timetracker

本サイトが提示する下記のベストプラクティスを実行するプロジェクトは、Open Source Security Foundation (OpenSSF) バッジを達成したことを自主的に自己認証し、そのことを外部に示すことができます。

ソフトウェアに欠陥や脆弱性がないことを保証する手立てはありません。形式論的な証明ができたとしても、仕様や前提が間違っていると誤動作の可能性があります。また、プロジェクトが健全で、かつ機能的な開発コミュニティであり続けることを保証する手立てもありません。しかし、ベストプラクティスの採用は、プロジェクトの成果の向上に寄与する可能性があります。たとえば、いくつものベストプラクティスがリリース前の複数人によるレビューを定めていますが、それによりレビュー以外では発見困難な技術的脆弱性を見つけるのを助け、同時に異なる企業の開発者間の信頼を築き、さらに交流を続けることに対する意欲を生んでいます。バッジを獲得するには、すべてのMUSTおよびMUST NOT基準を満たさなければなりません。すべてのSHOULD基準も満たさなければなりませんが、正当な理由がある場合は満たさなくても構いません。そしてすべてのSUGGESTED基準も満たさなければなりませんが、満たさないとしても、少なくとも考慮することが望まれます。フィードバックは、 GitHubサイトのissueまたはpull requestとして提示されれば歓迎します。また、議論のためのメールリストも用意されています。

私たちは多言語で情報を提供していますが、翻訳版に矛盾や意味の不一致がある場合は、英語版を正式な記述とします。
これがあなたのプロジェクトである場合は、プロジェクトページにベースラインバッジステータスを表示してください！ベースラインバッジステータスは次のようになります： プロジェクト11719のベースラインバッジレベルはbaseline-1です ベースラインバッジを埋め込む方法は次のとおりです：
ベースラインバッジステータスを表示するには、マークダウンファイルに以下を埋め込みます：
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/11719/baseline)](https://www.bestpractices.dev/projects/11719)
または、HTMLに以下を埋め込みます：
<a href="https://www.bestpractices.dev/projects/11719"><img src="https://www.bestpractices.dev/projects/11719/baseline"></a>


これらはベースラインレベル2の基準です。 これらは基準バージョン v2026.08.28 の評価項目です。

Baseline Series: ベースラインレベル1 ベースラインレベル2 ベースラインレベル3

        

 基本的情報

  • 一般

    他のプロジェクトが同じ名前を使用していないか注意してください。

    Simple time tracking front end with optional Jira synchronization, AD/LDAP integration and XLSX export.

    SPDXライセンスの表現形式を使用してください。 例：「Apache-2.0」、「BSD-2-Clause」、「BSD-3-Clause」、「GPL-2.0+」、「LGPL-3.0+」、「MIT」、「(BSD-2-Clause OR Ruby)」。一重引用符または二重引用符を含めないでください。
    複数の言語がある場合は、コンマを区切り（スペースを入れてもよい）としてリストし、使用頻度の高いものから順に並べます。使用言語が多くある場合は、少なくとも最初の3つの最も多く使われるものをリストアップしてください。言語がない場合（例：ドキュメントだけ、またはテスト専用のプロジェクトの場合）、1文字 " - "を使用します。言語ごとにある大文字・小文字の慣用を踏襲してください（例：「JavaScript」）。
    Common Platform Enumeration（CPE）は、情報技術（IT）システム、ソフトウェア、およびパッケージのための構造化された命名体系です。脆弱性を報告する際に、多くのシステムやデータベースで使用されています。

 管理策 14/19 ●

  • 管理策


    バッジには不十分です。

    CI/CDタスクが権限を指定せずに実行される場合、CI/CDシステムはパイプラインで付与される最低限の権限をタスクの権限としてデフォルトで設定しなければなりません。 [OSPS-AC-04.01]
    プロジェクトの設定を構成して、デフォルトで新しいパイプラインに利用可能な最低限の権限を割り当て、特定のタスクに必要な場合にのみ追加の権限を付与します。

    The repository's Actions setting 'Default workflow permissions' is currently set to 'Read and write permissions', so a job that omits a permissions block receives write access rather than the lowest permissions in the pipeline. All existing workflows do declare explicit minimal permissions (permissions: {} or contents: read), but the default itself is not restricted. Verified in the repository Actions settings on 2026-09-18. Switching the default to read-only is planned.


    バッジには十分です！

    公式リリースが作成される場合、そのリリースには一意のバージョン識別子を割り当てなければなりません。 [OSPS-BR-02.01]
    プロジェクトによって生成される各リリースに、一貫した命名規則または番号付けスキームに従って一意のバージョン識別子を割り当てます。例には、SemVer、CalVer、またはgit commit idが含まれます。

    Every official release carries a unique semantic version identifier as a Git tag and GitHub Release (current: v6.3.4). See https://github.com/netresearch/timetracker/releases


    バッジには十分です！

    公式リリースが作成される場合、そのリリースには機能的およびセキュリティの変更の記述的なログを含めなければなりません。 [OSPS-BR-04.01]
    すべてのリリースに記述的な変更ログを含めるようにしてください。変更ログが人間が読めるものであり、コミットメッセージだけでなく、セキュリティへの影響や異なるユースケースとの関連性についての説明などの詳細を含めることが推奨されます。機械可読性を確保するために、「## Changelog」などのmarkdownヘッダーの下にコンテンツを配置してください。

    Each GitHub Release contains hand-written notes structured into Highlights and Fixes, describing functional and security-relevant changes with references to the originating issues. See https://github.com/netresearch/timetracker/releases/tag/v6.3.4


    バッジには十分です！

    ビルドとリリースのパイプラインが依存関係を取り込む場合、利用可能な場合は標準化されたツールを使用しなければなりません。 [OSPS-BR-05.01]
    エコシステム用の一般的なツール（パッケージマネージャーや依存関係管理ツールなど）を使用して、ビルド時に依存関係を取り込みます。これには、必要な依存関係を指定するための依存関係ファイル、ロックファイル、またはマニフェストを使用し、ビルドシステムによって取り込まれることが含まれます。

    Dependencies are ingested exclusively through standardized ecosystem tooling with committed lockfiles: Composer for PHP (composer.lock), Bun for the frontend (frontend/bun.lock), npm for E2E tooling (package-lock.json) and Docker/BuildKit for base images. CI installs with frozen lockfiles. See https://github.com/netresearch/timetracker/blob/main/.github/workflows/ci.yml


    バッジには不十分です。

    公式リリースが作成される場合、そのリリースには署名するか、各アセットの暗号ハッシュを含む署名付きマニフェストで説明しなければなりません。 [OSPS-BR-06.01]
    ビルド時にすべてのリリースされたソフトウェア アセットを、GPGまたはPGP署名、Sigstore署名、SLSAプロベナンス、またはSLSA VSAなどの暗号署名または証明で署名します。署名付きマニフェストまたはメタデータファイルに各アセットの暗号ハッシュを含めます。

    The SLSA provenance workflow runs only on 'release: published' and only when the release carries downloadable assets. Current releases ship no assets - the deliverable is the container image on ghcr.io - so no signed manifest of asset hashes is produced, and the container images themselves are not signed (no cosign step exists). A source-provenance.json is attached but is unsigned. See https://github.com/netresearch/timetracker/blob/main/.github/workflows/slsa-provenance.yml and https://github.com/netresearch/timetracker/releases/tag/v6.3.4


    バッジには不十分です。

    プロジェクトがリリースを行った場合、プロジェクトのドキュメントには、プロジェクトが依存関係をどのように選択、取得、および追跡するかについての説明を含めなければなりません。 [OSPS-DO-06.01]
    この情報をソースコードリポジトリ、プロジェクトウェブサイト、またはその他のチャネルなどの公開表示可能なリソース上で、プロジェクトの技術および設計ドキュメントと一緒に公開することが推奨されます。

    Dependency automation is configured (.github/dependabot.yml covering github-actions, composer, npm and bun; renovate.json), but the documentation does not describe how dependencies are selected, obtained and tracked as a policy. Adding this section to CONTRIBUTING.md or docs/ is planned.


    バッジには十分です！

    プロジェクトのドキュメントには、必要なライブラリ、フレームワーク、SDK、および依存関係を含む、ソフトウェアのビルド方法に関する手順が含まれていなければなりません。 [OSPS-DO-07.01]
    この情報は、CONTRIBUTING.mdや他の開発者タスクドキュメントなど、プロジェクトの貢献者ドキュメントと一緒に公開することが推奨されます。これはまた、Makefileターゲットや他の自動化スクリプトを使用して文書化することもできます。

    Build instructions covering required runtimes, libraries and tooling are documented in README.md (Requirements and Quick Start, Docker and manual install) and docs/development.md, with a Makefile exposing the standard targets. See https://github.com/netresearch/timetracker/blob/main/docs/development.md


    バッジには不十分です。

    プロジェクトの文書には、機密リソースへのアクセス権を持つプロジェクト メンバーの一覧を含めなければなりません（MUST）。 [OSPS-GV-01.01]
    プロジェクトのソースコードリポジトリ内のmembers.md、governance.md、maintainers.md、または同様のファイルなどのアーティファクトを通じて、プロジェクト参加者とその役割を文書化します。これは、メンテナのリストに名前またはアカウントハンドルを含めるだけの簡単なものでも、プロジェクトのガバナンスに応じてより複雑なものでも構いません。

    The project has no documented list of members with access to sensitive resources: there is no MAINTAINERS.md, no CODEOWNERS file and no named maintainers in CONTRIBUTING.md. Access is managed implicitly through Netresearch GitHub organization teams. Publishing an explicit maintainer list is planned.


    バッジには十分です！

    プロジェクトの文書には、プロジェクト メンバーの役割と責任の説明を含めなければなりません（MUST）。 [OSPS-GV-01.02]
    プロジェクトのソースコードリポジトリ内のmembers.md、governance.md、maintainers.md、または同様のファイルなどのアーティファクトを通じて、プロジェクト参加者とその役割を文書化します。

    CONTRIBUTING.md describes the roles and responsibilities in the project, including maintainer duties, reviewer expectations and the author/reviewer checklists applied to every change. See https://github.com/netresearch/timetracker/blob/main/CONTRIBUTING.md


    バッジには十分です！

    プロジェクトの文書には、受け入れ可能な貢献の要件を含む、コード貢献者向けのガイドを含めなければなりません（MUST）。 [OSPS-GV-03.02]
    プロジェクトドキュメントのCONTRIBUTING.mdまたはCONTRIBUTING/の内容を拡張して、コーディング標準、テスト要件、コードコントリビューターのための提出ガイドラインを含む、受け入れ可能な貢献の要件を概説します。このガイドがコントリビューターと承認者の両方にとって信頼できる情報源であることが推奨されます。

    CONTRIBUTING.md is a full contributor guide stating the requirements for acceptable contributions: coding standards, commit message conventions, testing requirements with per-layer coverage targets, and documentation obligations. See https://github.com/netresearch/timetracker/blob/main/CONTRIBUTING.md


    バッジには十分です！

    バージョン管理システムは、すべてのコード貢献者に対し、コミットのたびに、関連する貢献を行う法的権限があることを表明するよう要求しなければなりません（MUST）。 [OSPS-LE-01.01]
    プロジェクトのリポジトリにDCOを含め、コードコントリビューターが、すべてのコミットで関連する貢献を行うことが法的に認められていると主張することを要求します。ステータスチェックを使用して、主張が行われたことを確認します。CLAもこの要件を満たします。GitHubなどの一部のバージョン管理システムでは、これがプラットフォームの利用規約に含まれている場合があります。

    The probot DCO GitHub App (https://probot.github.io/apps/dco/) runs as a 'DCO' check on every pull request and fails unless every commit carries a Signed-off-by trailer matching its author, so contributors assert their legal authorisation under the Developer Certificate of Origin on each commit. The requirement is documented in CONTRIBUTING.md, and the DCO check is now configured as a required status check on main, so it blocks merging. The app is installed at the GitHub App level rather than as a workflow file. Example run: https://github.com/netresearch/timetracker/runs/105505933951


    バッジには十分です！

    プライマリブランチにコミットが行われる場合、コミットの自動ステータスチェックは、合格するか手動でバイパスされる必要があります。 [OSPS-QA-03.01]
    プロジェクトのバージョン管理システムを設定して、すべての自動ステータスチェックが合格するか、コミットがプライマリブランチにマージされる前に手動確認を要求するようにします。オプションのステータスチェックは、承認者がバイパスしたくなるような合格または不合格の要件として設定しないことが推奨されます。

    Branch protection on 'main' now requires the status checks 'CI Success' and 'DCO' to pass before a change can be merged, with the strict policy enabled so branches must be up to date. 'CI Success' aggregates the frontend build, linting, unit, integration and E2E tests, static analysis and the dependency audits. Verified in the repository branch protection settings on 2026-09-18.


    バッジには十分です！

    コミットが受け入れられる前に、プロジェクトのCI/CDパイプラインは、変更が期待を満たすことを確認するために少なくとも1つの自動テストスイートを実行する必要があります。 [OSPS-QA-06.01]
    自動テストは、プライマリブランチへのすべてのマージの前に実行される必要があります。テストスイートはCI/CDパイプラインで実行され、結果はすべてのコントリビューターに表示される必要があります。テストスイートは一貫した環境で実行され、コントリビューターがローカルでテストを実行できるような方法で実行される必要があります。テストスイートの例には、ユニットテスト、統合テスト、エンドツーエンドテストが含まれます。

    The CI pipeline runs on every pull request and every push to main and executes frontend unit tests (Vitest), PHP unit and integration tests (PHPUnit, ~2,500 test methods), Playwright E2E tests across four shards, plus static analysis and architecture tests. See https://github.com/netresearch/timetracker/blob/main/.github/workflows/ci.yml


    バッジには十分です！

    プロジェクトがリリースを行った場合、プロジェクトドキュメントは、システム内のすべてのアクションとアクターを示す設計ドキュメントを含む必要があります。 [OSPS-SA-01.01]
    プロジェクトドキュメントに、アクションとアクターを説明する設計を含めます。アクターには、システム内の別のセグメントに影響を与えることができるサブシステムまたはエンティティが含まれます。これが新機能や破壊的変更のために更新されることを確認してください。

    Design documentation covers the actors and actions in the system: README.md contains the architecture overview, docs/security.md documents the role model, authentication and authorization flows including sequence diagrams, and 27 Architecture Decision Records under docs/adr/ record the design decisions. See https://github.com/netresearch/timetracker/tree/main/docs/adr and https://github.com/netresearch/timetracker/blob/main/docs/security.md


    バッジには十分です！

    プロジェクトがリリースを行った場合、プロジェクトドキュメントは、リリースされたソフトウェアアセットのすべての外部ソフトウェアインターフェースの説明を含む必要があります。 [OSPS-SA-02.01]
    リリースされたソフトウェアアセットのすべてのソフトウェアインターフェース（API）を文書化し、ユーザーがソフトウェアとどのように対話できるか、どのようなデータが期待または生成されるかを説明します。これが新機能や破壊的変更のために更新されることを確認してください。

    External interfaces are documented: docs/api.md is a complete REST API reference, docs/configuration.md documents every environment variable, and the LDAP, Jira worklog/subticket and Personio integrations each have their own operator guide under docs/. See https://github.com/netresearch/timetracker/blob/main/docs/api.md


    バッジには不十分です。

    プロジェクトがリリースを行った場合、プロジェクトは、ソフトウェア内で発生する可能性のある最も可能性が高く、影響の大きい潜在的なセキュリティ問題を理解するためにセキュリティ評価を実行する必要があります。 [OSPS-SA-03.01]
    セキュリティ評価を実行することで、プロジェクトメンバーと下流の消費者の両方に、プロジェクトがソフトウェア内で発生する可能性のある問題を理解していることを知らせます。どのような脅威が実現する可能性があるかを理解することは、プロジェクトがリスクを管理および対処するのに役立ちます。この情報は、プロジェクトのセキュリティの能力と実践を示すために、下流の消費者にとって有用です。これが新機能や破壊的変更のために更新されることを確認してください。

    docs/security.md documents the security architecture, the implemented controls and a list of potential enhancements, and automated analysis runs continuously (CodeQL, PHPStan level 10, OpenSSF Scorecard, Dependabot). However, the project has no recorded threat model or structured security assessment that enumerates the most likely and most impactful potential security problems. Producing one is planned.


    バッジには十分です！

    プロジェクトの文書には、明確な対応期限を伴う、協調的な脆弱性開示（CVD）のポリシーを含めなければなりません（MUST）。 [OSPS-VM-01.01]
    ディレクトリのルートにSECURITY.mdファイルを作成し、プロジェクトの協調的脆弱性開示のポリシーを概説します。脆弱性を報告する方法を含めます。プロジェクトが報告された問題にどのように対応および対処するかについての期待を設定します。

    SECURITY.md defines the coordinated vulnerability disclosure policy with explicit timeframes: acknowledgement within 48 hours, initial assessment within 5 business days, and credit to reporters in the release notes. See https://github.com/netresearch/timetracker/blob/main/SECURITY.md


    バッジには十分です！

    プロジェクトの文書は、プロジェクト内のセキュリティ連絡先に直接、非公開で脆弱性を報告する手段を提供しなければなりません（MUST）。 [OSPS-VM-03.01]
    セキュリティ研究者がプロジェクトに非公開で脆弱性を報告する手段を提供します。これは、専用の電子メールアドレス、ウェブフォーム、VCS専用ツール、セキュリティ連絡先の電子メールアドレス、またはその他の方法である可能性があります。

    Private vulnerability reporting via GitHub Security Advisories is enabled for the repository and is the documented reporting channel; public issues are explicitly excluded. Verified in the repository security settings on 2026-09-18. See https://github.com/netresearch/timetracker/security/advisories/new and https://github.com/netresearch/timetracker/blob/main/SECURITY.md


    バッジには十分です！

    プロジェクトの文書は、発見された脆弱性に関するデータを公開しなければなりません（MUST）。 [OSPS-VM-04.01]
    CVEエントリ、ブログ投稿、またはその他のメディアなど、予測可能な公開チャネルで既知の脆弱性に関する情報を提供します。可能な限り、この情報には、影響を受けるバージョン、消費者が脆弱かどうかを判断する方法、および緩和または修復の手順が含まれる必要があります。

    Resolved vulnerabilities are published as GitHub Security Advisories on the repository's public security tab, and security-relevant fixes are described in the release notes as documented in SECURITY.md. See https://github.com/netresearch/timetracker/security/advisories



ツールやAIシステムを使って、https://www.bestpractices.dev/ja/projects/11719/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforcedのような簡単なURLで変更を提案できます。その方法については、自動化提案システムをご覧ください。 このデータは、Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0)のもとで利用可能です。これは、データ受領者が、データ受領者がこの契約のテキストを共有データとともに利用可能にする限り、変更の有無にかかわらずデータを共有できることを意味します。Sebastian MendelおよびOpenSSFベストプラクティスバッジのコントリビューターにクレジットを表示してください。

プロジェクト バッジ登録の所有者： Sebastian Mendel.
エントリの作成日時 2026-01-09 06:05:12 UTC、 最終更新日 2026-09-18 08:02:02 UTC 最後に2026-02-25 23:03:38 UTCにバッジ合格を達成しました。