VibeCheck CLI

Português

O comando analyze (a partir de 0.3.0) analisa código, segredos e dependências, importa cobertura/testes/SARIF e avalia o quality gate. O modo anterior --gate continua compatível. Node.js 22+ e Git são necessários.

1. Crie um projeto em https://vibecheck.kinkai.cloud/projects. Em Configurações, copie vibecheck.config.json e gere um token de projeto.
2. Instale o CLI e os motores. Os comandos abaixo são para Linux x64 ou WSL; exigem Python 3 com venv. As versões são fixadas e os binários OSV/Gitleaks têm checksum verificado. A instalação é explícita, sem scripts de instalação de motores executados pelo npm.

npm install --save-dev @kinkai.cloud/[email protected]
python3 -m venv .tools/vibecheck
.tools/vibecheck/bin/pip install -r node_modules/@kinkai.cloud/vibecheck/engines/requirements.txt
python3 node_modules/@kinkai.cloud/vibecheck/engines/install.py .tools/vibecheck/bin
export PATH="$PWD/.tools/vibecheck/bin:$PATH"

3. Gere seus relatórios com o runner de testes habitual. Configure os caminhos existentes em coverage, junit e sarif no JSON. Não adicione um relatório que seu projeto não gera. Formatos de cobertura: lcov, cobertura, jacoco.
4. Analise localmente: npx vibecheck analyze. Para publicar, configure VIBECHECK_PROJECT_TOKEN como variável de ambiente, em um arquivo .env na raiz do repositório, ou como segredo do CI, e execute npx vibecheck analyze --publish. O CLI carrega .env localmente quando a variável ainda não está definida no ambiente; nunca publica o arquivo.

O CLI não roda testes arbitrários. Código-fonte completo e valores de segredos permanecem locais. Relatórios sanitizados ficam em .vibecheck/analysis.json e .vibecheck/analysis.sarif. Adicione .tools/ e .vibecheck/ ao .gitignore.

Primeira execução: publique a branch de referência antes de analisar sua branch de trabalho. Sem análise comparável do ancestral comum, o gate é inconclusivo e os problemas encontrados continuam visíveis.

Decisão no CI: 0 aprovado; 1 reprovado; 2 inconclusivo; 3 erro operacional. Por padrão, novos riscos altos/críticos e segredos bloqueiam; a cobertura de linhas executáveis novas deve ser pelo menos 80%. Motores indisponíveis e relatórios necessários ausentes não são aprovação. O servidor recalcula a decisão recebida pelo CLI.

No painel: Achados para correções, Mapa para arquivos, Dependências para pacotes afetados e correções disponíveis, Testes para cobertura/falhas e Quality gates para condições e motivos. Para HTTP use o scan web; para verificações pontuais, https://vibecheck.kinkai.cloud/tools.

English

analyze (0.3.0+) combines code, secrets and dependency checks, imports coverage/tests/SARIF, and evaluates a quality gate. Legacy --gate remains supported. Requires Node.js 22+ and Git.

1. Create a project at https://vibecheck.kinkai.cloud/projects. Copy its configuration and generate a project token in Settings.
2. Install the CLI and engines using the commands above on Linux x64 or WSL, with Python 3 and venv. Versions are pinned; OSV/Gitleaks binaries are checksum verified. npm does not install engines automatically.
3. Generate reports using your usual test runner. Configure existing coverage (lcov, cobertura, jacoco), JUnit and SARIF paths. The CLI does not run arbitrary tests.
4. Run npx vibecheck analyze. To upload sanitized results, set VIBECHECK_PROJECT_TOKEN in your environment, in a .env file at the repository root, or in your CI secret store, then run npx vibecheck analyze --publish. The CLI loads .env locally only when the variable is not already set; it never uploads that file.

Publish the reference branch first. Without a comparable merge-base analysis, the gate is inconclusive. Exit codes: 0 pass, 1 fail, 2 inconclusive, 3 operational error. Default policy blocks new high/critical risks and secrets, and requires 80% coverage of new executable lines. Missing required evidence never means pass.

Full source and secret values stay local. JSON/SARIF reports are written to .vibecheck/; ignore that directory and .tools/ in Git. Use Findings, Map, Dependencies, Tests and Quality gates in the dashboard to investigate results. Web scans and focused utilities are available separately on the website.