hve-squad

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Не существует набора практик, гарантирующего, что у программного обеспечения никогда не будет недостатков или уязвимостей; даже формальные методы могут не помочь, если спецификации или допущения ошибочны. Также не существует какой-либо практики, которая могла бы гарантировать, что проект будет поддерживать здоровое и хорошо функционирующее сообщество разработчиков. Однако следующие хорошие правила могут помочь улучшить результаты проектов. Например, некоторые правила описывают ревью несколькими участниками перед выпуском, что может помочь найти технические уязвимости, которые было бы сложно найти другим способом, и помочь построить доверие и желание дальнейшего взаимодействия между разработчиками из разных компаний. Чтобы получить значок, нужно выполнить все критерии с ключевыми словами "НЕОБХОДИМО"/"ОБЯЗАН"/"НЕДОПУСТИМО", все критерии со словом "СЛЕДУЕТ" либо должны удовлетворяться, либо должно быть приведено обоснование их невыполнения, и все критерии со словом "ЖЕЛАТЕЛЬНО" могут быть удовлетворены ИЛИ неудовлетворены (желательно, чтобы они были хотя бы рассмотрены). Если вы хотите ввести общий комментарий вместо объяснения, почему текущая ситуация приемлема, начните текст с '//' и пробела. Приветствуется обратная связь через сайт на GitHub в виде issues или pull requests. Существует также список рассылки для общих вопросов.

Мы с удовольствием предоставляем информацию на нескольких языках, однако, если есть какой-либо конфликт или несоответствие между переводами, английская версия является авторитетной.
Если это ваш проект, пожалуйста, покажите свой значок на странице проекта! Статус значка выглядит следующим образом: Уровень значка для проекта 14231 - passing Вот как вставить его:
Вы можете показать свой статус значка, вставив его в файл с разметкой Markdown:
[![OpenSSF Best Practices](https://www.bestpractices.dev/projects/14231/badge)](https://www.bestpractices.dev/projects/14231)
- или HTML:
<a href="https://www.bestpractices.dev/projects/14231"><img src="https://www.bestpractices.dev/projects/14231/badge"></a>


Это критерии уровня Gold. Вы также можете просмотреть критерии уровня Passing или Silver.

Baseline Series: Базовый уровень 1 Базовый Уровень 2 Базовый Уровень 3

        

 Основы 0/5 ●

  • Общая

    Обратите внимание, что другие проекты могут использовать то же имя.

    APM package that assembles HVE Core agents, prompts, instructions, and skills into one installable bundle for Copilot target environments, and ships a Squad Coordinator that routes your request to a cast of agents in parallel.

    Используйте формат выражения лицензии SPDX; примеры включают «Apache-2.0», «BSD-2-Clause», «BSD-3-Clause», «GPL-2.0+», «LGPL-3.0+», «MIT» и «(BSD-2-Clause OR Ruby)».
    Если используется более одного языка, перечислите их через запятую (пробелы необязательны), и отсортируйте их от наиболее до наименее используемого. Если список длинный, пожалуйста, перечислите по крайней мере три наиболее распространенных. Если языка нет (например, это проект только для документации или только для тестирования), используйте один символ «-» (минус). Для каждого языка используйте общепринятую капитализацию названия, например «JavaScript».
    Common Platform Enumeration (CPE) - это структурированная схема именования для информационных систем, программного обеспечения и пакетов. Она используется в ряде систем и баз данных для отчетов об уязвимостях.

  • Предварительные требования


    Недостаточно для значка.

    Проект ОБЯЗАН получить серебряный значок. [achieve_silver]

  • Надзор за проектом


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН иметь «коэффициент автобуса» 2 или более. (Требуется URL) [bus_factor]
    «Коэффициент автобуса» (или «коэффициент грузовика») - это минимальное количество участников проекта, которые должны внезапно исчезнуть из проекта («попасть под автобус»), чтобы проект заглох из-за отсутствия квалифицированного или компетентного персонала. Инструмент truck-factor может оценить это для проектов на GitHub. Для получения дополнительной информации см. статью Cosentino et al. Assessing the Bus Factor of Git Repositories.

    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН иметь как минимум двух несвязанных значительных соавторов. (Требуется URL) [contributors_unassociated]
    Соавторы связаны, если они оплачиваются работой одной и той же организации (как работник или подрядчик), и организация может выиграть от результатов проекта. Финансовые гранты не считаются находящимися в одной организации, если они проходят через другие организации (например, гранты на науку, выплачиваемые различным организациям из общего правительства или источника НПО, не приводят к тому, что вкладчики могут быть связаны). Соавтор считается значительным, если за последний год он(а) внес(ла) заметный вклад в проект. Примерами хороших показателей значительного соавтора являются: написано не менее 1000 строк кода, внесено 50 коммитов или предоставлено не менее 20 страниц документации.

  • Другое


    Недостаточно для значка.

    Проект ОБЯЗАН указывать лицензию в каждом исходном файле. Это МОЖЕТ быть сделано путем включения в комментарий рядом с началом каждого файла следующей строки: SPDX-License-Identifier: [SPDX-выражение лицензии для проекта]. [license_per_file]
    Это МОЖЕТ также быть сделано путем указания лицензии на естественном языке. Проект МОЖЕТ также включать стабильный URL-адрес, указывающий на текст лицензии, или полный текст лицензии. Обратите внимание, что критерий license_location требует помещать лицензию проекта в стандартном расположении. См. этот учебник SPDX для получения дополнительных сведений об SPDX-выражениях лицензии. Обратите внимание на связь с критерием copyright_per_file, содержимое для которого обычно предшествует информации о лицензии.

    The root MIT license does not substitute for a license statement in each source file. SPDX or equivalent per-file notices are not consistently present; for example: https://github.com/Peter-N91/hve-squad/blob/main/site/assets/site.js.


 Управление изменениями 1/4 ●

  • Публичное хранилище исходного кода с поддержкой версий


    Достаточно для значка!

    Хранилище проектного исходного кода ОБЯЗАНО использовать типовое ПО для распределенного управления версиями (например, git или mercurial). [repo_distributed]
    Не требуется именно git, и проекты могут использовать централизованное программное обеспечение для управления версиями (например, Subversion) с обоснованием.

    Repository on GitHub, which uses git. git is distributed.


    Недостаточно для значка.

    Проект ОБЯЗАН четко обозначать небольшие задачи, которые могут быть выполнены новыми или случайными участниками. (Требуется URL) [small_tasks]
    Это обозначение обычно делается путем маркировки выбранных проблем в трекере одним или несколькими тегами, которые использует проект для этой цели, например up-for-grabs, «только для новичков», «Небольшое исправление», «микрозадача» или IdealFirstBug. Эти новые задачи не обязательно требуют добавления функциональности; это может быть улучшение документации, добавление тестовых кейсов или что-то еще, что помогает проекту и помогает участнику лучше понять проект.

    The good first issue label exists, but there are no open issues carrying it at this review. Publish scoped newcomer tasks with sufficient reproduction or acceptance guidance: https://github.com/Peter-N91/hve-squad/issues?q=is%3Aissue%20is%3Aopen%20label%3A%22good%20first%20issue%22.


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН требовать двухфакторной аутентификации (ДФА) от разработчиков для изменения центрального хранилища или доступа к конфиденциальным данным (например, приватным отчетам об уязвимостях). Этот механизм ДФА МОЖЕТ использовать механизмы без криптографической защиты, такие как SMS, хотя это не рекомендуется. [require_2FA]

    Не хватает обязательной информации, недостаточно для значка.

    При двухфакторной аутентификации (ДФА) проекту СЛЕДУЕТ использовать криптографические механизмы для предотвращения имперсонации. ДФА на основе службы коротких сообщений (SMS) сама по себе НЕ соответствует этому критерию, поскольку короткие сообщения не шифруются. [secure_2FA]
    Механизм ДФА, который соответствует этому критерию, может быть приложением для генерации временных одноразовых паролей (Time-based One-Time Password, TOTP), которое автоматически генерирует код аутентификации, меняющийся через определенный промежуток времени. Обратите внимание, что GitHub поддерживает TOTP.

 Качество 0/7 ●

  • Стандарты кодирования


    Недостаточно для значка.

    Проект ОБЯЗАН документировать свои требования по ревью кода, в том числе, как проводится ревью кода, что необходимо проверять и что необходимо для приемлемости кода. (Требуется URL) [code_review_standards]
    См. также критерии two_person_review и contrib_requirements.

    Contribution guidance and the PR template cover maintainer review, tests, and sanitization, but do not fully document the general reviewer procedure, required checks, and acceptance criteria: https://github.com/Peter-N91/hve-squad/blob/main/CONTRIBUTING.md and https://github.com/Peter-N91/hve-squad/blob/main/.github/pull_request_template.md.


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН проводить проверку не менее 50% всех предлагаемых модификаций до их попадания в выпуск человеком, отличным от автора, для определения того, являются ли эти модификации целесообразными и не содержат ли известных проблем, препятствующих включению. [two_person_review]

  • Рабочая система сборки


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН обеспечивать воспроизводимую сборку. Если сборка не требуется (например, в случае языков сценариев, где исходный код используется непосредственно вместо компиляции), выберите «N/A». (Требуется URL) [build_reproducible]
    Воспроизводимая сборка означает, что несколько сторон могут независимо повторить процесс генерации информации из исходных файлов и получить аналогичный результат с точностью до бита. В некоторых случаях воспроизводимости можно достичь путем принудительного выставления окружения. Разработчики JavaScript могут рассмотреть возможность использования npm shrinkwrap и webpack OccurenceOrderPlugin. Пользователи GCC и clang могут найти полезной опцию -frandom-seed. Среда сборки (включая набор инструментов) часто может быть определена для внешних сторон путём указания криптографической суммы (hash) для конкретного контейнера или виртуальной машины, которые они могут использовать для пересборки. В проекте Reproducible Builds есть документация о том, как это сделать.

  • Набор автотестов


    Не хватает обязательной информации, недостаточно для значка.

    Набор тестов ОБЯЗАН запускаться стандартным способом для этого языка. (Требуется URL) [test_invocation]
    Например, «make check», «mvn test» или «rake test» (Ruby).

    Tests are invoked in the standard way for PowerShell. Each suite is executed through Invoke-Pester with New-PesterConfiguration, the conventional Pester entry point, wrapped in a per-tier runner script (tests/tier0/Invoke-Tier0Tests.ps1 and equivalents for Tier 1 and Tier 2). The wrappers are required because the suites are parameterised through New-PesterContainer -Data, so they cannot be discovered by a bare Invoke-Pester call. A single-command entry point is also declared as the test target in the scripts: section of apm.yml, so apm run test runs the fast conformance suite in the same way make check would. CI invokes the same runner scripts, so local and CI invocation are identical.

    Предупреждение: требуется URL, но URL не найден.


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН реализовать непрерывную интеграцию, при которой новый или измененный код интегрируется в центральное хранилище кода, и на получившейся базе кода запускаются автоматические тесты. (Требуется URL) [test_continuous_integration]
    В большинстве случаев это означает, что каждый разработчик, занимающийся проектом полный рабочий день, интегрируется, по крайней мере, ежедневно.

    The project practises continuous integration against a single central repository. All changes land on main through squash-merged pull requests, with 103 commits integrated in the last 30 days, and branches are short-lived. Every pull request triggers automated validation in GitHub Actions: .github/workflows/tier0-conformance.yml installs the package the branch would deliver and runs the Pester static conformance suite against it, and .github/workflows/pr-validation.yml verifies release state and change-fragment hygiene. Security analysis runs on the same trigger through CodeQL, Zizmor, Checkov, and OpenSSF Scorecard. The same Tier 0 workflow is reused as the release gate via workflow_call, so the check that guards a merge is the check that guards a tag. Merged work is rebuilt onto a rolling pre-release tag within minutes, keeping the integrated state continuously installable and testable.

    Предупреждение: требуется URL, но URL не найден.


    Недостаточно для значка.

    Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 90% инструкций кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. [test_statement_coverage90]

    No published instrumented result demonstrates at least 90% statement coverage of the authored executable code. Establish an explicit coverage scope, publish reports, and enforce the measured threshold: https://github.com/Peter-N91/hve-squad/tree/main/tests.


    Недостаточно для значка.

    Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 80% веток кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. [test_branch_coverage80]

    No published instrumented result demonstrates at least 80% branch coverage of the authored executable code. Use a FLOSS tool that actually measures branches for each applicable language and retain the reports: https://github.com/Peter-N91/hve-squad/tree/main/tests.


 Безопасность 2/5 ●

  • Основы правильного использования криптографии

    Обратите внимание, что некоторое ПО не нуждается в использовании криптографических механизмов.

    Достаточно для значка!

    В ПО, создаваемом проектом, НЕОБХОДИМО поддерживать безопасные протоколы для всех сетевых коммуникаций, такие как SSHv2 или новее, TLS1.2 или новее (HTTPS), IPsec, SFTP и SNMPv3. По умолчанию НЕОБХОДИМО отключать небезопасные протоколы, такие как FTP, HTTP, telnet, SSLv3 или более ранние версии, и SSHv1, и разрешать их только в том случае, если пользователь явным образом это задаёт. Если программное обеспечение, созданное проектом, не поддерживает сетевые коммуникации, выберите «неприменимо» (N/A). [crypto_used_network]

    Project-authored repository and API operations use HTTPS by default through Git and PowerShell; no plaintext transport is enabled by default in those scripts: https://github.com/Peter-N91/hve-squad/blob/main/scripts/Update-ApmDependencies.ps1 and https://github.com/Peter-N91/hve-squad/blob/main/scripts/Test-HveCorePin.ps1.


    Достаточно для значка!

    Если ПО, создаваемое проектом, поддерживает или использует TLS, НЕОБХОДИМО поддерживать как минимум версию TLS 1.2. Примечание: предшественник TLS называется SSL. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). [crypto_tls12]

    The supported PowerShell 7/.NET and Git HTTPS clients support TLS 1.2 or later, with the TLS implementation delegated to the maintained host clients rather than project-authored cryptography: https://github.com/Peter-N91/hve-squad/blob/main/README.md#quick-start and https://github.com/Peter-N91/hve-squad/blob/main/scripts/Test-HveCorePin.ps1.


  • Доставка, защищенная от атак посредника (MITM)


    Недостаточно для значка.

    Веб-сайт проекта, репозиторий (если он доступен через Интернет) и сайт загрузки (если он существует отдельно) ОБЯЗАНЫ использовать упрочняющие безопасность (hardening) заголовки с неразрешающими значениями. (Требуется URL) [hardened_site]
    Обратите внимание, что GitHub отвечает этому критерию. Такие сайты как https://securityheaders.io/ могут быстро проверить использование. Ключевыми заголовками для упрочнения являются: Content Security Policy (CSP), HTTP Strict Transport Security (HSTS), X-Content-Type-Options (выставленный в «nosniff»), X-Frame-Options и X-XSS-Protection. Статические веб-сайты без возможности входа в систему через веб-страницы могут опускать упрочняющие HTTP-заголовки CSP и X-XSS-Protection, поскольку в этом случае эти заголовки менее эффективны.

    The documentation site's HTTP response includes HSTS but did not include Content-Security-Policy, X-Content-Type-Options, or X-Frame-Options at this review. Gold requires all four even for a static site. GitHub repository/release pages supply them; the Pages site needs a hosting/header solution: https://peter-n91.github.io/hve-squad/.


  • Другие вопросы безопасности


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН иметь проверку безопасности за последние 5 лет. При проверке НЕОБХОДИМО учитывать требования и границы безопасности. [security_review]
    Эта оценка МОЖЕТ быть выполнена членами проекта и/или независимо. Эта оценка МОЖЕТ подкрепляться инструментами статического и динамического анализа, но кроме этого должна быть проверка человеком для выявления проблем (особенно в дизайне), которые инструменты не могут обнаружить.

    Не хватает обязательной информации, недостаточно для значка.

    В ПО, создаваемом проектом, НЕОБХОДИМО использовать механизмы упрочнения безопасности (hardening), чтобы дефекты программного обеспечения с меньшей вероятностью приводили к уязвимостям в безопасности. (Требуется URL) [hardening]
    Механизмы упрочнения могут включать HTTP-заголовки, такие как Content Security Policy (CSP), флаги компилятора для противостояния атакам (например, -fstack-protector) или флаги компилятора, устраняющие неопределенное поведение. Для наших целей политика наименьших привилегий не считается механизмом упрочнения (использовать наименьшие достаточные привилегии важно, но этому посвящён отдельный критерий).

 Анализ 1/2 ●

  • Динамический анализ кода


    Недостаточно для значка.

    Проект ОБЯЗАН применять хотя бы один инструмент динамического анализа к любой предлагаемой основной версии ПО, создаваемого проектом до её выпуска. [dynamic_analysis]
    Инструмент динамического анализа проверяет программное обеспечение, выполняя его с конкретными входными данными. Например, проект МОЖЕТ использовать инструмент фаззинг-тестирования (например, American Fuzzy Lop) или сканер веб-приложений (например, OWASP ZAP или w3af). В некоторых случаях проект OSS-Fuzz может быть готов применить фаззинг-тестирование к вашему проекту. Для целей этого критерия инструмент динамического анализа должен каким-то образом варьировать исходные данные, чтобы искать проблемы разного рода или быть автоматическим набором тестов с покрытием веток исполнения не менее 80%. Страница Википедии о динамическом анализе и cтраница OWASP о фаззинг-тестировании указывают некоторые инструменты динамического анализа. Использование инструмента/ов анализа МОЖЕТ, но не обязано быть сосредоточено на поиске уязвимостей в безопасности.

    The project applies automated testing before release but does not currently meet the specific bar this criterion sets. The release gate is the Tier 0 conformance suite, which installs the package exactly as a consumer receives it and executes 575 Pester assertions against the installed tree. Tier 1 additionally performs live behavioural runs against fixture repositories, executing the squad end to end and asserting on the state artifacts left on disk, and Tier 2 compares a live run against stored semantic baselines. However, none of these vary their inputs in the manner of a fuzzer or scanner: Tier 1 exercises a fixed set of recorded scenarios. Branch coverage is also not instrumented, since none of the tier runners enable Pester's CodeCoverage configuration, so the project cannot demonstrate the 80% threshold this criterion offers as an alternative. Coverage of the PowerShell build scripts would in any case be low, because Tier 0 asserts against an installed package tree rather than executing those scripts. Planned improvements are to enable Pester code coverage reporting in CI to establish a measured baseline, and to add unit tests for the build and release scripts, which are currently the least-covered executable surface.


    Достаточно для значка!

    Проекту СЛЕДУЕТ включать достаточно много утверждений (assertions) времени выполнения в создаваемом им ПО и проверять эти утверждения во время динамического анализа. [dynamic_analysis_enable_assertions]
    Этот критерий не предполагает включения утверждений на этапе эксплуатации; решение об этом полностью лежит на проекте и его пользователях. Вместо этого критерий направлен на улучшение обнаружения ошибок во время динамического анализа перед развертыванием. Использование утверждений при эксплуатации полностью отличается от такового во время динамического анализа (например, при тестировании). В некоторых случаях включать утверждения при эксплуатации крайне неразумно (особенно в компонентах с высокой степенью целостности). Существует множество аргументов против включения утверждений в выпускаемых сборках: например, библиотеки не должны вызывать сбой при вызове, присутствие утверждений может привести к отклонению магазинами приложений и/или активация их при рабочем использовании может привести к раскрытию частных данных, таких как закрытые ключи. Помните, что во многих дистрибутивах Linux NDEBUG не определен, поэтому C/C++assert() в таких рабочих средах по умолчанию будет включен. Может быть важно использовать другой механизм утверждений или определить NDEBUG для эксплуатации в этих средах.

    The test configuration deliberately enables more assertions than a normal run. The suites are assertion-based throughout, with 575 Pester assertions executing in the Tier 0 conformance run alone, and every case traces to a numbered entry in tests/squad-behavior-contract.md. Two switches exist specifically to widen assertion coverage during analysis. Tier 1's -Strict promotes consumption findings, which are advisory during a live run, to blocking during the self-check, on the reasoning that a mutation the contract merely mentions is a mutation it does not catch. Tier 0's -IncludeAdvisory enables additional assertion cases that are otherwise reported without gating. Tier 1 also ships mutation controls invoked with -SelfCheck, where each case breaks exactly one rule and requires the contract to detect it, which is the evidence that the assertions can fail rather than passing vacuously. All PowerShell scripts, modules, and test runners execute under Set-StrictMode -Version Latest with $ErrorActionPreference = 'Stop', turning uninitialised variable references, non-existent property access, and malformed method calls into terminating errors during analysis. Tier 0 additionally treats a run that produces zero tests as a failure, so a discovery error cannot be mistaken for success. None of this carries into what consumers receive: the shipped package is markdown assets with no runtime assertion machinery, so there is no production assertion cost or disclosure risk.



Вы можете использовать инструменты и системы ИИ для предложения изменений через простой URL, например https://www.bestpractices.dev/ru/projects/14231/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Смотрите нашу систему автоматизированных предложений о том, как это сделать. Эти данные доступны по лицензии Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Это означает, что получатель данных может распространять данные с изменениями или без них, при условии, что получатель данных предоставляет текст данного соглашения вместе с распространяемыми данными. Пожалуйста, укажите в качестве источника Peter Nehme и участников OpenSSF Best Practices badge.

Владелец анкеты на значок проекта: Peter Nehme.
2026-08-25 06:53:21 UTC, последнее изменение сделано 2026-10-19 21:45:30 UTC. Последний раз условия для получения значка были выполнены 2026-08-25 08:33:58 UTC.