Revisión de código abierta en 2026: las herramientas de código abierto, la división entre autohospedado y hospedado, y lo que realmente cuesta lo «gratis»

En 2026, la revisión abierta de código ya no es una metáfora. Alibaba liberó su revisor interno de IA como código abierto bajo el nombre open-code-review este verano, sumándose a un campo de herramientas autoalojadas que incluye ReviewBot de Qiniu y PR-Agent: herramientas que ejecutas con tus propias claves de modelo, en tu propio servidor, conectadas a tu propio CI. La licencia es gratuita; lo que realmente te cuesta es todo lo que la rodea: los tokens del modelo, un lugar donde ejecutarla y la infraestructura de seguridad que evita que un revisor filtre el código que lee. Nuestra recomendación es la vía alojada: revisar en una puerta de enlace que traslada los precios de lista de los proveedores sin margen adicional y utiliza las claves que ya tienes. Ese es el argumento que presenta nuestra página de revisión de código, y esta guía recorre las herramientas, el desglose de costos y los casos en los que la opción alojada es la incorrecta.

Buscar "open code review" en agosto de 2026 principalmente muestra el repositorio open-code-review, espejos de documentación y una página de npm. Te dicen que la herramienta existe y cómo instalarla. Ninguna de ellas responde a la decisión subyacente: código abierto y autoalojado no son la misma opción, "gratis" termina en la licencia, y los tokens del modelo cuestan el mismo precio de lista tanto si alojas el revisor como si no. Esta página es esa guía de decisión que falta — y es una guía de producto, no una reseña del modelo.

Qué significa "revisión abierta de código" en 2026

El término tiene ahora un referente concreto. A mediados de 2026, Alibaba publicó open-code-review, su asistente interno de revisión de código con IA, bajo la licencia Apache-2.0 — dos años de uso interno, decenas de miles de desarrolladores, millones de defectos detectados. Su diseño es híbrido: los pipelines deterministas se encargan de la selección de archivos, la coincidencia de reglas y el posicionamiento de comentarios, mientras que un agente LLM realiza el razonamiento. Lo instalas con npm install -g @alibaba-group/open-code-review, luego ocr review revisa el espacio de trabajo, ocr scan audita una base de código desconocida y ocr config model lo apunta a cualquier endpoint compatible con OpenAI o Anthropic, incluido uno local. Incluye un conjunto de reglas afinado que cubre NPE, thread-safety, XSS e inyección SQL, y es deliberadamente conservador: en su propia evaluación AACR-Bench (50 repositorios populares, 200 pull requests reales, con validación cruzada por más de 80 ingenieros sénior), reporta una precisión mayor que un agente de propósito general como Claude Code con aproximadamente una novena parte de los tokens — con un recall menor, una compensación que favorece unos pocos comentarios precisos frente a otros exhaustivos y ruidosos.

El campo del código abierto a su alrededor es más amplio. El ReviewBot de Qiniu es un revisor autoalojado para GitHub y GitLab que orquesta linters (golangci-lint, pylint, shellcheck y afines) y añade una capa de IA que explica los hallazgos y sugiere correcciones; se despliega en Docker o Kubernetes. PR-Agent (MIT) inició esta categoría como una GitHub Action con /review, /improve y /ask como comandos, y una CLI que puedes ejecutar en cualquier lugar. Lo que comparte todo el campo: ninguno de ellos incluye el modelo. Tú aportas tu propia clave de API al proveedor que elijas, y ahí es donde comienza la verdadera historia de los costos.

Self-hosted vs hospedado — el libro mayor que nadie imprime.

Una licencia libre no es una herramienta gratuita. En cuanto autoalojes cualquiera de ellas, eres responsable de cinco cosas:

• Tokens del modelo. El mismo precio de lista que se paga a través de cualquier gateway — el autoalojamiento no los descuenta.

• Un lugar para ejecutarlo. Un servidor, un ejecutor de CI o una plataforma de contenedores con suficiente memoria y un endpoint de webhook abierto.

• El cableado. Permisos del repositorio, ciclo de vida del token, el bucle webhook → revisor → comentario, y actualizaciones cuando cambia la herramienta o el proveedor.

• Protecciones. Un revisor que lee tus diffs puede reenviar secretos al proveedor del modelo, pasar PII a través de una frontera, o caer en una inyección de prompt oculta en un comentario de PR que le indica que apruebe. El código abierto autoalojado te convierte en el equipo de seguridad; ninguno de los READMEs te lo entrega.

• Auditoría. Quién revisó qué, qué modelo, a qué costo y qué se señaló — tú construyes el registro.

Los tokens cuestan lo mismo en ambos lados de la ecuación. Una pasada de revisión típica lee alrededor de 25K tokens de entrada y escribe 4K. A los precios de lista de GPT-5.5 — $5 por millón de entrada, $30 por millón de salida — una pasada cuesta unos $0.245. En DeepSeek V4 Flash, a $0.14 y $0.28 por millón, una pasada de filtrado cuesta una fracción de un centavo. El autoalojamiento no reduce esa factura; sigues pagando el precio de lista del proveedor. Lo que el autoalojamiento compra es privacidad y control, y lo que cuesta es trabajo de operaciones y seguridad.

La ruta alojada con cero margen — OrcaRouter

Aquí es donde la solución de gateway se gana su lugar. OrcaRouter es un gateway de IA con margen del 0%: los precios de lista de los proveedores se aplican tal cual —el sitio declara una "garantía de margen cero"— y admite traer tu propia clave, de modo que puedes usar las claves, los límites de uso y los créditos de los proveedores que ya tienes. Más de doscientos modelos se encuentran tras un único endpoint compatible con OpenAI, y la función de revisión de código está integrada en el propio gateway en lugar de venderse como un producto aparte por usuario. Ese último punto es el que hay que destacar: la revisión es una receta de enrutamiento sobre una infraestructura que quizás ya estés pagando, no otra suscripción.

OrcaCode Review se ejecuta como una receta de dos etapas. Cada push se examina con un modelo frontera económico en segundos; los pases limpios se promueven a un modelo fuerte para un análisis profundo; y los hallazgos P0-P1 hacen fallar el check de GitHub, bloqueando el merge hasta que se corrijan o se omitan. La receta predeterminada se ejecuta en GPT-5.5 a precio de lista, y como es una receta de gateway ordinaria, cualquiera de los pases puede cambiarse a cualquiera de los más de 200 modelos — o dividirse, con un examen económico en DeepSeek V4 Flash y un pase final fuerte en un modelo frontera. Se instala como una GitHub App con un clic, sin secreto de repositorio ni archivo de workflow, o como un solo archivo de workflow para equipos que quieran la acción en su propio CI.

Las salvaguardias que un revisor autoalojado te obliga a construir están activadas por defecto en la puerta de enlace. El Escudo de PII y la política de contenido se aplican antes de que se te facture: una solicitud que las active se intercepta antes de que se cobre un token. El cortafuegos de agentes califica las llamadas de herramientas y MCP antes de que se ejecuten. Cada llamada deja un registro de solicitud (calificación, modelo, latencia, coste), y la plataforma incluye un rastro de auditoría completo con puestos, límites de gasto y RBAC. Para la revisión de código específicamente, los secretos, la PII y la inyección de prompts se enmascaran antes de que los tokens salgan de tu repositorio. Sé preciso sobre lo que esto ofrece: son compuertas previas a la facturación y a la ejecución, más un registro, no una prueba de que tu código es seguro. La revisión encuentra problemas candidatos; un humano sigue tomando la decisión sobre la gravedad de los casos serios.

Lo que realmente cuesta

Haz los cálculos con el estimador que OrcaRouter publica en su página de revisión de código. Un equipo de cinco desarrolladores, 40 pull requests al mes, cuatro pushes por PR, aproximadamente 25 000 tokens de entrada y 4 000 de salida por pasada a los precios de lista de GPT-5.5: unos 53,90 $ al mes en tokens. En comparación, CodeRabbit Pro cuesta 24 $ por desarrollador al mes con facturación anual —unos 120 $ por cinco puestos— y Greptile cuesta 30 $ por puesto. El Bugbot de Cursor pasó a facturación por uso en junio de 2026 a unos 1,00–1,50 $ por revisión. La pasarela factura los tokens que realmente usas al mismo precio de lista que pagarías al proveedor directamente, sin recargo, y BYOK permite que esos tokens salgan de los créditos que ya tienes.

Los productos por asiento te ofrecen pulido y un flujo de trabajo mantenido, y escalan con el número de usuarios, no con el uso. La revisión con precio por token escala con el volumen de revisión. En equipos muy pequeños, el modelo por asiento puede ganar; una vez que el volumen de PR es real, el por token es más barato, y la brecha se amplía a medida que crecen las revisiones.

Cuando esta recomendación es incorrecta

• Tu código no puede salir de tu red. Los equipos aislados deberían autoalojar la herramienta de código abierto — o ejecutar OrcaRouter Enterprise, que puede desplegar toda la puerta de enlace, el enrutador, las salvaguardas y la acción de revisión dentro de tu propia VPC. Ninguna opción alojada supera ese listón, y es una línea de cumplimiento, no una preferencia.

• Quieres cero dependencia de proveedores y control total del prompt. Las herramientas de código abierto son auditables, se pueden bifurcar y son tuyas. La receta de OrcaCode Review es editable, pero sigue alojada. Si el código abierto es una decisión de política en tu empresa, la herramienta de código abierto es la respuesta honesta — y te cuesta el trabajo de seguridad anterior.

• Tu volumen de PR es mínimo. Un puñado de revisiones a la semana no necesita enrutamiento. open-code-review con tu propia clave está realmente bien ahí; la puerta de enlace se justifica una vez que hay suficientes pull requests para amortizarla.

• Vives en GitLab o Bitbucket. La aplicación de revisión con un clic es GitHub hoy en día. ReviewBot cubre de forma nativa GitHub y GitLab, por lo que un equipo de GitLab debería tenerlo en cuenta — o integrar la ruta del archivo de workflow en GitLab CI.

• Tratas la revisión por IA como una certificación. Los LLM se desvían entre ejecuciones, alucinan y no pueden demostrar la explotabilidad. Condiciona el merge a los hallazgos críticos, vuelve a ejecutar después de los arreglos y mantén a un humano responsable de la revisión de arquitectura y diseño. La verificación ligera y el análisis profundo detectan errores reales; no sustituyen a un revisor que conozca el sistema.

La versión corta

El code review abierto en 2026 es real, de código abierto y gratuito solo hasta el límite de la licencia. El open-code-review de Alibaba, el ReviewBot de Qiniu y PR-Agent merecen conocerse: todos son de traer tu propia clave (BYOK), y todos te facturan en tokens de modelo, tiempo de operaciones y trabajo de seguridad. La opción alojada parece más cara hasta que haces los números: en un gateway con margen del 0 % y BYOK factura los mismos precios de lista que pagaría tu configuración autoalojada, y las salvaguardas, el firewall de agentes y el registro de auditoría vienen incluidos. Empieza ahí, y autoaloja cuando el código no pueda salir del edificio.

Si la ruta alojada es donde esto aterriza, el recorrido completo — y el estimador de costos — está ennuestra página de revisión de código: una pasarela con recargo del 0%, tus propias claves de modelo y hallazgos P0-P1 que condicionan la fusión. Instala la GitHub App gratis, sin tarjeta de crédito.