Brazilian Utils

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Не существует набора практик, гарантирующего, что у программного обеспечения никогда не будет недостатков или уязвимостей; даже формальные методы могут не помочь, если спецификации или допущения ошибочны. Также не существует какой-либо практики, которая могла бы гарантировать, что проект будет поддерживать здоровое и хорошо функционирующее сообщество разработчиков. Однако следующие хорошие правила могут помочь улучшить результаты проектов. Например, некоторые правила описывают ревью несколькими участниками перед выпуском, что может помочь найти технические уязвимости, которые было бы сложно найти другим способом, и помочь построить доверие и желание дальнейшего взаимодействия между разработчиками из разных компаний. Чтобы получить значок, нужно выполнить все критерии с ключевыми словами "НЕОБХОДИМО"/"ОБЯЗАН"/"НЕДОПУСТИМО", все критерии со словом "СЛЕДУЕТ" либо должны удовлетворяться, либо должно быть приведено обоснование их невыполнения, и все критерии со словом "ЖЕЛАТЕЛЬНО" могут быть удовлетворены ИЛИ неудовлетворены (желательно, чтобы они были хотя бы рассмотрены). Если вы хотите ввести общий комментарий вместо объяснения, почему текущая ситуация приемлема, начните текст с '//' и пробела. Приветствуется обратная связь через сайт на GitHub в виде issues или pull requests. Существует также список рассылки для общих вопросов.

Мы с удовольствием предоставляем информацию на нескольких языках, однако, если есть какой-либо конфликт или несоответствие между переводами, английская версия является авторитетной.
Если это ваш проект, пожалуйста, отобразите статус вашего базового значка на странице проекта! Статус базового значка выглядит так: Базовый уровень значка для проекта 14695 - baseline-1 Вот как встроить базовый значок:
Вы можете показать статус базового значка, вставив это в ваш файл markdown:
[![OpenSSF Baseline](https://www.bestpractices.dev/projects/14695/baseline)](https://www.bestpractices.dev/projects/14695)
или вставив это в ваш HTML:
<a href="https://www.bestpractices.dev/projects/14695"><img src="https://www.bestpractices.dev/projects/14695/baseline"></a>


Это критерии Базового Уровня 1. Это критерии версии v2026.08.28.

Baseline Series: Базовый уровень 1 Базовый Уровень 2 Базовый Уровень 3

        

 Основы

  • Общая

    Обратите внимание, что другие проекты могут использовать то же имя.

    Utils library for specific Brazilian businesses

    Используйте формат выражения лицензии SPDX; примеры включают «Apache-2.0», «BSD-2-Clause», «BSD-3-Clause», «GPL-2.0+», «LGPL-3.0+», «MIT» и «(BSD-2-Clause OR Ruby)».
    Если используется более одного языка, перечислите их через запятую (пробелы необязательны), и отсортируйте их от наиболее до наименее используемого. Если список длинный, пожалуйста, перечислите по крайней мере три наиболее распространенных. Если языка нет (например, это проект только для документации или только для тестирования), используйте один символ «-» (минус). Для каждого языка используйте общепринятую капитализацию названия, например «JavaScript».
    Common Platform Enumeration (CPE) - это структурированная схема именования для информационных систем, программного обеспечения и пакетов. Она используется в ряде систем и баз данных для отчетов об уязвимостях.

 Элементы управления 24/24 ●

  • Элементы управления


    Достаточно для значка!

    Когда пользователь пытается прочитать или изменить чувствительный ресурс в авторитетном репозитории проекта, система ДОЛЖНА требовать от пользователя прохождения процесса многофакторной аутентификации. [OSPS-AC-01.01]
    Обеспечьте многофакторную аутентификацию для системы контроля версий проекта, требуя от соавторов предоставления второй формы аутентификации при доступе к конфиденциальным данным или изменении настроек репозитория. Для этой меры приемлемы passkeys (ключи доступа).

    The brazilian-utils GitHub organization enforces two-factor authentication for every member (Organization settings → Authentication security → "Require two-factor authentication"), so nobody can change repository settings or access sensitive data without MFA.


    Достаточно для значка!

    При добавлении нового соавтора система контроля версий ДОЛЖНА требовать ручного назначения прав доступа или по умолчанию ограничивать права доступа соавтора до минимально доступных привилегий. [OSPS-AC-02.01]
    Большинство публичных систем контроля версий настроены таким образом. Убедитесь, что система контроля версий проекта всегда назначает минимально доступные права доступа соавторам по умолчанию при добавлении, предоставляя дополнительные права доступа только при необходимости.

    New organization members and collaborators receive GitHub's read-only base permission by default. Write access exists only for the sole maintainer listed in https://github.com/brazilian-utils/javascript/blob/main/.github/CODEOWNERS; every other contribution arrives through a fork and a pull request.


    Достаточно для значка!

    При попытке прямого коммита в основную ветку проекта механизм принудительного исполнения ДОЛЖЕН предотвращать применение изменения. [OSPS-AC-03.01]
    Если VCS централизована, установите защиту ветки на основную ветку в VCS проекта. В качестве альтернативы используйте децентрализованный подход, как в ядре Linux, где изменения сначала предлагаются в другом репозитории, а слияние изменений в основной репозиторий требует специального отдельного действия.

    main is a protected branch: changes must come through a pull request, a review from the code owners (.github/CODEOWNERS) is required and the Check, Tests, Build, Mutation tests and Security workflows must pass before merging. Direct pushes are rejected for everyone except an explicit administrator bypass.


    Достаточно для значка!

    Когда предпринимается попытка удалить основную ветку проекта, система контроля версий ОБЯЗАНА рассматривать это как деликатное действие и требовать явного подтверждения намерения. [OSPS-AC-03.02]
    Установите защиту ветки на основную ветку в системе контроля версий проекта для предотвращения удаления.

    main is a protected branch and GitHub branch protection keeps "Allow deletions" off, so the primary branch cannot be deleted through git or the web UI.


    Достаточно для значка!

    Когда конвейер CI/CD оперирует ненадежными метаданными, эти параметры ОБЯЗАНЫ быть очищены и проверены перед использованием в конвейере. [OSPS-BR-01.01]
    Конвейеры CI/CD должны санировать (заключать в кавычки, экранировать или завершаться при ожидаемых значениях) все входные метаданные, соответствующие недоверенным источникам. Это включает такие данные, как имена веток, сообщения коммитов, теги, заголовки запросов на слияние и информацию об авторах.

    No workflow interpolates untrusted event data (pull request titles or bodies, branch names, issue text, commit messages) into a shell step: the only expressions used inside run: steps are a commit SHA (github.event.pull_request.base.sha) and a value from the workflow's own matrix. Workflows take no workflow_dispatch inputs. zizmor runs on every pull request at min-severity: low (.github/workflows/security.yml) and fails the build on its template-injection audit, so an unsanitized expression cannot be merged.


    Достаточно для значка!

    Когда конвейер CI/CD работает с недоверенными снимками кода, он ДОЛЖЕН запрещать доступ к привилегированным учётным данным и ресурсам CI/CD. [OSPS-BR-01.03]
    Конвейеры CI/CD должны изолировать недоверенные снимки кода от привилегированных учётных данных и ресурсов. В частности, проекты должны следить за тем, чтобы рабочие процессы, выполняющие сборку или запуск кода до его проверки коллаборатором, не имели доступа к учётным данным CI/CD.

    Pull requests are built with the pull_request event only (never pull_request_target), so a fork's code runs with a read-only GITHUB_TOKEN (top-level permissions: contents: read in every workflow) and, by GitHub's design, without access to repository secrets; checkouts use persist-credentials: false. Publishing to npm happens only in the publish job of the Release workflow, on a tag created by release-please on main, through OIDC Trusted Publishing bound to the npm environment; no long-lived publish token exists. GitHub Actions requires a maintainer's approval before workflows run for outside contributors.


    Достаточно для значка!

    Когда проект указывает URI как официальный канал проекта, этот URI ОБЯЗАН передаваться исключительно с использованием зашифрованных каналов. [OSPS-BR-03.01]
    Настройте веб-сайты и системы контроля версий проекта на использование зашифрованных каналов, таких как SSH или HTTPS для передачи данных. Убедитесь, что все инструменты и домены, на которые ссылается документация проекта, доступны только через зашифрованные каналы.

    The repository (https://github.com/brazilian-utils/javascript), the documentation site (https://brazilian-utils.com.br, GitHub Pages with HTTPS enforced) and the npm registry are all served over HTTPS only.


    Достаточно для значка!

    Если проект указывает URI в качестве официального канала распространения, этот канал ОБЯЗАН быть защищен от атак «злоумышленник в канале связи» (adversary-in-the-middle) с использованием криптографически аутентифицированных каналов. [OSPS-BR-03.02]
    Артефакты, распространяемые проектом, следует распространять через каналы, обеспечивающие целостность и подлинность. Использование HTTPS для загрузок, подписанных релизов или распространения через доверенные менеджеры пакетов — все это приемлемые методы защиты от атак «злоумышленник в канале связи».

    The package is distributed through the npm registry (https://registry.npmjs.org) and GitHub Releases, both HTTPS-only. Publishing uses npm Trusted Publishing (OIDC) with --provenance, so every version carries a Sigstore provenance attestation.


    Достаточно для значка!

    Проект ОБЯЗАН предотвращать непреднамеренное сохранение незашифрованных конфиденциальных данных, таких как секреты и учетные данные, в системе контроля версий. [OSPS-BR-07.01]
    Настройте .gitignore или эквивалент для исключения файлов, которые могут содержать конфиденциальную информацию. Используйте pre-commit хуки и автоматизированные инструменты сканирования для обнаружения и предотвращения включения конфиденциальных данных в коммиты.

    Two independent controls. GitHub secret scanning with push protection is enabled, so a push containing a known credential pattern is rejected before it reaches the repository and the history is covered by alerts. The Security workflow (.github/workflows/security.yml, job "Scan for committed secrets") also runs TruffleHog on the commits of every pull request and push, and on the whole history weekly, failing on verified or unverifiable findings. The project keeps no credentials in the tree by design: npm publishing uses Trusted Publishing (OIDC), the only two secrets (Codecov and Stryker dashboard tokens) live in GitHub Actions encrypted secrets, checkouts run with persist-credentials: false, .gitignore excludes .env files, and zizmor lints every workflow for hard-coded credentials.


    Достаточно для значка!

    Когда проект сделал релиз, документация проекта ОБЯЗАНА включать руководства пользователя для всего базового функционала. [OSPS-DO-01.01]
    Создайте руководства пользователя или документацию для всего базового функционала проекта, объясняющие, как устанавливать, настраивать и использовать возможности проекта. Если есть какие-либо известные опасные или деструктивные действия, включите хорошо заметные предупреждения.

    https://brazilian-utils.com.br has a Getting Started guide, a reference of every utility with parameters, return values and examples (docs/utilities.md, also in Portuguese at docs/pt-br/utilities.md), a v1 → v2 migration guide and runtime-support notes; the README covers installation and basic usage


    Достаточно для значка!

    Когда проект сделал релиз, документация проекта ОБЯЗАНА включать руководство по сообщению о дефектах. [OSPS-DO-02.01]
    Рекомендуется, чтобы проекты использовали трекер задач по умолчанию в их системе контроля версий. Если используется внешний источник, убедитесь, что документация проекта и руководство по внесению вклада четко и заметно объясняют, как использовать систему сообщения об ошибках. Рекомендуется, чтобы документация проекта также устанавливала ожидания относительно того, как дефекты будут сортироваться и решаться.

    SUPPORT.md explains where to report bugs and ask questions, and the repository ships issue forms for bug reports and feature requests (.github/ISSUE_TEMPLATE/bug_report.yml, feature_request.yml): https://github.com/brazilian-utils/javascript/issues/new/choose. Security defects go through SECURITY.md instead.


    Достаточно для значка!

    Проект ОБЯЗАН иметь один или несколько механизмов для публичного обсуждения предлагаемых изменений и препятствий использования. [OSPS-GV-02.01]
    Создайте один или несколько механизмов для публичных обсуждений в рамках проекта, таких как списки рассылки, мгновенные сообщения или трекеры задач, чтобы облегчить открытое общение и обратную связь.

    GitHub Discussions (https://github.com/brazilian-utils/javascript/discussions) is the public channel for questions and proposals, and GitHub Issues and pull requests hold the discussion of concrete changes; SUPPORT.md points users to both.


    Достаточно для значка!

    Документация проекта ОБЯЗАНА включать объяснение процесса внесения вклада или четко указывать, что публичные вклады не принимаются [OSPS-GV-03.01]
    Создайте файл CONTRIBUTING.md или директорию CONTRIBUTING/ для описания процесса внесения вклада, включая шаги для отправки изменений и взаимодействия с сопровождающими проекта.

    CONTRIBUTING.md (https://github.com/brazilian-utils/javascript/blob/main/CONTRIBUTING.md) documents setup, how to add a utility, the lint/type/test/mutation gates, commit-message conventions and the pull-request process, and the pull request template carries the checklist.


    Достаточно для значка!

    Лицензия исходного кода ОБЯЗАНА соответствовать Определению Открытого ПО OSI или Определению Свободного Программного Обеспечения FSF. [OSPS-LE-02.01]
    Добавьте файл LICENSE в репозиторий проекта с лицензией, которая является одобренной лицензией Open Source Initiative (OSI), или свободной лицензией, одобренной Фондом свободного программного обеспечения (FSF). Примеры таких лицензий включают MIT, BSD 2-clause, BSD 3-clause revised, Apache 2.0, Lesser GNU General Public License (LGPL) и GNU General Public License (GPL). Выпуск в публичное достояние соответствует этому контролю, если нет других ограничений, таких как патенты.

    The source code is licensed under the MIT License (OSI-approved, FSF-free): https://github.com/brazilian-utils/javascript/blob/main/LICENSE.


    Достаточно для значка!

    Лицензия выпускаемых программных активов ОБЯЗАНА соответствовать Определению Открытого ПО OSI или Определению Свободного Программного Обеспечения FSF. [OSPS-LE-02.02]
    Если с выпущенными программными активами включена другая лицензия, убедитесь, что это одобренная лицензия Open Source Initiative (OSI) или свободная лицензия, одобренная Free Software Foundation (FSF). Примеры таких лицензий включают MIT, BSD 2-clause, BSD 3-clause revised, Apache 2.0, Lesser GNU General Public License (LGPL) и GNU General Public License (GPL). Обратите внимание, что лицензия для выпущенных программных активов может отличаться от лицензии для исходного кода.

    The released package is under the same MIT License: package.json declares "license": "MIT" and the npm registry shows it for every version of @brazilian-utils/brazilian-utils.


    Достаточно для значка!

    Лицензия исходного кода ОБЯЗАНА поддерживаться в файле LICENSE, файле COPYING, каталоге LICENSES/ или каталоге LICENSE/ соответствующего репозитория. [OSPS-LE-03.01]
    Включите лицензию исходного кода проекта в файл LICENSE, файл COPYING, каталог LICENSES/ или каталог LICENSE/ проекта, чтобы обеспечить наглядность и ясность условий лицензирования. Имя файла МОЖЕТ иметь расширение. Если у проекта несколько репозиториев, убедитесь, что каждый репозиторий включает файл лицензии.

    The full text is in /LICENSE at the repository root.


    Достаточно для значка!

    Лицензия выпускаемых программных активов ОБЯЗАНА быть включена в выпускаемый исходный код или в файл LICENSE, файл COPYING либо каталог LICENSE/ рядом с соответствующими активами релиза. [OSPS-LE-03.02]
    Включите лицензию выпущенных программных активов проекта в выпущенный исходный код или в файл LICENSE, файл COPYING или директорию LICENSE/ рядом с соответствующими выпущенными активами, чтобы обеспечить видимость и ясность условий лицензирования. Имя файла МОЖЕТ иметь расширение. Если у проекта несколько репозиториев, убедитесь, что каждый репозиторий включает файл лицензии.

    npm always includes the LICENSE file in the published tarball (it is one of the files npm ships regardless of the files field), so every version on the registry carries it; the GitHub Release source archives contain it as well.


    Достаточно для значка!

    Репозиторий исходного кода проекта ОБЯЗАН быть общедоступным для чтения по статическому URL. [OSPS-QA-01.01]
    Используйте общую систему контроля версий (VCS), такую как GitHub, GitLab или Bitbucket. Убедитесь, что репозиторий доступен для публичного чтения. Избегайте дублирования или зеркалирования репозиториев, если только хорошо видимая документация не разъясняет первичный источник. Избегайте частых изменений репозитория, которые могут повлиять на URL репозитория. Убедитесь, что репозиторий публичный.

    https://github.com/brazilian-utils/javascript is a public repository.


    Достаточно для значка!

    Система контроля версий ОБЯЗАНА содержать общедоступную запись всех внесенных изменений, кто внес изменения и когда были внесены изменения. [OSPS-QA-01.02]
    Используйте общую VCS, такую как GitHub, GitLab или Bitbucket, для поддержания публично доступной истории коммитов. Избегайте сжатия или перезаписи коммитов таким образом, чтобы это скрывало автора любых коммитов.

    The full git history, with author, committer and dates of every change, is public on GitHub: https://github.com/brazilian-utils/javascript/commits/main (plus diffs, blame and pull-request history).


    Достаточно для значка!

    Когда система управления пакетами это поддерживает, репозиторий исходного кода ОБЯЗАН содержать список зависимостей, учитывающий прямые языковые зависимости. [OSPS-QA-02.01]
    Это может быть в виде файла менеджера пакетов или файла языковых зависимостей, перечисляющего все прямые зависимости, такие как package.json, Gemfile или go.mod.

    package.json lists the direct dependencies (there are no runtime dependencies, only devDependencies) and package-lock.json (lockfileVersion 3) pins every direct and transitive one. Every release run also produces a CycloneDX SBOM (npm sbom) kept as the sbom-<tag> artifact of the release workflow.


    Достаточно для значка!

    Проекты с несколькими репозиториями ОБЯЗАНЫ документировать список кодовых баз, являющихся частью проекта. [OSPS-QA-04.01]
    Документируйте любые дополнительные репозитории кода подпроектов, создаваемые проектом и компилируемые в выпуск. Эта документация должна включать статус и назначение соответствующей кодовой базы.

    The repository is a single npm package; it has no git submodules, vendored code or subproject codebases.


    Достаточно для значка!

    Система управления версиями НЕ ДОЛЖНА содержать сгенерированные исполняемые артефакты. [OSPS-QA-05.01]
    Удалите сгенерированные исполняемые артефакты из системы контроля версий проекта. Рекомендуется, чтобы в любом сценарии, где сгенерированный исполняемый артефакт является критическим для процесса, такого как тестирование, он должен вместо этого генерироваться во время сборки или храниться отдельно и загружаться во время определенного хорошо задокументированного этапа конвейера.

    The repository contains only source: dist/ is built in CI and is git-ignored, and there are no binaries, bundles or other generated executables committed.


    Достаточно для значка!

    Система управления версиями НЕ ДОЛЖНА содержать нерецензируемые двоичные артефакты. [OSPS-QA-05.02]
    Не добавляйте никакие непроверяемые бинарные артефакты в систему контроля версий проекта. Это включает исполняемые бинарные файлы приложений, файлы библиотек и аналогичные артефакты. Это не включает такие активы, как графические изображения, звуковые или музыкальные файлы и подобный контент, обычно хранящийся в бинарном формате.

    The repository contains only reviewable text: TypeScript sources and tests, Markdown docs, YAML workflows, JSON configuration and the generated llms*.txt. There are no images, fonts, archives, compiled bundles or other binary files tracked in git (the documentation site loads its logo and favicons from the separate brazilian-utils/brand repository by URL); dist/ is built in CI and git-ignored; the datasets in src/_internals/constants/ are TypeScript tables regenerated from their official sources by scripts/, so every change to them shows up as a reviewable diff in a pull request. OpenSSF Scorecard's Binary-Artifacts check, run on every push to main and weekly, reports no findings.


    Достаточно для значка!

    Документация проекта ОБЯЗАНА содержать контакты по вопросам безопасности. [OSPS-VM-02.01]
    Создайте файл security.md (или с аналогичным именем), который содержит контакты по вопросам безопасности для проекта.

    SECURITY.md (https://github.com/brazilian-utils/javascript/blob/main/SECURITY.md) asks for private reports through GitHub Private Vulnerability Reporting (Security tab → "Report a vulnerability") or by e-mail to support@brazilian-utils.com.br, lists what to include and what is in scope.



Вы можете использовать инструменты и системы ИИ для предложения изменений через простой URL, например https://www.bestpractices.dev/ru/projects/14695/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Смотрите нашу систему автоматизированных предложений о том, как это сделать. Эти данные доступны по лицензии Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Это означает, что получатель данных может распространять данные с изменениями или без них, при условии, что получатель данных предоставляет текст данного соглашения вместе с распространяемыми данными. Пожалуйста, укажите в качестве источника Hyan Mandian и участников OpenSSF Best Practices badge.

Владелец анкеты на значок проекта: Hyan Mandian.
2026-09-18 03:05:32 UTC, последнее изменение сделано 2026-09-18 05:00:27 UTC.