Brazilian Utils

Projetos que seguem as melhores práticas abaixo podem se autocertificar voluntariamente e mostrar que alcançaram um selo de melhores práticas da Open Source Security Foundation (OpenSSF).

Não existe um conjunto de práticas que possa garantir que o software nunca terá defeitos ou vulnerabilidades; mesmo métodos formais podem falhar se as especificações ou suposições estiverem erradas. Nem existe qualquer conjunto de práticas que possa garantir que um projeto sustentará uma comunidade de desenvolvimento saudável e bem-funcionada. No entanto, seguir as melhores práticas pode ajudar a melhorar os resultados dos projetos. Por exemplo, algumas práticas permitem revisão multipessoal antes do lançamento, o que pode ajudar a encontrar vulnerabilidades técnicas difíceis de encontrar e ajudar a construir confiança e desejo de interação repetida entre desenvolvedores de diferentes empresas. Para ganhar um selo, todos os critérios DEVE e NÃO DEVE devem ser atendidos, todos os critérios DEVERIA devem ser atendidos OU não atendidos com justificativa, e todos os critérios SUGERIDO devem ser atendidos OU não atendidos (queremos que sejam considerados pelo menos). Se você quiser inserir texto de justificativa como um comentário genérico, em vez de ser uma justificativa de que a situação é aceitável, inicie o bloco de texto com '//' seguido de um espaço. Feedback é bem-vindo via site do GitHub como questões ou pull requests Há também uma lista de discussão para discussão geral.

Fornecemos com prazer as informações em vários idiomas, no entanto, se houver qualquer conflito ou inconsistência entre as traduções, a versão em inglês é a versão autoritativa.
Se este é o seu projeto, por favor mostre o status do seu selo básico na página do seu projeto! O status do selo básico se parece com isto: O nível do selo básico para o projeto 14695 é baseline-1 Aqui está como incorporar o selo básico:
Você pode mostrar o status do seu selo básico incorporando isto no seu arquivo markdown:
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/14695/baseline)](https://www.bestpractices.dev/projects/14695)
ou incorporando isto no seu HTML:
<a href="https://www.bestpractices.dev/projects/14695"><img src="https://www.bestpractices.dev/projects/14695/baseline"></a>


Estes são os critérios de Nível Básico 1. Estes são critérios da versão v2026.08.28.

Baseline Series: Nível Básico 1 Nível Básico 2 Nível Básico 3

        

 Fundamentos

  • Geral

    Observe que outros projetos podem usar o mesmo nome.

    Utils library for specific Brazilian businesses

    Use o formato de expressão de licença SPDX; exemplos incluem "Apache-2.0", "BSD-2-Clause", "BSD-3-Clause", "GPL-2.0+", "LGPL-3.0+", "MIT" e "(BSD-2-Clause OR Ruby)". Não inclua aspas simples ou aspas duplas.
    Se houver mais de uma linguagem, liste-as como valores separados por vírgula (espaços opcionais) e ordene-as da mais usada para a menos usada. Se houver uma longa lista, liste pelo menos as três primeiras mais comuns. Se não houver linguagem (por exemplo, este é um projeto apenas de documentação ou apenas de teste), use o caractere único "-". Use uma capitalização convencional para cada linguagem, por exemplo, "JavaScript".
    O Common Platform Enumeration (CPE) é um esquema de nomenclatura estruturado para sistemas de tecnologia da informação, software e pacotes. Ele é usado em vários sistemas e bancos de dados ao relatar vulnerabilidades.

 Controles 24/24 ●

  • Controles


    Suficiente para um badge!

    Quando um usuário tentar ler ou modificar um recurso sensível no repositório autorizado do projeto, o sistema DEVE exigir que o usuário complete um processo de autenticação multifator. [OSPS-AC-01.01]
    Imponha autenticação multifator para o sistema de controle de versão do projeto, exigindo que os colaboradores forneçam uma segunda forma de autenticação ao acessar dados sensíveis ou modificar configurações do repositório. Passkeys são aceitáveis para este controle.

    The brazilian-utils GitHub organization enforces two-factor authentication for every member (Organization settings → Authentication security → "Require two-factor authentication"), so nobody can change repository settings or access sensitive data without MFA.


    Suficiente para um badge!

    Quando um novo colaborador for adicionado, o sistema de controle de versão DEVE exigir atribuição manual de permissão, ou restringir as permissões do colaborador aos menores privilégios disponíveis por padrão. [OSPS-AC-02.01]
    A maioria dos sistemas públicos de controle de versão são configurados desta maneira. Certifique-se de que o sistema de controle de versão do projeto sempre atribua as menores permissões disponíveis aos colaboradores por padrão quando adicionados, concedendo permissões adicionais somente quando necessário.

    New organization members and collaborators receive GitHub's read-only base permission by default. Write access exists only for the sole maintainer listed in https://github.com/brazilian-utils/javascript/blob/main/.github/CODEOWNERS; every other contribution arrives through a fork and a pull request.


    Suficiente para um badge!

    Quando uma confirmação direta for tentada no ramo principal do projeto, um mecanismo de aplicação DEVE impedir que a mudança seja aplicada. [OSPS-AC-03.01]
    Se o VCS for centralizado, defina proteção de ramo no ramo principal no VCS do projeto. Alternativamente, use uma abordagem descentralizada, como a do kernel Linux, onde as mudanças são primeiro propostas em outro repositório, e mesclar mudanças no repositório principal requer um ato separado específico.

    main is a protected branch: changes must come through a pull request, a review from the code owners (.github/CODEOWNERS) is required and the Check, Tests, Build, Mutation tests and Security workflows must pass before merging. Direct pushes are rejected for everyone except an explicit administrator bypass.


    Suficiente para um badge!

    Quando for feita uma tentativa de excluir o ramo principal do projeto, o sistema de controle de versão DEVE tratar isso como uma atividade sensível e exigir confirmação explícita de intenção. [OSPS-AC-03.02]
    Defina proteção de ramo no ramo principal no sistema de controle de versão do projeto para evitar exclusão.

    main is a protected branch and GitHub branch protection keeps "Allow deletions" off, so the primary branch cannot be deleted through git or the web UI.


    Suficiente para um badge!

    Quando um pipeline de CI/CD opera com metadados não confiáveis, esses parâmetros DEVEM ser higienizados e validados antes de serem usados no pipeline. [OSPS-BR-01.01]
    Os pipelines de CI/CD devem sanitizar (citar, escapar ou sair com valores esperados) todas as entradas de metadados que correspondam a fontes não confiáveis. Isso inclui dados como nomes de branch, mensagens de commit, tags, títulos de pull requests e informações de autoria.

    No workflow interpolates untrusted event data (pull request titles or bodies, branch names, issue text, commit messages) into a shell step: the only expressions used inside run: steps are a commit SHA (github.event.pull_request.base.sha) and a value from the workflow's own matrix. Workflows take no workflow_dispatch inputs. zizmor runs on every pull request at min-severity: low (.github/workflows/security.yml) and fails the build on its template-injection audit, so an unsanitized expression cannot be merged.


    Suficiente para um badge!

    Quando um pipeline de CI/CD opera em snapshots de código não confiável, ele DEVE impedir o acesso a credenciais e ativos privilegiados de CI/CD. [OSPS-BR-01.03]
    Os pipelines de CI/CD devem isolar snapshots de código não confiável de credenciais e ativos privilegiados. Em particular, os projetos devem ter cuidado para garantir que os workflows que compilam ou executam código antes da revisão por um colaborador não tenham acesso às credenciais de CI/CD.

    Pull requests are built with the pull_request event only (never pull_request_target), so a fork's code runs with a read-only GITHUB_TOKEN (top-level permissions: contents: read in every workflow) and, by GitHub's design, without access to repository secrets; checkouts use persist-credentials: false. Publishing to npm happens only in the publish job of the Release workflow, on a tag created by release-please on main, through OIDC Trusted Publishing bound to the npm environment; no long-lived publish token exists. GitHub Actions requires a maintainer's approval before workflows run for outside contributors.


    Suficiente para um badge!

    Quando o projeto listar um URI como um canal oficial do projeto, esse URI DEVE ser entregue exclusivamente usando canais criptografados. [OSPS-BR-03.01]
    Configure os sites do projeto e os sistemas de controle de versão para usar canais criptografados como SSH ou HTTPS para transmissão de dados. Certifique-se de que todas as ferramentas e domínios referenciados na documentação do projeto só possam ser acessados por meio de canais criptografados.

    The repository (https://github.com/brazilian-utils/javascript), the documentation site (https://brazilian-utils.com.br, GitHub Pages with HTTPS enforced) and the npm registry are all served over HTTPS only.


    Suficiente para um badge!

    Quando o projeto listar uma URI como canal de distribuição oficial, esse canal DEVE ser protegido contra ataques de adversário no meio (adversary-in-the-middle) usando canais criptograficamente autenticados. [OSPS-BR-03.02]
    Os artefatos distribuídos pelo projeto devem ser distribuídos por meio de canais que garantam integridade e autenticidade. O uso de HTTPS para downloads, versões assinadas ou distribuição por meio de gerenciadores de pacotes confiáveis são métodos aceitáveis para proteger contra ataques de adversário no meio.

    The package is distributed through the npm registry (https://registry.npmjs.org) and GitHub Releases, both HTTPS-only. Publishing uses npm Trusted Publishing (OIDC) with --provenance, so every version carries a Sigstore provenance attestation.


    Suficiente para um badge!

    O projeto DEVE impedir o armazenamento não intencional de dados sensíveis não criptografados, como segredos e credenciais, no sistema de controle de versão. [OSPS-BR-07.01]
    Configure .gitignore ou equivalente para excluir arquivos que possam conter informações sensíveis. Use hooks de pré-commit e ferramentas de varredura automatizadas para detectar e prevenir a inclusão de dados sensíveis em commits.

    Two independent controls. GitHub secret scanning with push protection is enabled, so a push containing a known credential pattern is rejected before it reaches the repository and the history is covered by alerts. The Security workflow (.github/workflows/security.yml, job "Scan for committed secrets") also runs TruffleHog on the commits of every pull request and push, and on the whole history weekly, failing on verified or unverifiable findings. The project keeps no credentials in the tree by design: npm publishing uses Trusted Publishing (OIDC), the only two secrets (Codecov and Stryker dashboard tokens) live in GitHub Actions encrypted secrets, checkouts run with persist-credentials: false, .gitignore excludes .env files, and zizmor lints every workflow for hard-coded credentials.


    Suficiente para um badge!

    Quando o projeto tiver feito uma versão, a documentação do projeto DEVE incluir guias do usuário para todas as funcionalidades básicas. [OSPS-DO-01.01]
    Crie guias do usuário ou documentação para todas as funcionalidades básicas do projeto, explicando como instalar, configurar e usar os recursos do projeto. Se houver quaisquer ações perigosas ou destrutivas conhecidas disponíveis, inclua avisos altamente visíveis.

    https://brazilian-utils.com.br has a Getting Started guide, a reference of every utility with parameters, return values and examples (docs/utilities.md, also in Portuguese at docs/pt-br/utilities.md), a v1 → v2 migration guide and runtime-support notes; the README covers installation and basic usage


    Suficiente para um badge!

    Quando o projeto tiver feito uma versão, a documentação do projeto DEVE incluir um guia para relatar defeitos. [OSPS-DO-02.01]
    É recomendado que os projetos usem o rastreador de issues padrão do seu VCS. Se uma fonte externa for usada, certifique-se de que a documentação do projeto e o guia de contribuição expliquem de forma clara e visível como usar o sistema de relatório. É recomendado que a documentação do projeto também estabeleça expectativas sobre como os defeitos serão triados e resolvidos.

    SUPPORT.md explains where to report bugs and ask questions, and the repository ships issue forms for bug reports and feature requests (.github/ISSUE_TEMPLATE/bug_report.yml, feature_request.yml): https://github.com/brazilian-utils/javascript/issues/new/choose. Security defects go through SECURITY.md instead.


    Suficiente para um badge!

    O projeto DEVE ter um ou mais mecanismos para discussões públicas sobre mudanças propostas e obstáculos de uso. [OSPS-GV-02.01]
    Estabeleça um ou mais mecanismos para discussões públicas dentro do projeto, como listas de discussão, mensagens instantâneas ou rastreadores de issues, para facilitar a comunicação aberta e feedback.

    GitHub Discussions (https://github.com/brazilian-utils/javascript/discussions) is the public channel for questions and proposals, and GitHub Issues and pull requests hold the discussion of concrete changes; SUPPORT.md points users to both.


    Suficiente para um badge!

    A documentação do projeto DEVE incluir uma explicação do processo de contribuição, ou declarar claramente que contribuições públicas não são aceitas [OSPS-GV-03.01]
    Crie um CONTRIBUTING.md ou diretório CONTRIBUTING/ para delinear o processo de contribuição incluindo as etapas para enviar mudanças e se engajar com os mantenedores do projeto.

    CONTRIBUTING.md (https://github.com/brazilian-utils/javascript/blob/main/CONTRIBUTING.md) documents setup, how to add a utility, the lint/type/test/mutation gates, commit-message conventions and the pull-request process, and the pull request template carries the checklist.


    Suficiente para um badge!

    A licença do código-fonte DEVE atender à Definição de Código Aberto da OSI ou à Definição de Software Livre da FSF. [OSPS-LE-02.01]
    Adicione um arquivo LICENSE ao repositório do projeto com uma licença que seja uma licença aprovada pela Open Source Initiative (OSI), ou uma licença livre aprovada pela Free Software Foundation (FSF). Exemplos de tais licenças incluem MIT, BSD 2-clause, BSD 3-clause revisada, Apache 2.0, Lesser GNU General Public License (LGPL) e a GNU General Public License (GPL). Lançar para o domínio público atende a este controle se não houver outros obstáculos como patentes.

    The source code is licensed under the MIT License (OSI-approved, FSF-free): https://github.com/brazilian-utils/javascript/blob/main/LICENSE.


    Suficiente para um badge!

    A licença dos ativos de software lançados DEVE atender à Definição de Código Aberto da OSI ou à Definição de Software Livre da FSF. [OSPS-LE-02.02]
    Se uma licença diferente for incluída com ativos de software lançados, certifique-se de que seja uma licença aprovada pela Open Source Initiative (OSI), ou uma licença livre aprovada pela Free Software Foundation (FSF). Exemplos de tais licenças incluem MIT, BSD 2-clause, BSD 3-clause revisada, Apache 2.0, Lesser GNU General Public License (LGPL) e a GNU General Public License (GPL). Note que a licença para os ativos de software lançados pode ser diferente do código-fonte.

    The released package is under the same MIT License: package.json declares "license": "MIT" and the npm registry shows it for every version of @brazilian-utils/brazilian-utils.


    Suficiente para um badge!

    A licença do código-fonte DEVE ser mantida no arquivo LICENSE, arquivo COPYING, diretório LICENSES/ ou diretório LICENSE/ do repositório correspondente. [OSPS-LE-03.01]
    Inclua a licença do código-fonte do projeto no arquivo LICENSE, arquivo COPYING, diretório LICENSES/ ou diretório LICENSE/ do projeto para fornecer visibilidade e clareza sobre os termos de licenciamento. O nome do arquivo PODE ter uma extensão. Se o projeto tiver vários repositórios, garanta que cada repositório inclua o arquivo de licença.

    The full text is in /LICENSE at the repository root.


    Suficiente para um badge!

    A licença dos ativos de software lançados DEVE ser incluída no código-fonte lançado, ou em um arquivo LICENSE, arquivo COPYING, ou diretório LICENSE/ junto aos ativos de lançamento correspondentes. [OSPS-LE-03.02]
    Inclua a licença dos ativos de software lançados do projeto no código-fonte lançado, ou em um arquivo LICENSE, arquivo COPYING ou diretório LICENSE/ ao lado dos ativos de versão correspondentes para fornecer visibilidade e clareza sobre os termos de licenciamento. O nome do arquivo PODE ter uma extensão. Se o projeto tiver múltiplos repositórios, certifique-se de que cada repositório inclua o arquivo de licença.

    npm always includes the LICENSE file in the published tarball (it is one of the files npm ships regardless of the files field), so every version on the registry carries it; the GitHub Release source archives contain it as well.


    Suficiente para um badge!

    O repositório de código-fonte do projeto DEVE ser publicamente legível em uma URL estática. [OSPS-QA-01.01]
    Use um VCS comum como GitHub, GitLab ou Bitbucket. Certifique-se de que o repositório seja publicamente legível. Evite duplicação ou espelhamento de repositórios a menos que documentação altamente visível esclareça a fonte primária. Evite mudanças frequentes no repositório que impactariam a URL do repositório. Certifique-se de que o repositório seja público.

    https://github.com/brazilian-utils/javascript is a public repository.


    Suficiente para um badge!

    O sistema de controle de versão DEVE conter um registro publicamente legível de todas as alterações feitas, quem fez as alterações e quando as alterações foram feitas. [OSPS-QA-01.02]
    Use um VCS comum como GitHub, GitLab ou Bitbucket para manter um histórico de commits publicamente legível. Evite esmagar ou reescrever commits de uma forma que obscureça o autor de quaisquer commits.

    The full git history, with author, committer and dates of every change, is public on GitHub: https://github.com/brazilian-utils/javascript/commits/main (plus diffs, blame and pull-request history).


    Suficiente para um badge!

    Quando o sistema de gerenciamento de pacotes suportar, o repositório de código-fonte DEVE conter uma lista de dependências que representa as dependências diretas da linguagem. [OSPS-QA-02.01]
    Isso pode assumir a forma de um arquivo de dependências de gerenciador de pacotes ou linguagem que enumera todas as dependências diretas, como package.json, Gemfile ou go.mod.

    package.json lists the direct dependencies (there are no runtime dependencies, only devDependencies) and package-lock.json (lockfileVersion 3) pins every direct and transitive one. Every release run also produces a CycloneDX SBOM (npm sbom) kept as the sbom-<tag> artifact of the release workflow.


    Suficiente para um badge!

    Projetos com múltiplos repositórios DEVEM documentar uma lista das bases de código que fazem parte do projeto. [OSPS-QA-04.01]
    Documente quaisquer repositórios de código de subprojetos adicionais produzidos pelo projeto e compilados em uma versão de lançamento. Esta documentação deve incluir o status e a intenção da respectiva base de código.

    The repository is a single npm package; it has no git submodules, vendored code or subproject codebases.


    Suficiente para um badge!

    O sistema de controle de versão NÃO DEVE conter artefatos executáveis gerados. [OSPS-QA-05.01]
    Remova artefatos executáveis gerados no sistema de controle de versão do projeto. É recomendado que qualquer cenário em que um artefato executável gerado apareça como crítico para um processo, como testes, ele deve ser gerado no momento da compilação ou armazenado separadamente e buscado durante uma etapa de pipeline específica e bem documentada.

    The repository contains only source: dist/ is built in CI and is git-ignored, and there are no binaries, bundles or other generated executables committed.


    Suficiente para um badge!

    O sistema de controle de versão NÃO DEVE conter artefatos binários não revisáveis. [OSPS-QA-05.02]
    Não adicione nenhum artefato binário não revisável ao sistema de controle de versão do projeto. Isso inclui binários de aplicativos executáveis, arquivos de biblioteca e artefatos similares. Não inclui recursos como imagens gráficas, arquivos de som ou música e conteúdo similar normalmente armazenado em formato binário.

    The repository contains only reviewable text: TypeScript sources and tests, Markdown docs, YAML workflows, JSON configuration and the generated llms*.txt. There are no images, fonts, archives, compiled bundles or other binary files tracked in git (the documentation site loads its logo and favicons from the separate brazilian-utils/brand repository by URL); dist/ is built in CI and git-ignored; the datasets in src/_internals/constants/ are TypeScript tables regenerated from their official sources by scripts/, so every change to them shows up as a reviewable diff in a pull request. OpenSSF Scorecard's Binary-Artifacts check, run on every push to main and weekly, reports no findings.


    Suficiente para um badge!

    A documentação do projeto DEVE conter contatos de segurança. [OSPS-VM-02.01]
    Crie um arquivo security.md (ou com nome similar) que contenha contatos de segurança para o projeto.

    SECURITY.md (https://github.com/brazilian-utils/javascript/blob/main/SECURITY.md) asks for private reports through GitHub Private Vulnerability Reporting (Security tab → "Report a vulnerability") or by e-mail to support@brazilian-utils.com.br, lists what to include and what is in scope.



Você pode usar ferramentas e sistemas de IA para propor alterações por meio de uma URL simples, como https://www.bestpractices.dev/pt-BR/projects/14695/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Veja nosso sistema de propostas de automação para saber como fazer isso. Estes dados estão disponíveis sob o Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Isso significa que um Destinatário de Dados pode compartilhar os Dados, com ou sem modificações, desde que o Destinatário de Dados disponibilize o texto deste acordo com os Dados compartilhados. Por favor, dê crédito a Hyan Mandian e aos contribuidores do selo de melhores práticas OpenSSF.

Entrada de selo do projeto de propriedade de: Hyan Mandian.
Entrada criada em 2026-09-18 03:05:32 UTC, última atualização em 2026-09-18 20:25:27 UTC. Selo de aprovação alcançado pela última vez em 2026-09-18 20:24:24 UTC.