secdoc читает исходный код незнакомого репозитория и готовит документацию для аудита безопасности — чтобы за час понять, где в проекте опасно и что проверять вручную.

• Поверхность атаки — точки входа (HTTP-маршруты, CLI, очереди) и есть ли на них аутентификация.
• Потоки данных — откуда приходят недоверенные данные и в какие опасные операции попадают: SQL, команды ОС, файлы, исходящие запросы, десериализация.
• «Проверить вручную» — ранжированный список функций с причинами и ссылками на строки кода.
• Схема потоков (DFD), модель угроз STRIDE и выведенные спецификации проекта: обёртки над опасными операциями, проверки доступа.

Отчёт — HTML, Markdown и JSON. Код проекта не запускается и никуда не отправляется, языковые модели не используются. Языки: JavaScript/TypeScript, Python.