DeepSource: opiniones y análisis

TLDR: DeepSource es el veterano de la revisión automática y el único del segmento que ejecuta miles de reglas deterministas antes de que un modelo opine sobre el cambio. Eso se nota en la cantidad de avisos inventados que no llegan al pull request, y su argumento de venta es la seguridad más que la conversación. La factura tiene dos contadores, 24 dólares por usuario y mes con pago anual y la revisión con IA cobrada aparte por líneas procesadas, así que el precio de portada no es el precio final.

Qué es DeepSource y cómo funciona

DeepSource se presentó en público en marzo de 2020 como la forma fácil de meter análisis estático en la revisión de código, mucho antes de que nadie vendiera revisores con modelos de lenguaje. Ese origen explica su arquitectura de hoy, que la empresa llama híbrida y que es su única diferencia real frente al resto del segmento: primero pasan más de cinco mil reglas deterministas sobre el cambio y solo después entra el agente de IA a razonar sobre lo que queda.

El orden importa más de lo que parece. Una regla determinista no alucina, se puede leer, y cuando marca algo se puede explicar por qué. Un modelo aporta contexto y entiende la intención del cambio, pero también inventa problemas que no existen. Ponerlos en ese orden significa que buena parte de lo que aparece en el pull request viene con una razón comprobable detrás, y que el modelo trabaja sobre un terreno ya despejado en vez de sobre el diff entero.

A la revisión se le suman piezas que en otras herramientas son productos aparte: detección de secretos, análisis de infraestructura declarada como código, escaneo de dependencias vulnerables, informes de cumplimiento y cobertura de pruebas. Y luego está Autofix, que no propone un cambio en un comentario sino que genera el parche verificado.

Hay un detalle que responde a la vieja acusación contra este tipo de productos. En 2020, cuando la empresa se presentó públicamente, un comentarista le soltó las dos objeciones de siempre: que enviar todo tu código a un tercero es un problema de seguridad y que estas herramientas son envoltorios de análisis libre ajeno con una capa de cobro encima. Seis años después la respuesta a lo segundo tiene código: la empresa publica Globstar, su propio motor de análisis estático con licencia MIT, escrito en Go y apoyado en tree-sitter, con las reglas declaradas en ficheros YAML. Se puede usar sin contratar nada. Eso no es un envoltorio de pylint. La primera objeción, en cambio, sigue viva y es del cliente: quien no pueda mandar código fuera necesita el plan de empresa, que permite alojarlo en su infraestructura y traer sus propias claves de modelo.

Cómo es usarlo en el día a día

Se conecta a los cuatro alojamientos grandes, GitHub, GitLab, Bitbucket y Azure DevOps, y esa lista sola resuelve el problema de bastantes equipos corporativos que no pueden ni mirar a los revisores que solo entran en los dos primeros. Desde ahí analiza cada pull request y deja sus hallazgos donde se leen, dentro del propio cambio.

La experiencia práctica se parece más a la de un linter serio con criterio que a la de un compañero que comenta. Quien venga de CodeRabbit notará menos conversación y menos resúmenes narrativos, y quien venga de sufrir falsos positivos notará silencio en los sitios donde antes había párrafos. Autofix es la parte que más tiempo ahorra cuando el hallazgo es mecánico, porque el parche llega hecho y verificado, y viene sin límite en el plan de pago.

Sobre la calidad hay números y hay que leerlos con la letra pequeña puesta. La empresa publica un banco de pruebas propio sobre 165 vulnerabilidades reales del catálogo abierto de la fundación OpenSSF, en JavaScript y TypeScript, donde saca un 84,51 % de F1 y coloca por detrás a Cursor BugBot, a Greptile y a CodeRabbit, este último muy lejos. Antes de comprar el titular conviene mirar el desglose que la propia página publica, que es más informativo que la nota global: la precisión es del 100 % y la cobertura, del 73,17 %. Traducido, cuando avisa acierta siempre, y se le escapa aproximadamente una de cada cuatro vulnerabilidades del conjunto. Gana la comparación por no equivocarse, no por ver más. Para un equipo harto de ruido eso es exactamente lo que quiere comprar. Para uno que busque una red que no deje pasar nada, es justo lo contrario.

Y aquí viene la debilidad seria de esta ficha, que no está en el producto sino en lo que se puede comprobar de él. La medición la administra la empresa, aunque publique los datos crudos, y la opinión abierta de usuario con la que se contrastaría no existe: en los agregadores de reseñas donde debería haberla no hay ninguna, ni una sola, y en la ficha de lanzamientos tampoco. Un producto de seis años con clientes corporativos y sin reseñas públicas no es una señal de alarma, pero sí obliga a decir que su reputación descansa en lo que cuenta el fabricante y en lo que dicen sus competidores al compararse.

Precio y planes

El plan de pago se llama Team y la página muestra 24 dólares por usuario y mes bajo la etiqueta de facturación anual. Ese interruptor tiene una trampa visual que conviene conocer: al desactivarlo la cifra cambia a 30 dólares por usuario y mes, pero la etiqueta de periodicidad se queda quieta, así que es fácil llevarse la cifra anual creyendo que es la mensual. Publicamos la que la página enseña por defecto, con su condición.

Lo importante llega después, porque el asiento no incluye la revisión con IA. Esa se cobra por consumo, y la propia tarjeta lo detalla: cada usuario del plan trae 100 dólares de crédito anual, y a partir de ahí la revisión estándar cuesta 8 dólares por cada diez mil líneas procesadas y la avanzada, 15. Autofix sí va sin límite en el plan de pago. El escaneo de dependencias de código abierto incluye tres objetivos y cobra 8 dólares al mes por cada uno adicional.

O sea que hay dos contadores, y el segundo depende de cuánto código muevas. Antes de comparar este precio con el de un rival de tarifa plana hay que estimar cuántas líneas pasan por los pull requests de un mes, porque esa cuenta puede cambiar el orden. La empresa declara que los precios llevan impuestos incluidos, cosa rara y agradecida en este mercado.

La prueba dura catorce días, incluye hasta 50 dólares en créditos de revisión y no pide tarjeta. Los proyectos públicos no pagan nada y se llevan mil revisiones de pull request al mes, con la limitación esperable de que ahí no entran los repositorios privados.

Para quién es (y para quién no)

DeepSource es la elección natural de un equipo que responde ante seguridad o cumplimiento. Si alguien te va a pedir un informe de vulnerabilidades, detección de secretos y trazabilidad de dependencias, y además quieres revisión en el pull request, aquí está todo en el mismo sitio y con reglas que se pueden auditar. También es la respuesta obvia para quien tenga el código en Bitbucket o en Azure DevOps, porque media competencia de este segmento ni siquiera entra ahí.

Encaja igual de bien en equipos quemados por el ruido. Comprar precisión a costa de cobertura es una decisión legítima, y esta herramienta la ha tomado de forma explícita.

No es para quien quiera una revisión conversacional que explique el cambio y discuta el diseño, que es lo que hace mejor CodeRabbit. Tampoco para quien necesite un precio cerrado y previsible, porque el consumo por líneas procesadas obliga a vigilar la factura. Y para equipos pequeños con presupuesto corto, la entrada barata del segmento está en Sourcery, aunque mire mucho menos hondo. El ranking está en las mejores IA para revisar código, dentro del mapa de las mejores IA para programar.

Alternativas a DeepSource

Frente a CodeRabbit la diferencia es de carácter: uno conversa y resume, el otro filtra y afirma. Frente a Greptile, que indexa el repositorio entero para ver lo que el diff no enseña, DeepSource ataca el mismo problema del ruido por el lado contrario, poniendo reglas duras delante en vez de más contexto. Y si lo que buscas es pagar por uso sin asientos, Qodo vende bolsas de créditos compartidas por el equipo, aunque sin la parte de seguridad que aquí es el argumento principal.

Preguntas frecuentes

¿Cuánto cuesta DeepSource en total?

El asiento son 24 dólares por usuario y mes con facturación anual, y encima hay que contar la revisión con IA, que se cobra a 8 dólares por cada diez mil líneas procesadas en su modo estándar y a 15 en el avanzado, con 100 dólares de crédito anual incluidos por usuario.

¿En qué se diferencia de un revisor de IA normal?

En que el análisis estático corre primero. Más de cinco mil reglas deterministas miran el cambio antes de que el modelo diga nada, así que lo que llega al pull request viene filtrado por criterios que se pueden leer.

¿Es de fiar el 84,51 % que publica?

Es su propia medición sobre un conjunto abierto de vulnerabilidades reales, con los datos crudos publicados. El detalle que más informa no es la nota global sino su desglose: acierta el 100 % de las veces que avisa y detecta el 73,17 % de los casos, de modo que gana por no dar falsos positivos y no por encontrar más.

¿Funciona con Bitbucket o Azure DevOps?

Sí, y es de los pocos del segmento que entra en los cuatro alojamientos grandes. Buena parte de sus rivales solo cubren GitHub y GitLab.

¿Puedo evitar mandar mi código fuera?

Con el plan de empresa, que permite despliegue en infraestructura propia y usar tus propias claves de modelo. En los planes normales el código sale hacia el servicio, que es la objeción que le acompaña desde el día que se presentó.