Shift-left

Dibuja el ciclo de vida del software de izquierda a derecha: código, build, pruebas, staging, producción. Shift-left es mover las verificaciones de seguridad lo más posible hacia la izquierda de esa línea: de la producción hacia el teclado de quien desarrolla.

El ejemplo más tangible es el pre-commit: un hook local que ejecuta las mismas herramientas del pipeline, pero en la máquina del dev, antes de que el código siquiera salga. La configuración de abajo corre secrets scanning y SAST en cada commit:

El hook local es rápido y barato, pero no es una autoridad: se puede usar --no-verify y saltarlo. Por eso la misma verificación corre de nuevo en el PR y en el build, capas con costos distintos. Temprano (IDE, pre-commit) para feedback rápido; después (CI) como la compuerta de verdad, que nadie se salta.

El costo de un defecto crece órdenes de magnitud a medida que avanza en el ciclo: corregir una línea en el editor cuesta segundos; el mismo problema en producción puede costar un incidente, una filtración y la confianza de los usuarios. Shift-left no se trata de que te guste la seguridad: se trata de aritmética.

Anticipar no elimina lo que viene después: algunas vulnerabilidades solo existen en el sistema ensamblado, con configuración y datos reales, territorio del DAST y del monitoreo en producción. Shift-left complementa las verificaciones tardías, no las sustituye.