InsideApp — Guarda dentro il software

Un'applicazione locale e gratuita per capire come sono fatte le applicazioni che possiedi o che sei autorizzato ad analizzare. Per creare il rapporto InsideApp legge i file senza eseguire il software analizzato e scrive in italiano, con una prova verificabile per ogni affermazione.

Come installarlo Codice su GitHub

Open source, licenza MIT
Funziona offline, sul tuo Mac
Nessun account, nessuna chiave API
Claude Code facoltativo

Come funziona

Seleziona Scegli un'applicazione, un file o una cartella con la finestra di sistema, dopo aver dichiarato che puoi analizzarla.
Analizza InsideApp legge la struttura del software in modo statico. Vedi la fase e il tempo trascorso, e puoi annullare.
Comprendi Leggi il rapporto: componenti, comunicazioni, dati e file, sicurezza, limiti.
Esporta Salva il rapporto in HTML o Markdown, oppure stampalo o salvalo in PDF.

Quattro classi, senza ambiguità

Osservato: Letto direttamente dai byte o dal codice dell'applicazione.
Derivato: Dedotto dall'analisi statica con confidenza alta, ad esempio un collegamento tra file.
Ipotesi: Possibile ma non dimostrato, come una capacità suggerita da una libreria importata.
Sconosciuto: Non determinabile con l'analisi eseguita. Un elemento non trovato non dimostra che sia assente.

Ogni affermazione indica la sua prova: file, posizione, impronta SHA-256 e identificativo Evidence del motore.

Formati supportati

Cosa compare nel rapporto per ciascun formato
Formato	Nel rapporto	Non incluso
App Electron e JavaScript cartelle o file `.asar`	Processo principale, preload, finestre e impostazioni di sicurezza, canali IPC, API esposte all'interfaccia, moduli usati.	Comportamento durante l'esecuzione: l'app non viene avviata.
App macOS `.app`	Struttura e dimensione misurata; da Info.plist identità, versione, sistema minimo, permessi dichiarati e schemi URL; architetture e librerie dell'eseguibile; firma, Hardened Runtime ed entitlement.	Verifica della firma presso Apple; decompilazione.
Eseguibili Windows `.exe`, `.dll`	Intestazioni e architettura, EXE o DLL, .NET o codice nativo, DLL importate, risorse, presenza della firma Authenticode, funzioni esportate. Le capacità suggerite dalle importazioni sono indicate come Ipotesi.	Nomi e permessi delle sezioni; verifica dei certificati; decompilazione.
Database SQLite	Tabelle con colonne e tipi, indici, viste e trigger, letti da una copia privata.	Il contenuto delle righe: non viene mai letto. Database cifrati.
Altri file	Formato riconosciuto, dimensione, contenuti di archivi, integrità.	Analisi specifiche non disponibili per quel formato.

Reverse engineering del codice nativo. Con Ghidra, motore gratuito e open source installato con ./scripts/install-ghidra.sh, la sezione Reverse Engineering dell'interfaccia mostra funzioni individuate, disassemblaggio, pseudocodice del decompilatore, flusso di controllo, chiamate e stringhe di file .exe, .dll, Mach-O ed ELF. Verificato su macOS Apple Silicon; il programma non viene mai eseguito.

Due modalità, un solo motore

Modalità autonoma

L'interfaccia si apre nel browser del tuo Mac con ./scripts/insideapp.sh gui e funziona solo su questo computer. Crea il rapporto e, con Ghidra installato, esplora il codice nella sezione Reverse Engineering: funzioni, disassemblaggio, pseudocodice, flusso di controllo, riferimenti, stringhe e rapporto tecnico. Il rapporto è disponibile anche da terminale con ./scripts/insideapp.sh report.

Non serve Claude Code, non serve un account e non serve una chiave API.

Claude Code, se vuoi

Chi usa già Claude Code può collegarlo al server MCP del progetto (.mcp.json), dopo averlo approvato in Claude Code. Claude Code usa così gli strumenti di analisi statica del motore, compreso create_report e, con Ghidra installato, funzioni, disassemblaggio e decompilazione. Lavora nel proprio ambiente, fuori dall'interfaccia di InsideApp, sotto il tuo controllo. La configurazione resta nella cartella del progetto, senza modifiche globali.

Claude Code richiede un proprio abbonamento: il testo che gli invii viene elaborato secondo le sue condizioni. InsideApp non invia nulla da solo.

Sicurezza e privacy

Rapporti senza esecuzione. Per i rapporti e nell'interfaccia il software analizzato viene letto, mai avviato né emulato. Gli strumenti dinamici del motore (debugger, Frida, cattura di scenari, osservazione di app e pagine in esecuzione, accesso a dispositivi Android), da terminale o con Claude Code, sono disattivati: funzionano solo se avvii tu InsideApp con un consenso esplicito per l'analisi dinamica.
Tutto in locale. Nessun file o rapporto viene inviato in rete e non c'è telemetria. Le poche funzioni che usano la rete, come l'analisi di un sito web, partono solo su tua richiesta.
Solo ciò che scegli. Si analizza un elemento alla volta, dopo la tua dichiarazione di autorizzazione. La radice del disco, le cartelle di primo livello e la cartella Inizio sono escluse.
Interfaccia protetta. Il server ascolta solo su 127.0.0.1, con un codice monouso a ogni avvio, cookie di sessione protetto e controlli contro DNS rebinding e CSRF.
Rapporti senza percorsi. I rapporti esportati dall'interfaccia non contengono il percorso dell'elemento sul tuo computer; i dati delle tabelle SQLite non vengono letti.
Questo sito è una pagina statica: non riceve file, non usa cookie, analytics né risorse di terze parti. È ospitato su Cloudflare Pages, che tratta i dati tecnici di connessione necessari a servirlo.

Avvertenza sull'utilizzo

InsideApp è destinato esclusivamente ad attività lecite e autorizzate. Prima di usarlo, assicurati di avere il diritto di analizzare i file e le applicazioni selezionati.

Su dispositivi aziendali, scolastici o gestiti da terzi, installazione ed esecuzione devono essere consentite dalle policy applicabili e, quando richiesto, autorizzate dal responsabile competente. L'accesso a un dispositivo non autorizza ad analizzare tutti i software e i dati presenti.
InsideApp non deve essere usato per aggirare sistemi di sicurezza, restrizioni amministrative o controlli informatici.
I rapporti possono contenere informazioni tecniche riservate: condividerli con Claude Code o altri servizi esterni è una tua scelta e deve rispettare gli obblighi di riservatezza e le policy applicabili.

Testo completo, con responsabilità e garanzia: avvertenza sull'utilizzo.

Installazione e primo avvio

Non esiste ancora un programma d'installazione: InsideApp si installa dal codice sorgente con il Terminale. Tutto resta nella cartella del progetto e in ~/.insideapp/; il Node.js del sistema e gli altri progetti non vengono toccati.

Sistemi e requisiti

Verificato Mac con Apple Silicon (arm64), macOS 26.
Non verificato Mac con processore Intel; Linux (previsto dal codice originale, non provato in InsideApp).
Non supportato Windows.
Git e il Terminale di macOS; circa 1,5 GB di spazio libero; una connessione Internet solo durante l'installazione, per scaricare Node.js e le dipendenze.

1. Scarica il codice

git clone https://github.com/pezzaliapp/InsideApp.git ~/InsideApp

2. Node.js in una cartella isolata

V=v24.22.1
mkdir -p ~/.insideapp/download ~/.insideapp/toolchain
cd ~/.insideapp/download
curl -fsSLO https://nodejs.org/dist/$V/SHASUMS256.txt
curl -fsSLO https://nodejs.org/dist/$V/node-$V-darwin-arm64.tar.xz
grep " node-$V-darwin-arm64.tar.xz\$" SHASUMS256.txt | shasum -a 256 -c -
tar -xJf node-$V-darwin-arm64.tar.xz -C ~/.insideapp/toolchain

3. Dipendenze e compilazione

cd ~/InsideApp
export PATH="$HOME/.insideapp/toolchain/node-v24.22.1-darwin-arm64/bin:$PATH"
npm ci --ignore-scripts --no-audit --no-fund --no-update-notifier
npm run build:cached

4. Primo avvio

./scripts/insideapp.sh gui

Si apre il browser predefinito sull'interfaccia locale. La chiudi con il pulsante «Chiudi InsideApp» o con Ctrl+C nel Terminale. Per aggiornare: git pull, poi ripeti il passo 3.

Facoltativo: Ghidra per il reverse engineering

./scripts/install-ghidra.sh
./scripts/insideapp.sh doctor

Scarica la release ufficiale di Ghidra (circa 570 MB) e ne verifica l'impronta, la estrae in ~/.insideapp/tools/ e su macOS ne compila il decompilatore con gli Strumenti da riga di comando di Xcode. Serve un JDK 21 o successivo già installato, ad esempio Eclipse Temurin.

Facoltativo: Claude Code

Avvia claude dalla cartella ~/InsideApp, approva il server insideapp quando Claude Code lo chiede e controlla con /mcp.

Domande frequenti

InsideApp avvia le applicazioni che analizza?

Non per i rapporti e nell'interfaccia: InsideApp legge i file e la loro struttura. Per alcune informazioni usa strumenti di sola lettura del sistema, come codesign e plutil, ma l'applicazione analizzata non viene eseguita. Da terminale o con Claude Code esistono anche strumenti dinamici (debugger, Frida, cattura di scenari, osservazione di app e pagine in esecuzione, accesso a dispositivi Android), quasi sempre basati su programmi da installare a parte. Sono disattivati e la dichiarazione per l'analisi statica non basta ad attivarli: servono un tuo consenso esplicito all'avvio di InsideApp e un ambiente isolato.

Serve Claude Code o un abbonamento?

No. La modalità autonoma è completa e gratuita. Claude Code è un'integrazione facoltativa per chi lo usa già, con il proprio abbonamento.

I miei file vengono inviati da qualche parte?

No. L'analisi avviene sul tuo Mac e InsideApp non contatta servizi esterni, salvo le funzioni di rete che chiedi esplicitamente. Se usi Claude Code, ciò che gli invii o che il server MCP gli restituisce viene elaborato dal servizio di Anthropic.

Posso analizzare qualsiasi applicazione?

Solo software tuo o che sei autorizzato ad analizzare. InsideApp chiede una dichiarazione esplicita prima di ogni analisi e non aiuta ad aggirare protezioni, licenze o DRM.

Posso usarlo su un computer aziendale o della scuola?

Solo se le policy dell'organizzazione lo consentono e, quando richiesto, con l'autorizzazione del responsabile competente. InsideApp non chiede privilegi di amministratore e non va usato per aggirare restrizioni o controlli.

Funziona su Windows o Linux?

Oggi è verificato solo su Mac con Apple Silicon. Può analizzare file Windows, ma su Windows non è supportato: esistono adattatori sperimentali, non ancora verificati su un computer Windows reale. Linux non è ancora stato provato.

Può decompilare un programma?

Sì, con Ghidra, gratuito e open source, installato con ./scripts/install-ghidra.sh: la sezione Reverse Engineering mostra pseudocodice, disassemblaggio e flusso di controllo delle funzioni. Il pseudocodice è una ricostruzione, non il sorgente originale. Verificato su macOS Apple Silicon.

Quanto costa?

Niente. InsideApp è open source con licenza MIT e non usa servizi a pagamento. Solo Claude Code, se scegli di usarlo, richiede un tuo abbonamento.

Licenza, autore e attribuzioni

InsideApp è sviluppato da Alessandro Pezzali (PezzaliAPP) ed è distribuito con licenza MIT.

È un'opera derivata da REA — Reverse Engineer Anything (licenza MIT, © 2026 morluto). InsideApp non è affiliato, sponsorizzato né approvato dagli autori di REA. Le licenze dei componenti di terze parti sono conservate nel repository.