t3x-nr-llm

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Не существует набора практик, гарантирующего, что у программного обеспечения никогда не будет недостатков или уязвимостей; даже формальные методы могут не помочь, если спецификации или допущения ошибочны. Также не существует какой-либо практики, которая могла бы гарантировать, что проект будет поддерживать здоровое и хорошо функционирующее сообщество разработчиков. Однако следующие хорошие правила могут помочь улучшить результаты проектов. Например, некоторые правила описывают ревью несколькими участниками перед выпуском, что может помочь найти технические уязвимости, которые было бы сложно найти другим способом, и помочь построить доверие и желание дальнейшего взаимодействия между разработчиками из разных компаний. Чтобы получить значок, нужно выполнить все критерии с ключевыми словами "НЕОБХОДИМО"/"ОБЯЗАН"/"НЕДОПУСТИМО", все критерии со словом "СЛЕДУЕТ" либо должны удовлетворяться, либо должно быть приведено обоснование их невыполнения, и все критерии со словом "ЖЕЛАТЕЛЬНО" могут быть удовлетворены ИЛИ неудовлетворены (желательно, чтобы они были хотя бы рассмотрены). Если вы хотите ввести общий комментарий вместо объяснения, почему текущая ситуация приемлема, начните текст с '//' и пробела. Приветствуется обратная связь через сайт на GitHub в виде issues или pull requests. Существует также список рассылки для общих вопросов.

Мы с удовольствием предоставляем информацию на нескольких языках, однако, если есть какой-либо конфликт или несоответствие между переводами, английская версия является авторитетной.
Если это ваш проект, пожалуйста, отобразите статус вашего базового значка на странице проекта! Статус базового значка выглядит так: Базовый уровень значка для проекта 11697 - in_progress Вот как встроить базовый значок:
Вы можете показать статус базового значка, вставив это в ваш файл markdown:
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/11697/baseline)](https://www.bestpractices.dev/projects/11697)
или вставив это в ваш HTML:
<a href="https://www.bestpractices.dev/projects/11697"><img src="https://www.bestpractices.dev/projects/11697/baseline"></a>


Это критерии Базового Уровня 3. Это критерии версии v2026.08.28.

Baseline Series: Базовый уровень 1 Базовый Уровень 2 Базовый Уровень 3

        

 Основы

  • Общая

    Обратите внимание, что другие проекты могут использовать то же имя.

    The shared AI foundation for TYPO3 — one LLM setup for every extension on your site

    Используйте формат выражения лицензии SPDX; примеры включают «Apache-2.0», «BSD-2-Clause», «BSD-3-Clause», «GPL-2.0+», «LGPL-3.0+», «MIT» и «(BSD-2-Clause OR Ruby)».
    Если используется более одного языка, перечислите их через запятую (пробелы необязательны), и отсортируйте их от наиболее до наименее используемого. Если список длинный, пожалуйста, перечислите по крайней мере три наиболее распространенных. Если языка нет (например, это проект только для документации или только для тестирования), используйте один символ «-» (минус). Для каждого языка используйте общепринятую капитализацию названия, например «JavaScript».
    Common Platform Enumeration (CPE) - это структурированная схема именования для информационных систем, программного обеспечения и пакетов. Она используется в ряде систем и баз данных для отчетов об уязвимостях.

 Элементы управления 7/21 ●

  • Элементы управления


    Не хватает обязательной информации, недостаточно для значка.

    Когда задаче назначаются разрешения в конвейере CI/CD, исходный код или конфигурация ДОЛЖНЫ назначать только минимальные привилегии, необходимые для соответствующей деятельности. [OSPS-AC-04.02]
    Настройте конвейеры CI/CD проекта так, чтобы по умолчанию назначать пользователям и службам наименьшие доступные разрешения, повышая разрешения только когда это необходимо для конкретных задач. В некоторых системах контроля версий это может быть возможно на уровне организации или репозитория. Если нет, установите разрешения на верхнем уровне конвейера.

    Workflows use explicit per-job permission grants and restrictive defaults, but this assessment did not establish least privilege for every job and every transitively called reusable workflow. Evidence: https://github.com/netresearch/t3x-nr-llm/tree/cadc97812ff180a2a242c86c0eb3f4f48cd04500/.github/workflows . Do not infer this stronger criterion solely from the read-only repository default. Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Конвейеры CI/CD, принимающие входные данные от доверенных коллабораторов, ДОЛЖНЫ санировать и проверять эти входные данные перед их использованием в конвейере. [OSPS-BR-01.04]
    Конвейеры CI/CD должны санировать (заключать в кавычки, экранировать или завершаться при ожидаемых значениях) все входные данные коллабораторов при явном выполнении рабочих процессов. Хотя коллабораторы в целом являются доверенными, ручные входные данные для рабочего процесса не могут быть проверены и могут быть использованы в злоумышленных целях при захвате учётной записи или угрозе изнутри.

    Manual republishing and shared workflows accept collaborator-supplied inputs. Their entire validation and shell-use chain was not audited in this badge review; successful zizmor or workflow runs alone do not prove that every trusted input is sanitized. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/.github/workflows/republish.yml . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Достаточно для значка!

    Когда создается официальный релиз, все активы в этом релизе ДОЛЖНЫ быть четко связаны с идентификатором релиза или другим уникальным идентификатором для актива. [OSPS-BR-02.02]
    Назначьте уникальный идентификатор версии каждому программному активу, произведенному проектом, следуя единообразному соглашению об именовании или схеме нумерации. Примеры включают SemVer, CalVer или идентификатор git-коммита.

    The v0.35.0 release associates all assets with its unique tagged release URL. Archive and SBOM filenames also include 0.35.0; checksums.txt and its signature are scoped by the versioned release URL and list the versioned artifacts. Evidence: https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.35.0 . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    НЕОБХОДИМО, чтобы проект определил политику управления секретами и учетными данными, используемыми проектом. Политика должна включать руководства по хранению, доступу и ротации секретов и учетных данных. [OSPS-BR-07.02]
    Задокументируйте, как секреты и учетные данные управляются и используются в рамках проекта. Это должно включать подробную информацию о том, как хранятся секреты (например, с использованием инструмента управления секретами), как контролируется доступ, и как секреты ротируются или обновляются. Убедитесь, что конфиденциальная информация не встроена в исходный код и не хранится в системах контроля версий.

    Contributor guidance forbids committing secrets, and application documentation explains nr-vault storage and key rotation. However, a complete maintainer policy covering storage, access authorization and rotation of project CI/release credentials was not established. Application-user credential handling is not evidence of the project's own credential lifecycle. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/CONTRIBUTING.md and https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/Documentation/Configuration/Settings.rst . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Достаточно для значка!

    Когда проект выпустил релиз, документация проекта ДОЛЖНА содержать инструкции по проверке целостности и подлинности активов релиза. [OSPS-DO-03.01]
    Инструкции в проекте должны содержать информацию об используемой технологии, командах для выполнения и ожидаемом выводе. По возможности избегайте хранения этой документации в том же месте, что и конвейер сборки и выпуска, чтобы избежать компрометации как программного обеспечения, так и документации для проверки целостности программного обеспечения в случае единичного нарушения безопасности.

    The release notes provide cosign verify-blob instructions with the matching signature bundle and SHA-256 checksum verification. Evidence: https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.38.0


    Достаточно для значка!

    Когда проект выпустил релиз, документация проекта ДОЛЖНА содержать инструкции по проверке ожидаемой личности человека или процесса, создающего программный релиз. [OSPS-DO-03.02]
    Ожидаемая личность может быть в форме идентификаторов ключей, используемых для подписи, эмитента и личности из сертификата sigstore или других подобных форм. По возможности избегайте хранения этой документации в том же месте, что и конвейер сборки и выпуска, чтобы избежать компрометации как программного обеспечения, так и документации для проверки целостности программного обеспечения в случае единичного нарушения безопасности.

    The release verification example specifies GitHub Actions as the OIDC issuer and the Netresearch organization as the expected certificate identity. It accepts an organization-wide identity pattern rather than a single workflow. Evidence: https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.38.0


    Недостаточно для значка.

    Когда проект выпустил релиз, документация проекта ДОЛЖНА включать описательное заявление о масштабе и сроках поддержки для каждого релиза. [OSPS-DO-04.01]
    Для информирования о масштабе и сроках поддержки выпущенных программных активов проекта, проект должен иметь файл SUPPORT.md, раздел "Поддержка" в SECURITY.md или другую документацию, объясняющую жизненный цикл поддержки, включая ожидаемую продолжительность поддержки для каждого релиза, типы предоставляемой поддержки (например, исправления ошибок, обновления безопасности) и любые соответствующие политики или процедуры получения поддержки.

    SECURITY.md still identifies 0.13.x as supported while the current published release is v0.38.0. The public support/EOL policy is inconsistent with the current release and needs correction. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/SECURITY.md https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.38.0


    Недостаточно для значка.

    Когда проект выпустил релиз, документация проекта ДОЛЖНА предоставлять описательное заявление о том, когда релизы или версии больше не будут получать обновления безопасности. [OSPS-DO-05.01]
    Для информирования о масштабе и сроках поддержки исправлений безопасности, проект должен иметь SUPPORT.md или другую документацию, объясняющую политику проекта в отношении обновлений безопасности.

    SECURITY.md still identifies 0.13.x as supported while the current published release is v0.38.0. The public support/EOL policy is inconsistent with the current release and needs correction. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/SECURITY.md https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.38.0


    Не хватает обязательной информации, недостаточно для значка.

    Документация проекта ОБЯЗАНА содержать политику, согласно которой соавторы кода проходят проверку перед предоставлением им расширенных прав доступа к чувствительным ресурсам. [OSPS-GV-04.01]
    Опубликуйте исполняемую политику в документации проекта, которая требует, чтобы участники кода были проверены и одобрены до предоставления повышенных разрешений на доступ к критическим ресурсам, таким как одобрение слияния или доступ к секретам. Рекомендуется, чтобы проверка включала установление обоснованной линии идентичности, такой как подтверждение связи участника с известной доверенной организацией.

    CODEOWNERS and documented organization-admin backup access do not establish an enforceable review-and-approval policy before collaborators receive elevated sensitive-resource permissions. No verified onboarding/escalation policy was supplied. Evidence reviewed: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/.github/SECURITY_CONTROLS.md . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Достаточно для значка!

    Когда проект выпустил релиз, все скомпилированные выпущенные программные активы ДОЛЖНЫ поставляться со списком компонентов программного обеспечения (Software Bill of Materials). [OSPS-QA-02.02]
    Рекомендуется автоматически генерировать SBOM во время сборки с использованием инструмента, который был проверен на точность. Это позволяет пользователям получать эти данные стандартизированным способом наряду с другими проектами в их среде.

    The actual latest release includes CycloneDX and SPDX SBOM files alongside the distributed software archives, with corresponding signature bundles. Evidence: https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.38.0


    Достаточно для значка!

    Когда проект выпустил релиз, состоящий из нескольких репозиториев исходного кода, все подпроекты ДОЛЖНЫ применять требования безопасности, которые являются столь же строгими или более строгими, чем первичная кодовая база. [OSPS-QA-04.02]
    Любые дополнительные репозитории кода подпроектов, созданные проектом и скомпилированные в релиз, должны применять требования безопасности в соответствии со статусом и целями соответствующей кодовой базы. В дополнение к следованию соответствующим требованиям OSPS Baseline, это может включать требование проверки безопасности, обеспечение отсутствия уязвимостей и обеспечение отсутствия известных проблем безопасности.

    The project produces the nr_llm extension from this single source repository; the inspected release process does not combine project-owned subprojects from multiple source repositories into the release. Host-installed Composer dependencies and shared CI workflows are not additional project subprojects compiled into this source release. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/.github/workflows/release.yml and https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/Documentation/Adr/Adr090SingleExtensionUntil10.rst . Reassess if the release starts incorporating other project-owned repositories. Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Достаточно для значка!

    Документация проекта ОБЯЗАНА четко описывать, когда и как выполняются тесты. [OSPS-QA-06.02]
    Добавьте раздел в документацию по участию в проекте, объясняющий, как запускать тесты локально и как запускать тесты в конвейере CI/CD. Документация должна объяснять, что тестируют тесты и как интерпретировать результаты.

    CONTRIBUTING.md and the testing guide describe the test suites, local execution, required checks before pull requests and CI behavior. AGENTS.md documents the containerized runner and pre-push gate. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/CONTRIBUTING.md#testing-requirements , https://github.com/netresearch/t3x-nr-llm/tree/cadc97812ff180a2a242c86c0eb3f4f48cd04500/Documentation/Testing and https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/AGENTS.md . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Достаточно для значка!

    Документация проекта ОБЯЗАНА включать политику, согласно которой все существенные изменения в программном обеспечении, создаваемом проектом, должны сопровождаться добавлением или обновлением тестов соответствующей функциональности в наборе автоматических тестов. [OSPS-QA-06.03]
    Добавьте раздел в документацию по участию в проекте, объясняющий политику добавления или обновления тестов. Политика должна объяснять, что представляет собой значительное изменение и какие тесты должны быть добавлены или обновлены.

    The documented contribution/PR checklist requires appropriate automated tests for changes and new functionality; the requirement is explicit in the project instructions. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.github/PULL_REQUEST_TEMPLATE.md https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/CONTRIBUTING.md


    Недостаточно для значка.

    Когда совершается коммит в основную ветку, система контроля версий проекта ДОЛЖНА требовать как минимум одного одобрения изменений человеком, не являющимся автором, перед слиянием. [OSPS-QA-07.01]
    Настройте систему контроля версий проекта так, чтобы она требовала как минимум одного одобрения изменений человеком, не являющимся автором, перед слиянием в релизную или основную ветку. Это можно достичь, требуя, чтобы запрос на включение изменений был рассмотрен и одобрен как минимум одним другим участником, прежде чем его можно будет объединить.

    The PR rule normally requests an approval but grants administrators and integrations pull-request bypass. Classic protection adds no universal non-author human approval requirement (zero required approvals or an administrator exception). Thus review can be bypassed and automated approval does not satisfy the human-review criterion. Evidence: https://github.com/netresearch/t3x-nr-llm/rules/20547646 https://api.github.com/repos/netresearch/t3x-nr-llm/branches/main/protection


    Не хватает обязательной информации, недостаточно для значка.

    Когда проект выпустил релиз, проект ДОЛЖЕН выполнить моделирование угроз и анализ поверхности атаки для понимания и защиты от атак на критические пути кода, функции и взаимодействия внутри системы. [OSPS-SA-03.02]
    Моделирование угроз - это деятельность, при которой проект рассматривает кодовую базу, связанные процессы и инфраструктуру, интерфейсы, ключевые компоненты и "думает как хакер", проводя мозговой штурм о том, как система может быть взломана или скомпрометирована. Каждая выявленная угроза перечисляется, чтобы проект мог затем подумать о том, как проактивно избежать или закрыть любые бреши/уязвимости, которые могут возникнуть. Убедитесь, что это обновляется для новых функций или критических изменений.

    Security ADRs, regression tests and scoped adversarial reviews describe individual trust boundaries, but an up-to-date threat model and attack-surface analysis covering all critical paths and interactions of the current release was not established. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/SECURITY_AUDIT.md and https://github.com/netresearch/t3x-nr-llm/tree/cadc97812ff180a2a242c86c0eb3f4f48cd04500/Documentation/Adr . No independent audit is inferred or claimed. Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Любые уязвимости в программных компонентах, не затрагивающие проект, ОБЯЗАНЫ учитываться в документе VEX, дополняющем отчет об уязвимости сведениями о невозможности эксплуатации. [OSPS-VM-04.02]
    Создайте поток VEX, сообщающий о статусе эксплуатируемости известных уязвимостей, включая детали оценки или любые меры по смягчению, препятствующие выполнению уязвимого кода.

    No published VEX document or feed was found in the inspected repository/release evidence. It was also not established whether known component vulnerabilities have been assessed as non-exploitable, so neither Met nor N/A is justified. Evidence reviewed: https://github.com/netresearch/t3x-nr-llm/tree/cadc97812ff180a2a242c86c0eb3f4f48cd04500 and https://github.com/netresearch/t3x-nr-llm/releases/tag/v0.35.0 . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Документация проекта ОБЯЗАНА включать политику, определяющую порог для устранения проблем, выявленных при анализе состава программного обеспечения (SCA), связанных с уязвимостями и лицензиями. [OSPS-VM-05.01]
    Задокументируйте в проекте политику, определяющую порог для устранения результатов SCA, связанных с уязвимостями и лицензиями. Включите процесс выявления, приоритизации и устранения этих результатов.

    Composer audit, dependency review and a license audit exist, but a complete published SCA remediation policy covering vulnerability and license thresholds, prioritization and resolution was not established. General response targets for reported project vulnerabilities are not automatically such a dependency policy. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/SECURITY.md and https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/.github/workflows/checks.yml . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Документация проекта ОБЯЗАНА включать политику устранения нарушений, выявленных при анализе состава программного обеспечения (SCA), перед каждым выпуском. [OSPS-VM-05.02]
    Задокументируйте в проекте политику для устранения применимых результатов анализа состава программного обеспечения перед любым релизом и добавьте проверки статуса, которые подтверждают соответствие этой политике перед релизом.

    Required security checks and release automation exist, but this assessment did not establish a documented pre-release policy and release-time enforcement addressing every applicable SCA violation. Evidence: https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/.github/workflows/release.yml and https://github.com/netresearch/typo3-ci-workflows/blob/31bb524d42804f78dc3ffee7defd00ebd547cf75/.github/workflows/security.yml . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Все изменения в кодовой базе проекта ОБЯЗАНЫ автоматически проверяться на соответствие задокументированной политике в отношении вредоносных зависимостей и известных уязвимостей в зависимостях, и блокироваться при выявлении нарушений, за исключением случаев, когда они заявлены и подавлены как неэксплуатируемые. [OSPS-VM-05.03]
    Создайте проверку статуса в системе контроля версий проекта, которая запускает инструмент анализа состава программного обеспечения для всех изменений в кодовой базе. Требуйте, чтобы проверка статуса проходила успешно, прежде чем изменения могут быть объединены.

    Composer audit blocks known advisories except that repeated advisory-service outages produce an explicit warning and success; PR dependency review defaults to high severity. The required All security checks context covers these jobs, but a complete documented malicious-dependency policy and comprehensive blocking/suppression behavior across all dependency ecosystems were not established. Evidence: https://github.com/netresearch/typo3-ci-workflows/blob/31bb524d42804f78dc3ffee7defd00ebd547cf75/.github/workflows/security.yml and https://github.com/netresearch/.github/blob/e8138de812f51dfe242526fc6d60c7ed63fe504b/.github/workflows/dependency-review.yml . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Документация проекта ОБЯЗАНА включать политику, определяющую порог для устранения проблем, выявленных статическим анализом кода безопасности (SAST). [OSPS-VM-06.01]
    Задокументируйте в проекте политику, определяющую порог для устранения результатов статического тестирования безопасности приложений (SAST). Включите процесс выявления, приоритизации и устранения этих результатов.

    The shared Opengrep workflow documents a WARNING-or-higher blocking threshold, but a complete project SAST remediation policy covering identification, prioritization and remediation across the configured analyzers was not established. Evidence: https://github.com/netresearch/typo3-ci-workflows/blob/31bb524d42804f78dc3ffee7defd00ebd547cf75/.github/workflows/security.yml and https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/SECURITY_AUDIT.md . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json


    Не хватает обязательной информации, недостаточно для значка.

    Все изменения в кодовой базе проекта ОБЯЗАНЫ автоматически проверяться на соответствие задокументированной политике в отношении слабых мест безопасности и блокироваться при выявлении нарушений, за исключением случаев, когда они заявлены и подавлены как неэксплуатируемые. [OSPS-VM-06.02]
    Создайте проверку статуса в системе контроля версий проекта, которая запускает инструмент статического тестирования безопасности приложений (SAST) для всех изменений в кодовой базе. Требуйте, чтобы проверка статуса проходила успешно, прежде чем изменения могут быть объединены.

    PHP Opengrep WARNING-or-higher findings fail its shared workflow, PHPStan has a suppression baseline, and code scanning also covers Actions and JavaScript/TypeScript. However, the complete documented security-weakness policy and whether violations across all covered languages block merge except justified non-exploitable suppressions were not verified. Successful scan execution or SARIF upload alone does not demonstrate that result. Evidence: https://github.com/netresearch/typo3-ci-workflows/blob/31bb524d42804f78dc3ffee7defd00ebd547cf75/.github/workflows/security.yml and https://github.com/netresearch/t3x-nr-llm/blob/cadc97812ff180a2a242c86c0eb3f4f48cd04500/SECURITY_AUDIT.md . Current repository self-assessment: https://github.com/netresearch/t3x-nr-llm/blob/31fb1ef86a00a5071b132f5faefc686a3accf08f/.bestpractices.json



Вы можете использовать инструменты и системы ИИ для предложения изменений через простой URL, например https://www.bestpractices.dev/ru/projects/11697/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Смотрите нашу систему автоматизированных предложений о том, как это сделать. Эти данные доступны по лицензии Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Это означает, что получатель данных может распространять данные с изменениями или без них, при условии, что получатель данных предоставляет текст данного соглашения вместе с распространяемыми данными. Пожалуйста, укажите в качестве источника Sebastian Mendel и участников OpenSSF Best Practices badge.

Владелец анкеты на значок проекта: Sebastian Mendel.
2026-01-05 22:00:46 UTC, последнее изменение сделано 2026-09-29 15:16:54 UTC. Значок последний раз потерян 2026-09-29 15:16:54 UTC. Последний раз условия для получения значка были выполнены 2026-01-08 20:13:05 UTC.