Cascavel

Les projets qui suivent les meilleures pratiques ci-dessous peuvent s'auto-certifier et montrer qu'ils ont obtenu le badge de la Open Source Security Foundation (OpenSSF).

Il n'existe aucun ensemble de pratiques qui garantissent que ce logiciel n'aura jamais de défauts ou de vulnérabilités ; même les méthodes formelles peuvent échouer si les spécifications ou les hypothèses sont fausses. Il n'y a pas non plus de pratiques qui peuvent garantir qu'un projet permettra de maintenir une communauté de développement saine et qui fonctionne bien. Toutefois, suivre les meilleures pratiques peut contribuer à améliorer les résultats des projets. Par exemple, certaines pratiques permettent la revue par plusieurs personnes avant publication, ce qui peut aider à trouver des vulnérabilités techniques difficiles à trouver autrement et à renforcer la confiance et un désir d'interaction répétée entre les développeurs de différentes entreprises. Pour gagner un badge, tous les critères DOIT et NE DOIT PAS doivent être satisfaits, tous les critères DEVRAIT doivent être satisfaits OU non satisfaits avec justification, et tous les critères PROPOSÉ doivent être satisfaits OU non satisfaits (nous voulons au moins qu'ils soient considérés). Si vous voulez entrer un texte de justification pour un commentaire générique, au lieu d'une raison justifiant que la situation est acceptable, commencez le bloc de texte avec '//' suivi d'un espace. Les commentaires sont les bienvenus via le site GitHub en tant que problèmes ou pull requests. Il existe également une liste de diffusion pour discussion générale.

Nous fournissons volontiers l'information dans plusieurs langues, cependant, s'il existe un conflit ou une contradiction entre les traductions, la version anglaise est la version qui fait autorité.
Si c'est votre projet, veuillez afficher votre statut de badge de référence sur la page de votre projet ! Le statut du badge de référence ressemble à ceci : Le niveau du badge de référence pour le projet 12255 est baseline-3 Voici comment intégrer le badge de référence :
Vous pouvez afficher votre statut de badge de référence en incorporant ceci dans votre fichier markdown :
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/12255/baseline)](https://www.bestpractices.dev/projects/12255)
ou en incorporant ceci dans votre HTML :
<a href="https://www.bestpractices.dev/projects/12255"><img src="https://www.bestpractices.dev/projects/12255/baseline"></a>


Voici les critères du niveau de référence 1. Ces critères proviennent de la version de référence v2025.10.10 avec le texte des critères mis à jour depuis la version v2026.02.19. Les critères nouveaux dans la version v2026.02.19 sont étiquetés « futur » et commenceront à être appliqués à partir du 2026-06-01. Veuillez fournir des réponses aux critères « futur » avant cette date.

Baseline Series: Niveau de référence 1 Niveau de référence 2 Niveau de référence 3

        

 Notions de base

  • Général

    Notez que d'autres projets peuvent utiliser le même nom.

    Quantum Security Framework | 85 plugins | 30+ recon tools | Cinematic terminal UX | PDF/MD/JSON reports | CI/CD hardened | Red Team Intelligence Engine

    Utilisez un format d'expression de licence SPDX ; des exemples sont « Apache-2.0 », « BSD-2-Clause », « BSD-3-Clause », « GPL-2.0+ », « LGPL-3.0+ », « MIT » et « (BSD-2-Clause OU Ruby) ». Ne pas inclure des guillemets simples ou doubles.
    S'il y a plus d'un langage, listez-les en tant que valeurs séparées par des virgules (espaces facultatifs) et triez-les du plus au moins utilisé. S'il y a une longue liste, veuillez lister au moins les trois premiers. S'il n'y a pas de langage (par exemple, il s'agit d'un projet uniquement de documentation ou de test), utilisez le caractère unique « - ». Utilisez une capitalisation conventionnelle pour chaque langage, par exemple « JavaScript ».
    La plate-forme commune d'énumération (CPE) est un schéma de dénomination structuré pour les systèmes, les logiciels et les paquetages des technologies de l'information. Il est utilisé dans un certain nombre de systèmes et de bases de données pour signaler des vulnérabilités.

 Contrôles 25/25 ●

  • Contrôles


    Assez pour un badge !

    Lorsqu'un utilisateur tente de lire ou de modifier une ressource sensible dans le dépôt faisant autorité du projet, le système DOIT exiger que l'utilisateur termine un processus d'authentification multi-facteurs. [OSPS-AC-01.01]
    Imposer l'authentification multi-facteurs pour le système de contrôle de version du projet, exigeant des collaborateurs qu'ils fournissent une seconde forme d'authentification lors de l'accès aux données sensibles ou de la modification des paramètres du dépôt. Les passkeys sont acceptables pour ce contrôle.

    GitHub requires 2FA for all organization members since March 2023. RET Tecnologia (rettecnologia.org), the company behind Cascavel, enforces Multi-Factor Authentication organization-wide for all contributors, including hardware key support.


    Assez pour un badge !

    Lorsqu'un nouveau collaborateur est ajouté, le système de contrôle de version DOIT exiger une attribution manuelle de permissions, ou restreindre les permissions du collaborateur aux privilèges disponibles les plus bas par défaut. [OSPS-AC-02.01]
    La plupart des systèmes de contrôle de version publics sont configurés de cette manière. Assurez-vous que le système de contrôle de version du projet attribue toujours les permissions les plus basses disponibles aux collaborateurs par défaut lorsqu'ils sont ajoutés, accordant des permissions supplémentaires uniquement lorsque cela est nécessaire.

    GitHub assigns read-only permissions to new collaborators by default. RET Tecnologia follows the Principle of Least Privilege — elevated repository access is granted only after formal code review qualification and team lead approval.


    Assez pour un badge !

    Lorsqu'un commit direct est tenté sur la branche principale du projet, un mécanisme d'application DOIT empêcher la modification d'être appliquée. [OSPS-AC-03.01]
    Si le VCS est centralisé, définissez une protection de branche sur la branche principale dans le VCS du projet. Alternativement, utilisez une approche décentralisée, comme celle du noyau Linux, où les modifications sont d'abord proposées dans un autre dépôt, et la fusion des modifications dans le dépôt principal nécessite un acte distinct spécifique.

    Branch protection rules on main require pull request reviews before merge. Direct commits blocked. GitHub Settings > Branches > Branch protection for main. https://github.com/glferreira-devsecops/Cascavel/settings/branches


    Assez pour un badge !

    Lorsqu'une tentative est faite de supprimer la branche principale du projet, le système de contrôle de version DOIT traiter cela comme une activité sensible et exiger une confirmation explicite de l'intention. [OSPS-AC-03.02]
    Définissez une protection de branche sur la branche principale dans le système de contrôle de version du projet pour empêcher la suppression.

    Branch protection on main prevents primary branch deletion. GitHub requires explicit admin confirmation. Force-push to main is also blocked to preserve commit history integrity.


    Assez pour un badge !

    Lorsqu'un pipeline CI/CD accepte un paramètre d'entrée, ce paramètre DOIT être assaini et validé avant d'être utilisé dans le pipeline. [OSPS-BR-01.01]
    Les pipelines CI/CD doivent assainir (mettre entre guillemets, échapper ou quitter pour les valeurs attendues) toutes les entrées de métadonnées correspondant à des sources non fiables. Cela inclut des données telles que les noms de branches, les messages de commit, les tags, les titres des pull requests et les informations sur l'auteur.

    All 5 CI/CD workflows (ci.yml, security.yml, codeql.yml, scorecard.yml, stale.yml) use pinned GitHub Actions with commit SHA hashes — never mutable tags. Top-level permissions: {} with explicit per-job permissions following OpenSSF Scorecard Token-Permissions check. https://github.com/glferreira-devsecops/Cascavel/tree/main/.github/workflows


    Assez pour un badge !

    (Critère futur) Lorsqu'un pipeline CI/CD opère sur des instantanés de code non fiables, il DOIT empêcher l'accès aux identifiants et aux ressources privilégiés du CI/CD. [OSPS-BR-01.03]
    Les pipelines CI/CD doivent isoler les instantanés de code non fiables des identifiants et des ressources privilégiés. En particulier, les projets doivent veiller à ce que les workflows qui compilent ou exécutent du code avant examen par un collaborateur n'aient pas accès aux identifiants CI/CD.

    Pull requests from forks run in isolated environments without access to repository secrets or GITHUB_TOKEN write permissions. Workflows use pull_request event (not pull_request_target) for code from external contributors.


    Assez pour un badge !

    Lorsque le projet liste un URI comme canal officiel du projet, cet URI DOIT être exclusivement fourni en utilisant des canaux chiffrés. [OSPS-BR-03.01]
    Configurez les sites Web et les systèmes de contrôle de version du projet pour utiliser des canaux chiffrés tels que SSH ou HTTPS pour la transmission de données. Assurez-vous que tous les outils et domaines référencés dans la documentation du projet ne peuvent être accessibles que via des canaux chiffrés.

    All project URIs use HTTPS exclusively: https://cascavel.pages.dev (project site with HSTS preload), https://github.com/glferreira-devsecops/Cascavel (repository), https://rettecnologia.org (RET Tecnologia corporate site). Zero HTTP endpoints.


    Assez pour un badge !

    Lorsque le projet liste un URI comme canal de distribution officiel, cet URI DOIT être exclusivement fourni en utilisant des canaux chiffrés. [OSPS-BR-03.02]
    Configurez le pipeline de publication du projet pour récupérer uniquement les données des sites Web, réponses API et autres services qui utilisent des canaux chiffrés tels que SSH ou HTTPS pour la transmission de données.

    All distribution channels use HTTPS: GitHub releases served over HTTPS with TLS 1.3, pip install via PyPI over HTTPS, Cloudflare Pages with HSTS preload (max-age=63072000, includeSubDomains, preload). No plaintext HTTP distribution.


    Assez pour un badge !

    Le projet DOIT empêcher le stockage involontaire de données sensibles non chiffrées, telles que des secrets et des informations d'identification, dans le système de contrôle de version. [OSPS-BR-07.01]
    Configurez .gitignore ou équivalent pour exclure les fichiers susceptibles de contenir des informations sensibles. Utilisez des hooks de pré-commit et des outils d'analyse automatisés pour détecter et empêcher l'inclusion de données sensibles dans les commits.

    .gitignore excludes sensitive files (*.env, credentials, API keys, tokens, private keys). Gitleaks v8 integrated in CI/CD pipeline (security.yml) scans every commit and PR for leaked secrets using comprehensive regex rules. https://github.com/glferreira-devsecops/Cascavel/blob/main/.github/workflows/security.yml


    Assez pour un badge !

    Lorsque le projet a effectué une publication, la documentation du projet DOIT inclure des guides utilisateur pour toutes les fonctionnalités de base. [OSPS-DO-01.01]
    Créez des guides utilisateur ou de la documentation pour toutes les fonctionnalités de base du projet, en expliquant comment installer, configurer et utiliser les fonctionnalités du projet. S'il existe des actions dangereuses ou destructrices connues disponibles, incluez des avertissements très visibles.

    README.md (EN) and README.pt-BR.md (PT-BR) provide comprehensive documentation: installation guide (pip install), configuration, CLI arguments (--help), 85 plugin descriptions across 14 security categories, output formats (PDF/MD/JSON), architecture overview, and OSINT reconnaissance toolkit. Cascavel is an open-source product by RET Tecnologia — Engenharia de Software de Alta Performance. https://github.com/glferreira-devsecops/Cascavel/blob/main/README.md


    Assez pour un badge !

    Lorsque le projet a effectué une publication, la documentation du projet DOIT inclure un guide pour signaler les défauts. [OSPS-DO-02.01]
    Il est recommandé que les projets utilisent le suivi de problèmes par défaut de leur VCS. Si une source externe est utilisée, assurez-vous que la documentation du projet et le guide de contribution expliquent clairement et visiblement comment utiliser le système de signalement. Il est recommandé que la documentation du projet établisse également des attentes quant à la manière dont les défauts seront triés et résolus.

    SECURITY.md provides complete vulnerability and defect reporting procedures: private reporting via GitHub Security Advisories, email contact, coordinated disclosure timeline (90-day fix window), response SLA (48h initial response), and remediation process. https://github.com/glferreira-devsecops/Cascavel/blob/main/SECURITY.md


    Assez pour un badge !

    Tant qu'il est actif, le projet DOIT avoir un ou plusieurs mécanismes pour des discussions publiques sur les modifications proposées et les obstacles d'utilisation. [OSPS-GV-02.01]
    Établissez un ou plusieurs mécanismes pour des discussions publiques au sein du projet, tels que des listes de diffusion, de la messagerie instantanée ou des systèmes de suivi de problèmes, pour faciliter une communication et des retours ouverts.

    Multiple public communication channels: GitHub Issues (bug reports, feature requests), GitHub Discussions (usage questions, community), Pull Requests (proposed changes with code review). All publicly accessible, searchable, and indexed.


    Assez pour un badge !

    Tant qu'il est actif, la documentation du projet DOIT inclure une explication du processus de contribution. [OSPS-GV-03.01]
    Créez un fichier CONTRIBUTING.md ou un répertoire CONTRIBUTING/ pour décrire le processus de contribution, y compris les étapes pour soumettre des modifications et interagir avec les mainteneurs du projet.

    CONTRIBUTING.md documents the full contribution process: fork workflow, branch naming conventions, commit message format, PR creation guidelines, code review requirements, CI/CD check requirements, and merge criteria. https://github.com/glferreira-devsecops/Cascavel/blob/main/CONTRIBUTING.md


    Assez pour un badge !

    Tant qu'il est actif, la licence du code source DOIT répondre à la définition de l'Open Source de l'OSI ou à la définition du logiciel libre de la FSF. [OSPS-LE-02.01]
    Ajoutez un fichier LICENSE au dépôt du projet avec une licence qui est une licence approuvée par l'Open Source Initiative (OSI), ou une licence libre approuvée par la Free Software Foundation (FSF). Des exemples de telles licences incluent MIT, BSD 2-clause, BSD 3-clause révisée, Apache 2.0, Lesser GNU General Public License (LGPL) et GNU General Public License (GPL). Publier dans le domaine public répond à ce contrôle s'il n'y a pas d'autres restrictions telles que des brevets.

    MIT license — approved by the Open Source Initiative (OSI) and the Free Software Foundation (FSF). RET Tecnologia releases Cascavel as fully open-source software, enabling commercial and non-commercial use, modification, and distribution.


    Assez pour un badge !

    Tant qu'il est actif, la licence des ressources logicielles publiées DOIT répondre à la définition de l'Open Source de l'OSI ou à la définition du logiciel libre de la FSF. [OSPS-LE-02.02]
    Si une licence différente est incluse avec les ressources logicielles publiées, assurez-vous qu'il s'agit d'une licence approuvée par l'Open Source Initiative (OSI), ou d'une licence libre approuvée par la Free Software Foundation (FSF). Des exemples de telles licenses incluent MIT, BSD 2-clause, BSD 3-clause révisée, Apache 2.0, Lesser GNU General Public License (LGPL) et GNU General Public License (GPL). Notez que la licence des ressources logicielles publiées peut être différente de celle du code source.

    All released software assets distributed under MIT license (OSI-approved). License consistent across all GitHub releases, source distributions, and repository archives. No proprietary components.


    Assez pour un badge !

    Tant qu'il est actif, la licence du code source DOIT être maintenue dans le fichier LICENSE, le fichier COPYING ou le répertoire LICENSE/ du dépôt correspondant. [OSPS-LE-03.01]
    Incluez la licence du code source du projet dans le fichier LICENSE, le fichier COPYING ou le répertoire LICENSE/ du projet pour fournir visibilité et clarté sur les termes de la licence. Le nom de fichier PEUT avoir une extension. Si le projet a plusieurs dépôts, assurez-vous que chaque dépôt inclut le fichier de licence.

    LICENSE file maintained in repository root with complete MIT license text, including copyright holder (Gabriel Lima Ferreira / RET Tecnologia). https://github.com/glferreira-devsecops/Cascavel/blob/main/LICENSE


    Assez pour un badge !

    Tant qu'il est actif, la licence des ressources logicielles publiées DOIT être incluse dans le code source publié, ou dans un fichier LICENSE, un fichier COPYING ou un répertoire LICENSE/ aux côtés des ressources de publication correspondantes. [OSPS-LE-03.02]
    Incluez la licence des ressources logicielles publiées du projet dans le code source publié, ou dans un fichier LICENSE, un fichier COPYING ou un répertoire LICENSE/ aux côtés des ressources de publication correspondantes pour fournir visibilité et clarté sur les termes de la licence. Le nom de fichier PEUT avoir une extension. Si le projet a plusieurs dépôts, assurez-vous que chaque dépôt inclut le fichier de licence.

    LICENSE file included in repository root and automatically part of all source code distributions. GitHub release archives (.zip, .tar.gz) include LICENSE. PyPI sdist includes LICENSE.


    Assez pour un badge !

    Pendant son activité, le référentiel de code source du projet DOIT être publiquement lisible à une URL statique. [OSPS-QA-01.01]
    Utilisez un VCS commun tel que GitHub, GitLab ou Bitbucket. Assurez-vous que le référentiel est publiquement lisible. Évitez la duplication ou la mise en miroir de référentiels à moins qu'une documentation très visible ne clarifie la source principale. Évitez les changements fréquents du référentiel qui affecteraient l'URL du référentiel. Assurez-vous que le référentiel est public.

    Public repository hosted on GitHub at stable, permanent URL: https://github.com/glferreira-devsecops/Cascavel — accessible worldwide without authentication.


    Assez pour un badge !

    Le système de contrôle de version DOIT contenir un enregistrement publiquement lisible de toutes les modifications apportées, qui les a apportées et quand elles ont été apportées. [OSPS-QA-01.02]
    Utilisez un VCS commun tel que GitHub, GitLab ou Bitbucket pour maintenir un historique de commits publiquement lisible. Évitez de fusionner ou de réécrire les commits d'une manière qui obscurcirait l'auteur de tout commit.

    Full git commit history publicly readable on GitHub. All commits attributed to verified authors with GPG signatures, timestamps, and complete diff history. No force-pushes or history rewrites on main branch.


    Assez pour un badge !

    Lorsque le système de gestion de paquets le prend en charge, le référentiel de code source DOIT contenir une liste de dépendances qui tient compte des dépendances directes du langage. [OSPS-QA-02.01]
    Cela peut prendre la forme d'un fichier de gestionnaire de paquets ou de dépendances de langage qui énumère toutes les dépendances directes telles que package.json, Gemfile ou go.mod.

    requirements.txt contains all direct Python dependencies with pinned exact versions (e.g., requests==2.32.3, beautifulsoup4==4.12.3, reportlab==4.1.0). CI/CD validates dependency resolution on every build. https://github.com/glferreira-devsecops/Cascavel/blob/main/requirements.txt


    Assez pour un badge !

    Pendant son activité, la documentation du projet DOIT contenir une liste de tous les codes sources qui sont considérés comme des sous-projets. [OSPS-QA-04.01]
    Documentez tous les référentiels de code de sous-projets supplémentaires produits par le projet et compilés dans une version. Cette documentation doit inclure l'état et l'intention du code source respectif.

    Single-repository project. No additional codebases, subprojects, or federated components. All Cascavel source code, plugins (85), tests, CI/CD workflows, and documentation reside in one monorepo.


    Assez pour un badge !

    Pendant son activité, le système de contrôle de version NE DOIT PAS contenir d'artefacts exécutables générés. [OSPS-QA-05.01]
    Supprimez les artefacts exécutables générés dans le système de contrôle de version du projet. Il est recommandé que tout scénario où un artefact exécutable généré apparaît critique pour un processus tel que les tests, il devrait plutôt être généré au moment de la compilation ou stocké séparément et récupéré lors d'une étape de pipeline spécifique bien documentée.

    No generated executable artifacts committed to VCS. .gitignore excludes compiled Python files (.pyc, .pyo, .pyd), distribution packages (dist/, build/, *.egg-info), and all build artifacts. Repository contains only source code.


    Assez pour un badge !

    Pendant son activité, le système de contrôle de version NE DOIT PAS contenir d'artefacts binaires non révisables. [OSPS-QA-05.02]
    N'ajoutez aucun artefact binaire non révisable au système de contrôle de version du projet. Cela inclut les binaires d'applications exécutables, les fichiers de bibliothèque et les artefacts similaires. Cela n'inclut pas les ressources telles que les images graphiques, les fichiers sonores ou musicaux et le contenu similaire généralement stocké dans un format binaire.

    No unreviewable binary artifacts in repository. All content is human-reviewable: Python source code, markdown documentation, YAML CI/CD configuration, JSON test fixtures, and standard PNG images for documentation only.


    Assez pour un badge !

    Pendant son activité, la documentation du projet DOIT contenir des contacts de sécurité. [OSPS-VM-02.01]
    Créez un fichier security.md (ou portant un nom similaire) qui contient les contacts de sécurité pour le projet.

    SECURITY.md contains security contacts (email + GitHub Security Advisories), detailed vulnerability reporting procedures, coordinated disclosure timeline, and response SLA. RET Tecnologia maintains a dedicated security response team. https://github.com/glferreira-devsecops/Cascavel/blob/main/SECURITY.md


    Assez pour un badge !

    (Critère obsolète) Lorsqu'un pipeline CI/CD utilise un nom de branche dans sa fonctionnalité, cette valeur de nom DOIT être assainie et validée avant d'être utilisée dans le pipeline. [OSPS-BR-01.02]

    All CI/CD workflows use pinned actions with commit SHA hashes (dereferenced from annotated tags). No branch names, commit messages, PR titles, or any untrusted metadata interpolated into shell commands or workflow expressions.



Ces données sont disponibles sous la licence Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Cela signifie qu'un destinataire de données peut partager les données, avec ou sans modifications, à condition que le destinataire de données rende disponible le texte de cet accord avec les données partagées. Veuillez créditer Gabriel Lima Ferreira et les contributeurs du badge des meilleures pratiques de la OpenSSF.

Soumission du badge du projet appartenant à : Gabriel Lima Ferreira.
Soumission créée le 2026-03-25 00:33:39 UTC, dernière mise à jour le 2026-03-25 05:06:47 UTC. Le dernier badge obtenu l'a été le 2026-03-25 02:39:20 UTC.