hve-squad

Projetos que seguem as melhores práticas abaixo podem se autocertificar voluntariamente e mostrar que alcançaram um selo de melhores práticas da Open Source Security Foundation (OpenSSF).

Não existe um conjunto de práticas que possa garantir que o software nunca terá defeitos ou vulnerabilidades; mesmo métodos formais podem falhar se as especificações ou suposições estiverem erradas. Nem existe qualquer conjunto de práticas que possa garantir que um projeto sustentará uma comunidade de desenvolvimento saudável e bem-funcionada. No entanto, seguir as melhores práticas pode ajudar a melhorar os resultados dos projetos. Por exemplo, algumas práticas permitem revisão multipessoal antes do lançamento, o que pode ajudar a encontrar vulnerabilidades técnicas difíceis de encontrar e ajudar a construir confiança e desejo de interação repetida entre desenvolvedores de diferentes empresas. Para ganhar um selo, todos os critérios DEVE e NÃO DEVE devem ser atendidos, todos os critérios DEVERIA devem ser atendidos OU não atendidos com justificativa, e todos os critérios SUGERIDO devem ser atendidos OU não atendidos (queremos que sejam considerados pelo menos). Se você quiser inserir texto de justificativa como um comentário genérico, em vez de ser uma justificativa de que a situação é aceitável, inicie o bloco de texto com '//' seguido de um espaço. Feedback é bem-vindo via site do GitHub como questões ou pull requests Há também uma lista de discussão para discussão geral.

Fornecemos com prazer as informações em vários idiomas, no entanto, se houver qualquer conflito ou inconsistência entre as traduções, a versão em inglês é a versão autoritativa.

Se este é o seu projeto, por favor mostre o status do seu selo na página do seu projeto! O status do selo se parece com isto:

Aqui está como incorporá-lo:

Você pode mostrar o status do seu selo incorporando isto no seu arquivo markdown:

[![OpenSSF Best Practices](https://www.bestpractices.dev/projects/14231/badge)](https://www.bestpractices.dev/projects/14231)

ou incorporando isto no seu HTML:

<a href="https://www.bestpractices.dev/projects/14231"><img src="https://www.bestpractices.dev/projects/14231/badge"></a>

Estes são os critérios de nível

. Você também pode visualizar os critérios de nível

.

Baseline Series: Nível Básico 1 Nível Básico 2 Nível Básico 3

Análise 1/2 ●

Análise dinâmica de código

Criterion [dynamic_analysis]
Atendido

Não atendido

N/A

?

O projeto DEVE aplicar pelo menos uma ferramenta de análise dinâmica a qualquer lançamento de produção proposto do software produzido pelo projeto antes de seu lançamento. ^{[dynamic_analysis]}
Uma ferramenta de análise dinâmica examina o software executando-o com entradas específicas. Por exemplo, o projeto PODE usar uma ferramenta de fuzzing (por exemplo, American Fuzzy Lop) ou um scanner de aplicação web (por exemplo, OWASP ZAP ou w3af). Em alguns casos, o projeto OSS-Fuzz pode estar disposto a aplicar testes de fuzzing ao seu projeto. Para fins deste critério, a ferramenta de análise dinâmica precisa variar as entradas de alguma forma para procurar vários tipos de problemas ou ser um conjunto de testes automatizado com pelo menos 80% de cobertura de ramificação. A página da Wikipedia sobre análise dinâmica e a página da OWASP sobre fuzzing identificam algumas ferramentas de análise dinâmica. A(s) ferramenta(s) de análise PODEM estar focadas em procurar vulnerabilidades de segurança, mas isso não é obrigatório.

The project applies automated testing before release but does not currently meet the specific bar this criterion sets. The release gate is the Tier 0 conformance suite, which installs the package exactly as a consumer receives it and executes 575 Pester assertions against the installed tree. Tier 1 additionally performs live behavioural runs against fixture repositories, executing the squad end to end and asserting on the state artifacts left on disk, and Tier 2 compares a live run against stored semantic baselines. However, none of these vary their inputs in the manner of a fuzzer or scanner: Tier 1 exercises a fixed set of recorded scenarios. Branch coverage is also not instrumented, since none of the tier runners enable Pester's CodeCoverage configuration, so the project cannot demonstrate the 80% threshold this criterion offers as an alternative. Coverage of the PowerShell build scripts would in any case be low, because Tier 0 asserts against an installed package tree rather than executing those scripts. Planned improvements are to enable Pester code coverage reporting in CI to establish a measured baseline, and to add unit tests for the build and release scripts, which are currently the least-covered executable surface.

Criterion [dynamic_analysis_enable_assertions]
Atendido

Não atendido

N/A

?

O projeto DEVERIA incluir muitas asserções em tempo de execução no software que produz e verificar essas asserções durante a análise dinâmica. ^{[dynamic_analysis_enable_assertions]}
Este critério não sugere habilitar asserções durante a produção; isso é inteiramente decisão do projeto e de seus usuários. O foco deste critério é, em vez disso, melhorar a detecção de falhas durante a análise dinâmica antes da implantação. Habilitar asserções no uso em produção é completamente diferente de habilitar asserções durante a análise dinâmica (como testes). Em alguns casos, habilitar asserções no uso em produção é extremamente imprudente (especialmente em componentes de alta integridade). Existem muitos argumentos contra habilitar asserções em produção, por exemplo, bibliotecas não devem travar chamadores, sua presença pode causar rejeição por lojas de aplicativos e/ou ativar uma asserção em produção pode expor dados privados, como chaves privadas. Observe que em muitas distribuições Linux NDEBUG não é definido, então assert() em C/C++ será habilitado por padrão para produção nesses ambientes. Pode ser importante usar um mecanismo de asserção diferente ou definir NDEBUG para produção nesses ambientes.

The test configuration deliberately enables more assertions than a normal run. The suites are assertion-based throughout, with 575 Pester assertions executing in the Tier 0 conformance run alone, and every case traces to a numbered entry in tests/squad-behavior-contract.md. Two switches exist specifically to widen assertion coverage during analysis. Tier 1's -Strict promotes consumption findings, which are advisory during a live run, to blocking during the self-check, on the reasoning that a mutation the contract merely mentions is a mutation it does not catch. Tier 0's -IncludeAdvisory enables additional assertion cases that are otherwise reported without gating. Tier 1 also ships mutation controls invoked with -SelfCheck, where each case breaks exactly one rule and requires the contract to detect it, which is the evidence that the assertions can fail rather than passing vacuously. All PowerShell scripts, modules, and test runners execute under Set-StrictMode -Version Latest with $ErrorActionPreference = 'Stop', turning uninitialised variable references, non-existent property access, and malformed method calls into terminating errors during analysis. Tier 0 additionally treats a run that produces zero tests as a failure, so a discovery error cannot be mistaken for success. None of this carries into what consumers receive: the shipped package is markdown assets with no runtime assertion machinery, so there is no production assertion cost or disclosure risk.

Você pode usar ferramentas e sistemas de IA para propor alterações por meio de uma URL simples, como https://www.bestpractices.dev/pt-BR/projects/14231/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Veja nosso sistema de propostas de automação para saber como fazer isso. Estes dados estão disponíveis sob o Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Isso significa que um Destinatário de Dados pode compartilhar os Dados, com ou sem modificações, desde que o Destinatário de Dados disponibilize o texto deste acordo com os Dados compartilhados. Por favor, dê crédito a Peter Nehme e aos contribuidores do selo de melhores práticas OpenSSF.

hve-squad

Fundamentos 0/5 ●

Geral

Pré-requisitos

Supervisão do projeto

Outro

Controle de Mudanças 1/4 ●

Repositório de código-fonte público controlado por versão

Qualidade 0/7 ●

Padrões de codificação

Sistema de compilação funcional

Conjunto de testes automatizados

Segurança 2/5 ●

Usar práticas criptográficas boas e básicas

Entrega protegida contra ataques man-in-the-middle (MITM)

Outras questões de segurança

Análise 1/2 ●

Análise dinâmica de código