Esto descarga el binario precompilado para tu plataforma (Linux o macOS, amd64/arm64) desde la última versión. Luego ejecuta el asistente de configuración interactivo:```bash
xalgorix --setup

`--privileged` otorga al conjunto de herramientas el mismo acceso tipo host que tiene cuando se ejecuta de forma nativa como root. El sandbox predeterminado de Docker elimina capacidades (como `NET_ADMIN`) y aplica un filtro seccomp, lo que rompe herramientas de bajo nivel (cambios de iptables/route, ARP-spoof/MITM, VPNs tun/tap, depuradores basados en ptrace, ajuste de interfaz de masscan). Dado que una imagen no puede otorgarse a sí misma estas capacidades, deben establecerse en tiempo de ejecución. El contenedor es un sandbox de escaneo desechable y aislado de la red que se ejecuta como root — privileged es la postura prevista; nunca expongas el dashboard públicamente sin autenticación. ¿Prefieres el mínimo privilegio? Cambia `--privileged` por `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Abre `http://localhost:9137`. **No necesitas una clave de LLM para empezar** — el dashboard se inicia sin una; configura el modelo + la clave de API en **Settings → LLM** (persiste en el volumen `/data`). Si no pasas `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, se genera una contraseña de administrador aleatoria y se imprime en los logs del contenedor en la primera ejecución.

**Lo más fácil — Docker Compose** (mapea el puerto + un volumen persistente por ti):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> ¿Prefieres cero configuración? Una versión totalmente gestionada se ejecuta en [www.xalgorix.com](https://www.xalgorix.com/) — escaneo con un clic, sin instalación ni claves de API.

### 🤖 Revisa pull requests automáticamente — GitHub App gratuita

¿Quieres una revisión de seguridad en cada pull request con cero configuración? Instala la **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Lee el diff de cada PR y comenta una revisión de seguridad — inyección, autenticación rota/IDOR, SSRF, secretos, patrones inseguros — directamente en el pull request. Se actualiza en su lugar con los nuevos commits, y puedes comentar **`@xalgorix review`** para volver a ejecutarla bajo demanda. Sin archivo de workflow, sin clave de API, sin cuenta — y es gratis.

<div align="center">

[**➕ Añadir Xalgorix a GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Para el control de merges y pentests completos verificados por explotación en CI, usa el [escáner alojado](https://www.xalgorix.com/) o la GitHub Action.

> [!IMPORTANT]
> Usa Xalgorix solo en sistemas que poseas o para los que tengas permiso explícito de probar.

> [!TIP]
> ¿Prefieres no autoalojarlo? Una versión totalmente gestionada está disponible en [www.xalgorix.com](https://www.xalgorix.com/) — escaneo con un clic, sin instalación ni claves de API.

## 📚 Contenido

| | | |
| --- | --- | --- |
| 📸 [Capturas de pantalla](#-screenshots) | 🔩 [Configuración](#-configuration) | 🧾 [Variables de entorno](#-environment-variables) |
| 🚀 [Inicio rápido](#-quick-start) | 🆙 [Actualización](#-upgrading-from-previous-versions) | 🔤 [Prefijos de proveedor](#-provider-prefixes) |
| 🔎 [Descripción general](#-overview) | 🏃 [Ejecución](#-running) | 💻 [Referencia de CLI](#-cli-reference) |
| 💡 [Por qué Xalgorix](#-why-xalgorix) | 🧰 [Modo servicio](#-service-mode) | 📡 [Resumen de la API](#-api-summary) |
| 🎯 [Casos de uso](#-use-cases) | 🔁 [Flujo de trabajo de la interfaz web](#-web-ui-workflow) | 💾 [Almacenamiento de datos](#-data-storage) |
| ✨ [Características](#-features) | 🔀 [Modos de escaneo](#-scan-modes) | 🧪 [Desarrollo](#-development) |
| 📥 [Instalación](#-installation) | 📂 [Escanea tu código](#-scan-your-code-no-target-needed) | 🚨 [Notas de seguridad](#-safety-notes) |
| 🧭 [Metodología](#-methodology) | 📄 [Informes](#-reports) | 📜 [Licencia](#-license) |
| 🔧 [Ajustes](#-settings) | 🔗 [Enlaces](#-links) | |

## 🔎 Descripción general

Xalgorix es una plataforma autoalojada de pruebas de penetración con IA para pruebas de seguridad autorizadas, evaluación de vulnerabilidades y flujos de trabajo de bug bounty. Combina un agente autónomo impulsado por LLM, automatización de navegador, herramientas de terminal, una exhaustiva metodología de pruebas de 22 fases, telemetría en vivo por WebSocket, gestión de hallazgos con puntuación CVSS, generación de informes PDF con marca e integraciones para AgentMail, Discord y Telegram.

A diferencia de los escáneres DAST solo en la nube, Xalgorix se ejecuta completamente en tu máquina. Tú aportas tu propio proveedor de LLM (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) y controlas el modelo, el esfuerzo de razonamiento, los límites de velocidad y la configuración del proxy. Ningún dato de escaneo, clave de API o información del objetivo sale de tu infraestructura.

La experiencia predeterminada es la interfaz web. Desde un único panel local puedes iniciar escaneos, monitorizar ejecuciones activas, inspeccionar hallazgos, configurar ajustes de modelo/proveedor, gestionar variables de entorno, generar informes PDF con marca y eliminar o reanudar escaneos históricos.

## 💡 Por qué Xalgorix

La mayoría de los escáneres **detectan**. Xalgorix **demuestra**. Un agente autónomo trabaja a través de una metodología de 22 fases, y luego un verificador independiente vuelve a probar cada hallazgo candidato antes de que se reporte — así obtienes resultados verificados por explotación con evidencia, no un muro de "quizás" que triar.

- 🧠 **Un agente de IA, no un motor de plantillas** — razona sobre flujos de autenticación, lógica de negocio, IDOR/BOLA y exploits encadenados que los escáneres de firmas pasan por alto.
- ✅ **Hallazgos verificados por explotación** — un verificador independiente reproduce cada hallazgo de forma autónoma; los no concluyentes se marcan para revisión, nunca se disfrazan como confirmados.
- 🔒 **Autoalojado y privado** — se ejecuta en tu máquina con tu propia clave de LLM; ningún dato del objetivo, clave o hallazgo sale de tu infraestructura.
- 🧩 **Trae tu propio LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama o MiniMax — o cualquier pasarela compatible con OpenAI como [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models) (GitHub Copilot, Codex, OpenRouter, Azure). Tú controlas el modelo, el esfuerzo de razonamiento y el coste.
- 📄 **Informes listos para auditoría** — PDFs con marca, puntuaciones CVSS, prueba de concepto y remediación.

### 📊 Cómo se compara

|                                              | **Xalgorix**             | Escáneres de plantillas (p. ej. Nuclei) | Escáneres de rastreo (p. ej. OWASP ZAP) | DAST comercial        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Enfoque                                     | Agente de IA autónomo      | Firmas / plantillas          | Spider + reglas activas              | Firmas + heurísticas |
| Cobertura de lógica de negocio / IDOR / bypass de autenticación | ✅                       | Limitada                         | Limitada                            | Parcial                |
| Verificado por explotación (demuestra el impacto)             | ✅ verificador independiente  | ❌                              | ❌                                 | Parcial                |
| Carga de falsos positivos                          | Baja (demostrados)             | Dependiente de la plantilla              | Alta                               | Media                 |
| Autoalojado / los datos permanecen locales               | ✅                       | ✅                              | ✅                                 | Normalmente en la nube          |
| Trae tu propio LLM                           | ✅                       | —                               | —                                  | ❌                     |
| Informes PDF con marca                          | ✅                       | ❌                              | Básicos                              | ✅                     |
| Coste                                         | Código abierto + tu LLM   | Gratis                            | Gratis                               | $$$                    |

> Comparación orientativa — Nuclei y ZAP son excelentes en lo que hacen. Xalgorix añade la capa de descubrimiento con razonamiento intensivo y verificación por explotación por encima.

### ☁️ Autoalojado vs Nube alojada

Xalgorix es gratuito y de código abierto — autoalójalo para siempre, sin condiciones. La [nube alojada](https://www.xalgorix.com/) ejecuta el **mismo** motor verificado por explotación; existe para quienes prefieren no gestionar claves de API, infraestructura y facturas impredecibles de LLM. Ambos son de primera clase — elige lo que te convenga.

|                                    | **Autoalojado** (este repositorio)              | **[Nube alojada](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Precio para empezar                     | Gratis, Apache-2.0                         | Nivel gratuito · un escaneo completo desde $1               |
| Clave de API del LLM                        | Aporta y gestiona la tuya                  | Incluida — nada que gestionar                      |
| Coste por escaneo                      | Tokens de LLM en bruto — variable, puede dispararse     | 1 crédito por host activo — predecible            |
| Configuración y operación                        | Tú instalas, actualizas y ejecutas el conjunto de herramientas  | Nada que ejecutar — escaneo en ~60s                   |
| Infraestructura fuera de banda (SSRF/RCE ciego) | Levanta tu propio servidor OOB             | OOB gestionado incluido                            |
| Programación · equipo · RBAC           | Hazlo tú mismo                           | Integrado                                        |
| Actualizaciones                            | `git pull` + recompilar                     | Siempre en el motor más reciente                     |
| Residencia de datos / sin conexión           | ✅ permanece en tu infraestructura · air-gap OK       | Se ejecuta en nuestra infraestructura (DPA disponible)               |

**Autoalójalo si** los datos deben permanecer en tu red, quieres control total, o vas a ejecutar sin conexión/air-gapped — es exactamente para eso. **Usa la nube si** prefieres saltarte las claves de API, la infraestructura y las facturas sorpresa de tokens, y pagar solo por los hosts activos que realmente escaneas.

<div align="center">

[**☁️ Prueba la nube alojada — gratis →**](https://www.xalgorix.com/) &nbsp;·&nbsp; [**⚖️ Compara el coste real (calculadora) →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Si Xalgorix te ahorra un ciclo de triaje, por favor **[⭐ dale una estrella al repositorio](https://github.com/xalgorix/xalgorix)** — realmente ayuda a que otros lo encuentren.

## 🎯 Casos de uso

| Caso de uso | Cómo ayuda Xalgorix |
| -------- | ------------------ |
| **Pruebas de penetración** | Ejecuta una metodología completa de 22 fases contra objetivos autorizados. El agente de IA se encarga del reconocimiento, el descubrimiento de vulnerabilidades, las pruebas de inyección, SSRF, IDOR, bypass de autenticación, condiciones de carrera y más — y luego verifica los hallazgos antes de reportarlos. |
| **Caza de bug bounties** | Apunta Xalgorix a un objetivo dentro del alcance y deja que el agente enumere la superficie de ataque, pruebe clases de vulnerabilidad comunes y exponga hallazgos verificados con puntuaciones CVSS y evidencia de prueba de concepto. |
| **Operaciones de red team** | Usa los modos de escaneo comodín y multiobjetivo para mapear la superficie de ataque externa de una organización. El DAST asistido por navegador maneja flujos de autenticación, formularios y comportamiento en tiempo de ejecución que los escáneres estáticos pasan por alto. |
| **Investigación de seguridad** | La fase de descubrimiento de vulnerabilidades novedosas lleva al agente más allá de la coincidencia de plantillas conocidas. Trae tu propio LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax) para controlar la profundidad de razonamiento y el coste. |
| **Pruebas de seguridad continuas** | Ejecútalo como servicio del sistema con `xalgorix --start`. Escanea según una programación, transmite hallazgos a Discord o Telegram y genera informes PDF con marca para las partes interesadas. |
| **Automatización de DAST** | Pruebas impulsadas por navegador para aplicaciones web — flujos de autenticación, formularios, contenido renderizado con JavaScript y comportamiento en tiempo de ejecución. Se integra con Caido para la inspección del tráfico del proxy. |

## ✨ Características

| Área           | Capacidades                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Panel      | Interfaz web local en `127.0.0.1:9137` por defecto, gestión de escaneos, estado en vivo, acciones de escaneo masivo y recuperación de escaneos históricos. |
| 🔍 Escaneo       | Flujos de objetivo único, DAST, comodín y multiobjetivo con fases de metodología seleccionables.                                   |
| 📡 Telemetría en vivo | Llamadas a herramientas, mensajes del agente, hallazgos, errores, actividad HTTP y actividad del LLM a través de WebSockets.                              |
| 🐞 Hallazgos       | Páginas de detalle de escaneo, filtros de severidad, detalles de CVSS, índice de hallazgos y flujos de trabajo de hallazgos verificados.                           |
| 📄 Informes      | Informes PDF con marca con nombre del objetivo/empresa, logotipo subido, lista de informes, acciones de abrir/descargar/eliminar.                     |
| 🔔 Integraciones   | Bandejas de entrada de prueba de AgentMail, correos de verificación, flujos de OTP, eventos de triaje de correo, notificaciones de Discord y Telegram.            |
| ⚙️ Configuración  | Ajustes del panel para LLM, AgentMail, Discord, Telegram, proxy, tiempo de ejecución, navegador, autenticación, límites de velocidad y recursos.       |
| 🛡️ Seguridad en tiempo de ejecución | Límites de instancias conscientes de los recursos y enlace solo a loopback a menos que el acceso externo se configure explícitamente con autenticación.         |

## 📥 Instalación

Las rutas más rápidas no necesitan ningún conjunto de herramientas.

### ⚡ Instalación en una línea (binario precompilado)```bash
curl -sSL https://www.xalgorix.com/install | bash

El asistente conserva la configuración existente al volver a ejecutarse, oculta la entrada de la clave de API en una terminal y, opcionalmente, lanza la interfaz web al finalizar.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Compilar desde el código fuente```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Configuración

Xalgorix carga la configuración en este orden. Las fuentes posteriores sobrescriben las anteriores.

| Orden | Fuente                                                         |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `/home/<sudo-user>/.xalgorix.env` cuando se lanza mediante `sudo` |
| 3     | `~/.xalgorix.env`                                              |
| 4     | Variables de entorno ya presentes en el proceso                |

Crea el archivo de entorno local:```bash
nano ~/.xalgorix.env

### 🔌 Ejemplos de Proveedores

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 Pasarelas compatibles con LiteLLM / OpenAI (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, modelos locales)

Debido a que `XALGORIX_API_BASE` acepta cualquier endpoint `/v1/chat/completions` compatible con OpenAI,
Xalgorix funciona con un proxy de [LiteLLM](https://docs.litellm.ai/) sin configuración adicional — no
se necesitan cambios del lado de Xalgorix. LiteLLM gestiona la autenticación del proveedor upstream (inicio de sesión
de dispositivo de Copilot, claves de Azure, OpenRouter, Ollama, etc.); Xalgorix simplemente habla OpenAI con la pasarela.

Ejecutar LiteLLM (ejemplo de `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

El mismo patrón cubre GitHub Copilot Business/CLI, Claude Opus, modelos estilo Codex,
OpenRouter, Azure OpenAI y modelos locales de Ollama — cualquier cosa que LiteLLM pueda enrutar. Mantén el
prefijo `custom/` (o `openai/`) y un `XALGORIX_API_BASE` que no sea de Anthropic/Gemini para que Xalgorix
use la forma de solicitud estándar de OpenAI que LiteLLM espera.

### 🔔 Integraciones Opcionales```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Prefiere `XALGORIX_PASSWORD_HASH` para despliegues en producción.

## 🆙 Actualización desde versiones anteriores

Esta versión incluye una pasada de estabilidad y aislamiento del espacio de trabajo con un cambio incompatible y algunos ajustes nuevos que vale la pena conocer.

### 💥 Cambio incompatible: el espacio de trabajo predeterminado se movió a `~/.xalgorix/data/`

La salida de escaneo, las notas, las programaciones y otros artefactos generados ahora se encuentran en `~/.xalgorix/data/` en lugar de `$CWD` (el directorio desde el que se lanzó el binario).

Para conservar el comportamiento anterior, apunta `XALGORIX_DATA_DIR` a tu directorio de trabajo actual:```bash
export XALGORIX_DATA_DIR=$(pwd)

Abrir:```text
http://127.0.0.1:9137

### 🌐 Acceso externo

Vincular a otra interfaz solo después de habilitar la autenticación del panel de control:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

Con instrucciones personalizadas:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Gestionar el servicio:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Acceso remoto al servicio

Expón el servicio a navegadores remotos solo después de habilitar la autenticación del panel:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

El propio listener del dashboard está **siempre** protegido, incluso con esto habilitado.

> **⚠️ Despliegues compartidos / multiinquilino / alojados: mantenga esto DESACTIVADO.** Habilitarlo
> permitiría que el escaneo de un usuario alcance la propia máquina del operador y la red interna.
> Está desactivado por defecto, por lo que no se necesita ninguna acción para mantenerse seguro — no establezca
> `XALGORIX_ALLOW_LOCAL_TARGETS` (ni fije `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> y no exponga la página de Settings del motor a usuarios no confiables.

## 🔁 Flujo de trabajo de la Web UI

1. Abra el dashboard en `http://127.0.0.1:9137`.
2. Vaya a Settings y confirme el proveedor de LLM, la clave de API, los límites de tasa y las integraciones opcionales.
3. Cree un escaneo desde New Scan.
4. Elija un modo de escaneo.
5. Seleccione las fases de la metodología cuando desee una ejecución enfocada.
6. Establezca filtros de severidad cuando solo ciertas severidades deban reportarse en vivo. El filtro afecta únicamente al feed del dashboard en tiempo real y a las notificaciones; el informe PDF y `/api/findings` siempre incluyen todas las vulnerabilidades que el agente descubrió.
7. Agregue el nombre de la empresa y suba un logo para informes con marca.
8. Monitoree el progreso desde Overview, Scan Detail o Live Feed.
9. Abra los detalles de los hallazgos, descargue informes o gestione escaneos históricos desde Scans and Reports.

## 🔀 Modos de escaneo

| Modo             | Ideal para                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Objetivo único    | Probar una URL o host conocido.                                                  |
| 🌐 Comodín / múltiple | Enumerar objetivos relacionados y escanear la superficie de ataque descubierta.         |
| 🧭 DAST             | Pruebas asistidas por navegador para aplicaciones web, flujos de autenticación, formularios y comportamiento en tiempo de ejecución. |

## 📂 Escanee su código (no se necesita objetivo)

Apunte Xalgorix a una base de código — una URL de Git, una ruta local o un zip subido — y
escanea el código fuente directamente. Sin URL desplegada, sin infraestructura que levantar.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

El servidor mantiene registros históricos de escaneos en disco para que la interfaz de usuario pueda recuperarse tras un refresco o reinicio.

## 🧪 Desarrollo

| Tarea                        | Comando                       |
| --------------------------- | ----------------------------- |
| 📦 Instalar dependencias de la interfaz web | `make webui-install`          |
| 🔨 Compilar todo            | `make build`                  |
| ✅ Ejecutar pruebas                   | `go test ./...`               |
| 🖥️ Ejecutar la interfaz web desde el código fuente      | `go run ./cmd/xalgorix --web` |
| ⚡ Ejecutar el servidor de desarrollo del frontend     | `make webui-dev`              |

## 🚨 Notas de seguridad

- Utiliza Xalgorix únicamente contra objetivos autorizados.
- No ejecutes pruebas activas contra sistemas de terceros sin permiso.
- Revisa las instrucciones de escaneo antes de lanzarlo.
- Configura los límites de velocidad y los ajustes de proxy para que coincidan con las reglas del encargo.
- Exponer el panel de control externamente requiere autenticación.
- La instalación automática está deshabilitada por defecto para usuarios no root y solo debe habilitarse cuando confíes en el entorno.

## 📜 Licencia

Xalgorix se distribuye bajo la Licencia Apache 2.0. Consulta [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Enlaces

| Recurso      | Enlace                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Alojado (Cloud) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Documentación | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Problemas        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Apoyo       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |