Una versión totalmente gestionada está disponible en [www.xalgorix.com](https://www.xalgorix.com/) — haz clic para escanear, sin instalación ni claves API.

## 📚 Contenidos

| | | |
| --- | --- | --- |
| 📸 [Capturas de pantalla](#-capturas-de-pantalla) | 🔩 [Configuración](#-configuración) | 🧾 [Variables de entorno](#-variables-de-entorno) |
| 🚀 [Inicio rápido](#-inicio-rápido) | 🆙 [Actualización](#-actualización-desde-versiones-anteriores) | 🔤 [Prefijos de proveedores](#-prefijos-de-proveedores) |
| 🔎 [Descripción general](#-descripción-general) | 🏃 [Ejecución](#-ejecución) | 💻 [Referencia de CLI](#-referencia-de-cli) |
| 💡 [Por qué Xalgorix](#-por-qué-xalgorix) | 🧰 [Modo servicio](#-modo-servicio) | 📡 [Resumen de API](#-resumen-de-api) |
| 🎯 [Casos de uso](#-casos-de-uso) | 🔁 [Flujo de trabajo de la Web UI](#-flujo-de-trabajo-de-la-web-ui) | 💾 [Almacenamiento de datos](#-almacenamiento-de-datos) |
| ✨ [Características](#-características) | 🔀 [Modos de escaneo](#-modos-de-escaneo) | 🧪 [Desarrollo](#-desarrollo) |
| 📥 [Instalación](#-instalación) | 📂 [Escanea tu código](#-escanea-tu-código-sin-objetivo-necesario) | 🚨 [Notas de seguridad](#-notas-de-seguridad) |
| 🧭 [Metodología](#-metodología) | 📄 [Informes](#-informes) | 📜 [Licencia](#-licencia) |
| 🔧 [Ajustes](#-ajustes) | 🔗 [Enlaces](#-enlaces) | |

## 🔎 Descripción general

Xalgorix es una plataforma de pentesting de IA auto-alojada para pruebas de seguridad autorizadas, evaluación de vulnerabilidades y flujos de trabajo de bug bounty. Combina un agente autónomo impulsado por LLM, automatización de navegador, herramientas de terminal, una metodología de pruebas integral de 22 fases, telemetría WebSocket en vivo, gestión de hallazgos con puntuación CVSS, generación de informes PDF con marca, e integraciones para AgentMail, Discord y Telegram.

A diferencia de los escáneres DAST solo en la nube, Xalgorix se ejecuta completamente en tu máquina. Tú aportas tu propio proveedor de LLM (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) y controlas el modelo, el esfuerzo de razonamiento, los límites de tasa y la configuración del proxy. Ningún dato de escaneo, clave API o información del objetivo sale de tu infraestructura.

La experiencia predeterminada es la Web UI. Desde un único panel local puedes iniciar escaneos, monitorear ejecuciones activas, inspeccionar hallazgos, configurar ajustes de modelo/proveedor, gestionar variables de entorno, generar informes PDF con marca y eliminar o reanudar escaneos históricos.

## 💡 Por qué Xalgorix

La mayoría de los escáneres **detectan**. Xalgorix **prueba**. Un agente autónomo trabaja a través de una metodología de 22 fases, y luego un verificador independiente vuelve a probar cada hallazgo candidato antes de que se informe — así obtienes resultados verificados con exploits y evidencia, no un muro de "quizás" para triar.

- 🧠 **Un agente de IA, no un motor de plantillas** — razona sobre flujos de autenticación, lógica de negocio, IDOR/BOLA y exploits encadenados que los escáneres de firmas pasan por alto.
- ✅ **Hallazgos verificados con exploits** — un verificador separado reproduce de forma independiente cada hallazgo; los no concluyentes se marcan para revisión, nunca se presentan como confirmados.
- 🔒 **Auto-alojado y privado** — se ejecuta en tu máquina con tu propia clave de LLM; ningún dato del objetivo, clave o hallazgo sale de tu infraestructura.
- 🧩 **Trae tu propio LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama o MiniMax — o cualquier puerta de enlace compatible con OpenAI como [LiteLLM](#-litellm--puertas-de-enlace-compatibles-con-openai-github-copilot-claude-opus-codex-openrouter-azure-modelos-locales) (GitHub Copilot, Codex, OpenRouter, Azure). Tú controlas el modelo, el esfuerzo de razonamiento y el costo.
- 📄 **Informes listos para auditoría** — PDFs con marca, puntuaciones CVSS, prueba de concepto y remediación.

### 📊 Cómo se compara

|                                              | **Xalgorix**             | Escáneres de plantillas (p. ej. Nuclei) | Escáneres de rastreo (p. ej. OWASP ZAP) | DAST comercial        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Enfoque                                     | Agente de IA autónomo      | Firmas / plantillas          | Spider + reglas activas              | Firmas + heurísticas |
| Cobertura de lógica de negocio / IDOR / bypass de auth | ✅                       | Limitada                         | Limitada                            | Parcial                |
| Verificado con exploits (prueba el impacto)             | ✅ verificador independiente  | ❌                              | ❌                                 | Parcial                |
| Carga de falsos positivos                          | Baja (probada)             | Dependiente de plantillas              | Alta                               | Media                 |
| Auto-alojado / los datos permanecen locales                       | ✅                       | ✅                              | ✅                                 | Generalmente en la nube          |
| Trae tu propio LLM                           | ✅                       | —                               | —                                  | ❌                     |
| Informes PDF con marca                          | ✅                       | ❌                              | Básico                              | ✅                     |
| Costo                                         | Código abierto + tu LLM   | Gratis                            | Gratis                               | $$$                    |

> Comparación direccional — Nuclei y ZAP son excelentes en lo que hacen. Xalgorix añade la capa de descubrimiento con razonamiento intensivo y verificación de exploits encima.

### ☁️ Auto-alojado vs nube alojada

Xalgorix es gratuito y de código abierto — auto-alójalo para siempre, sin condiciones. La [nube alojada](https://www.xalgorix.com/) ejecuta el **mismo** motor verificado con exploits; existe para quienes prefieren no gestionar claves API, infraestructura y facturas impredecibles de LLM. Ambas son de primera clase — elige lo que se adapte.

|                                    | **Auto-alojado** (este repositorio)              | **[Nube alojada](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Precio para empezar                     | Gratis, Apache-2.0                         | Nivel gratuito · un escaneo completo desde $1               |
| Clave API de LLM                        | Trae y gestiona la tuya                  | Incluida — nada que gestionar                      |
| Costo por escaneo                      | Tokens LLM brutos — variable, puede dispararse     | 1 crédito por host en vivo — predecible            |
| Configuración y operación                        | Tú instalas, actualizas y ejecutas el conjunto de herramientas  | Nada que ejecutar — escanea en ~60s                   |
| Infraestructura fuera de banda (SSRF/RCE ciego) | Levanta tu propio servidor OOB             | OOB gestionado incluido                            |
| Programación · equipo · RBAC           | Hazlo tú mismo                           | Integrado                                        |
| Actualizaciones                            | `git pull` + reconstrucción                     | Siempre en el motor más reciente                     |
| Residencia de datos / sin conexión                           | ✅ permanece en tu infraestructura · compatible con air-gap       | Se ejecuta en nuestra infraestructura (DPA disponible)               |

**Auto-aloja si** los datos deben permanecer en tu red, quieres control total, o ejecutarás sin conexión/air-gapped — es exactamente para eso. **Usa la nube si** prefieres saltarte las claves API, la infraestructura y las facturas sorpresa de tokens, y pagar solo por los hosts en vivo que realmente escaneas.

<div align="center">

[**☁️ Prueba la nube alojada — gratis →**](https://www.xalgorix.com/) &nbsp;·&nbsp; [**⚖️ Compara el costo real (calculadora) →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Si Xalgorix te ahorra un ciclo de triaje, por favor **[⭐ da una estrella al repositorio](https://github.com/xalgorix/xalgorix)** — realmente ayuda a que otros lo encuentren.

## 🎯 Casos de uso

| Caso de uso | Cómo ayuda Xalgorix |
| -------- | ------------------ |
| **Pruebas de penetración** | Ejecuta una metodología completa de 22 fases contra objetivos autorizados. El agente de IA maneja reconocimiento, descubrimiento de vulnerabilidades, pruebas de inyección, SSRF, IDOR, bypass de auth, condiciones de carrera y más — luego verifica los hallazgos antes de informar. |
| **Caza de bug bounty** | Apunta Xalgorix a un objetivo dentro del alcance y deja que el agente enumere la superficie de ataque, pruebe clases comunes de vulnerabilidades y muestre hallazgos verificados con puntuaciones CVSS y evidencia de prueba de concepto. |
| **Operaciones de red team** | Usa los modos de escaneo con comodines y multi-objetivo para mapear la superficie de ataque externa de una organización. El DAST asistido por navegador maneja flujos de auth, formularios y comportamiento en tiempo de ejecución que los escáneres estáticos pasan por alto. |
| **Investigación de seguridad** | La fase de descubrimiento de vulnerabilidades novedosas empuja al agente más allá del emparejamiento de plantillas conocido. Trae tu propio LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax) para controlar la profundidad de razonamiento y el costo. |
| **Pruebas de seguridad continuas** | Ejecuta como servicio del sistema con `xalgorix --start`. Escanea según un horario, transmite hallazgos a Discord o Telegram y genera informes PDF con marca para las partes interesadas. |
| **Automatización DAST** | Pruebas impulsadas por navegador para aplicaciones web — flujos de auth, formularios, contenido renderizado con JavaScript y comportamiento en tiempo de ejecución. Se integra con Caido para la inspección del tráfico del proxy. |

## ✨ Características

| Área           | Capacidades                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Panel      | Web UI local en `127.0.0.1:9137` por defecto, gestión de escaneos, estado en vivo, acciones de escaneo masivo y recuperación de escaneos históricos. |
| 🔍 Escaneo       | Flujos de objetivo único, DAST, comodines y multi-objetivo con fases de metodología seleccionables.                                   |
| 📡 Telemetría en vivo | Llamadas de herramientas, mensajes del agente, hallazgos, errores, actividad HTTP y actividad de LLM a través de WebSockets.                              |
| 🐞 Hallazgos       | Páginas de detalle de escaneo, filtros de severidad, detalles de CVSS, índice de hallazgos y flujos de trabajo de hallazgos verificados.                           |
| 📄 Informes      | Informes PDF con marca con nombre del objetivo/empresa, logo subido, lista de informes, acciones de abrir/descargar/eliminar.                     |
| 🔔 Integraciones   | Bandejas de entrada de prueba de AgentMail, correos de verificación, flujos de OTP, eventos de triaje de correo, notificaciones de Discord y Telegram.            |
| ⚙️ Configuración  | Ajustes del panel para LLM, AgentMail, Discord, Telegram, proxy, tiempo de ejecución, navegador, auth, límites de tasa y recursos.       |
| 🛡️ Seguridad en tiempo de ejecución | Límites de instancias conscientes de recursos y enlace solo a loopback a menos que se configure explícitamente acceso externo con auth.         |

## 📥 Instalación

Las rutas más rápidas no necesitan ningún conjunto de herramientas.

### ⚡ Instalación de una línea (binario precompilado)```bash
curl -sSL https://www.xalgorix.com/install | bash

El asistente conserva la configuración existente cuando se vuelve a ejecutar, oculta la entrada de la clave de API en una terminal y, opcionalmente, inicia la interfaz web al finalizar.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Compilar desde el código fuente```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Configuración

Xalgorix carga la configuración en este orden. Las fuentes posteriores anulan a las anteriores.

| Orden | Fuente                                                         |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` cuando se lanza mediante `sudo` |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Variables de entorno ya presentes en el proceso                |

Crea el archivo de entorno local:```bash
nano ~/.xalgorix.env

### 🔌 Ejemplos de Proveedores

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 Puertas de enlace compatibles con LiteLLM / OpenAI (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, modelos locales)

Debido a que `XALGORIX_API_BASE` acepta cualquier endpoint `/v1/chat/completions` compatible con OpenAI,
Xalgorix funciona con un proxy [LiteLLM](https://docs.litellm.ai/) sin configuración adicional — no se
necesitan cambios en Xalgorix. LiteLLM gestiona la autenticación del proveedor upstream (inicio de
sesión de dispositivo de Copilot, claves de Azure, OpenRouter, Ollama, etc.); Xalgorix solo habla OpenAI con la puerta de enlace.

Ejecuta LiteLLM (ejemplo de `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

El mismo patrón cubre GitHub Copilot Business/CLI, Claude Opus, modelos estilo Codex,
OpenRouter, Azure OpenAI y modelos locales de Ollama — cualquier cosa que LiteLLM pueda enrutar. Mantén
el prefijo `custom/` (o `openai/`) y una `XALGORIX_API_BASE` que no sea de Anthropic/Gemini para que Xalgorix
use la forma estándar de solicitud de OpenAI que LiteLLM espera.

### 🔔 Integraciones Opcionales```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Prefiere `XALGORIX_PASSWORD_HASH` para despliegues en producción.

## 🆙 Actualización desde versiones anteriores

Esta versión incluye una mejora de estabilidad y aislamiento del espacio de trabajo con un cambio disruptivo y algunos ajustes nuevos que vale la pena conocer.

### 💥 Cambio disruptivo: el espacio de trabajo predeterminado se movió a `~/.xalgorix/data/`

La salida de escaneo, notas, programaciones y otros artefactos generados ahora se almacenan en `~/.xalgorix/data/` en lugar de `$CWD` (el directorio desde el que se lanzó el binario).

Para conservar el comportamiento anterior, apunta `XALGORIX_DATA_DIR` a tu directorio de trabajo actual:```bash
export XALGORIX_DATA_DIR=$(pwd)

Abierto:```text
http://127.0.0.1:9137

### 🌐 Acceso Externo

Vincula a otra interfaz solo después de habilitar la autenticación del panel:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Con instrucciones personalizadas:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Gestiona el servicio:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Acceso a Servicios Remotos

Exponga el servicio a navegadores remotos solo después de habilitar la autenticación del panel:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

El propio listener del panel está **siempre** protegido, incluso con esto habilitado.

> **⚠️ Implementaciones compartidas / multiinquilino / alojadas: mantén esto DESACTIVADO.** Habilitarlo
> permitiría que el escaneo de un usuario llegara a la propia máquina del operador y a su red interna.
> Está desactivado por defecto, así que no se necesita ninguna acción para mantenerse seguro — no establezcas
> `XALGORIX_ALLOW_LOCAL_TARGETS` (o fija `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> y no expongas la página de Configuración del motor a usuarios no confiables.

## 🔁 Flujo de trabajo de la interfaz web

1. Abre el panel en `http://127.0.0.1:9137`.
2. Ve a Configuración y confirma el proveedor de LLM, la clave de API, los límites de tasa y las integraciones opcionales.
3. Crea un escaneo desde Nuevo escaneo.
4. Elige un modo de escaneo.
5. Selecciona las fases de metodología cuando quieras una ejecución enfocada.
6. Establece filtros de severidad cuando solo ciertas severidades deban informarse en vivo. El filtro afecta únicamente al feed del panel en tiempo real y a las notificaciones; el informe PDF y `/api/findings` siempre incluyen todas las vulnerabilidades que el agente descubrió.
7. Añade el nombre de la empresa y sube un logotipo para informes con marca.
8. Supervisa el progreso desde Resumen, Detalle de escaneo o Feed en vivo.
9. Abre los detalles de los hallazgos, descarga informes o gestiona escaneos históricos desde Escaneos e Informes.

## 🔀 Modos de escaneo

| Modo             | Ideal para                                                                      |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Objetivo único    | Probar una URL u host conocido.                                                 |
| 🌐 Comodín / múltiple | Enumerar objetivos relacionados y escanear la superficie de ataque descubierta. |
| 🧭 DAST             | Pruebas asistidas por navegador para aplicaciones web, flujos de autenticación, formularios y comportamiento en tiempo de ejecución. |

## 📂 Escanea tu código (sin necesidad de objetivo)

Apunta Xalgorix a un código fuente — una URL de Git, una ruta local o un zip subido — y
escanea el código directamente. Sin URL implementada, sin infraestructura que levantar.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

El servidor mantiene registros históricos de escaneos en disco para que la interfaz pueda recuperarse tras una actualización o reinicio.

## 🧪 Desarrollo

| Tarea                        | Comando                       |
| --------------------------- | ----------------------------- |
| 📦 Instalar dependencias de la interfaz web | `make webui-install`          |
| 🔨 Compilar todo            | `make build`                  |
| ✅ Ejecutar pruebas         | `go test ./...`               |
| 🖥️ Ejecutar la interfaz web desde el código fuente | `go run ./cmd/xalgorix --web` |
| ⚡ Ejecutar el servidor de desarrollo del frontend | `make webui-dev`              |

## 🚨 Notas de seguridad

- Utilice Xalgorix únicamente contra objetivos autorizados.
- No realice pruebas activas contra sistemas de terceros sin permiso.
- Revise las instrucciones de escaneo antes de iniciar.
- Configure los límites de velocidad y la configuración de proxy para cumplir con las reglas del compromiso.
- Exponer el panel de control externamente requiere autenticación.
- La instalación automática está deshabilitada por defecto para usuarios no root y debe habilitarse solo cuando confíe en el entorno.

## 📜 Licencia

Xalgorix se publica bajo la Licencia Apache 2.0. Consulte [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Enlaces

| Recurso      | Enlace                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Alojado (Nube) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Documentación | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Problemas        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Soporte       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |