dbus-emporia-vue

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Не существует набора практик, гарантирующего, что у программного обеспечения никогда не будет недостатков или уязвимостей; даже формальные методы могут не помочь, если спецификации или допущения ошибочны. Также не существует какой-либо практики, которая могла бы гарантировать, что проект будет поддерживать здоровое и хорошо функционирующее сообщество разработчиков. Однако следующие хорошие правила могут помочь улучшить результаты проектов. Например, некоторые правила описывают ревью несколькими участниками перед выпуском, что может помочь найти технические уязвимости, которые было бы сложно найти другим способом, и помочь построить доверие и желание дальнейшего взаимодействия между разработчиками из разных компаний. Чтобы получить значок, нужно выполнить все критерии с ключевыми словами "НЕОБХОДИМО"/"ОБЯЗАН"/"НЕДОПУСТИМО", все критерии со словом "СЛЕДУЕТ" либо должны удовлетворяться, либо должно быть приведено обоснование их невыполнения, и все критерии со словом "ЖЕЛАТЕЛЬНО" могут быть удовлетворены ИЛИ неудовлетворены (желательно, чтобы они были хотя бы рассмотрены). Если вы хотите ввести общий комментарий вместо объяснения, почему текущая ситуация приемлема, начните текст с '//' и пробела. Приветствуется обратная связь через сайт на GitHub в виде issues или pull requests. Существует также список рассылки для общих вопросов.

Мы с удовольствием предоставляем информацию на нескольких языках, однако, если есть какой-либо конфликт или несоответствие между переводами, английская версия является авторитетной.
Если это ваш проект, пожалуйста, покажите свой значок на странице проекта! Статус значка выглядит следующим образом: Уровень значка для проекта 15437 - passing Вот как вставить его:
Вы можете показать свой статус значка, вставив его в файл с разметкой Markdown:
[![OpenSSF Best Practices](https://www.bestpractices.dev/projects/15437/badge)](https://www.bestpractices.dev/projects/15437)
- или HTML:
<a href="https://www.bestpractices.dev/projects/15437"><img src="https://www.bestpractices.dev/projects/15437/badge"></a>


Это критерии уровня Silver. Вы также можете просмотреть критерии уровня Passing или Gold.

Baseline Series: Базовый уровень 1 Базовый Уровень 2 Базовый Уровень 3

        

 Основы 16/17 ●

  • Общая

    Обратите внимание, что другие проекты могут использовать то же имя.

    Emporia Vue submeter channels as individual Victron D-Bus AC loads for Venus OS — Home Assistant WebSocket power data via com.victronenergy.acload services

    Используйте формат выражения лицензии SPDX; примеры включают «Apache-2.0», «BSD-2-Clause», «BSD-3-Clause», «GPL-2.0+», «LGPL-3.0+», «MIT» и «(BSD-2-Clause OR Ruby)».
    Если используется более одного языка, перечислите их через запятую (пробелы необязательны), и отсортируйте их от наиболее до наименее используемого. Если список длинный, пожалуйста, перечислите по крайней мере три наиболее распространенных. Если языка нет (например, это проект только для документации или только для тестирования), используйте один символ «-» (минус). Для каждого языка используйте общепринятую капитализацию названия, например «JavaScript».
    Common Platform Enumeration (CPE) - это структурированная схема именования для информационных систем, программного обеспечения и пакетов. Она используется в ряде систем и баз данных для отчетов об уязвимостях.

  • Предварительные требования


    Достаточно для значка!

    Проект ОБЯЗАН получить значок уровня Passing. [achieve_passing]

  • Основная информация на веб-сайте проекта


    Достаточно для значка!

    В информацию о том, как внести вклад, НЕОБХОДИМО включить требования к приемлемым взносам (например, ссылку на любой требуемый стандарт кодирования). (Требуется URL) [contribution_requirements]

    Contribution guidance requires compatible rights, tests, style, documentation, release notes and review. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CONTRIBUTING.md


  • Надзор за проектом


    Едва достаточно для значка.

    Проекту СЛЕДУЕТ иметь юридический механизм, через который все авторы содержательных взносов в ПО проекта подтверждают, что они имеют законное право на внесение этих взносов. Самый распространенный и легко реализуемый подход для этого заключается в использовании Developer Certificate of Origin (DCO), при котором пользователи добавляют строку "signed-off-by" в свои коммиты, а проект ссылается на веб-сайт DCO. Но этот механизм МОЖЕТ быть реализован и в качестве Лицензионного соглашения с участниками (Contributor License Agreement, CLA) или другого правового механизма. (Требуется URL) [dco]
    DCO является рекомендуемым механизмом, потому что его легко реализовать и отслеживать в исходном коде, а git напрямую поддерживает функцию "signed-off" при помощи "commit -s". Для большей эффективности лучше всего, если проектная документация объясняет, что означает "signed-off" для этого проекта. CLA - это юридическое соглашение, которое определяет условия, на которых произведения умственного труда были лицензированы для организации или проекта. Соглашение о назначении участника (contributor assignment agreement, CAA) является юридическим соглашением, которое передает права на произведения умственного труда другой стороне; проекты не обязаны иметь CAA, поскольку CAA увеличивает риск того, что потенциальные участники не будут вносить свой вклад, особенно если получатель является коммерческой организацией. Лицензии CLA от Apache Software Foundation (лицензия отдельного участника и корпоративное соглашение CLA) являются примерами CLA для проектов, считающих, что риски от такого рода CLA для проекта меньше, чем их преимущества.

    Contributors must have compatible rights, but no enforced DCO sign-off or CLA process exists. No retrospective signatures are asserted. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CONTRIBUTING.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/GOVERNANCE.md


    Достаточно для значка!

    Проект ОБЯЗАН четко определить и задокументировать модель управления проектом (способ принятия решений, включая ключевые роли). (Требуется URL) [governance]
    Требуется устоявшийся задокументированный способ принятия решений и разрешения споров. В небольших проектах это может быть просто вплоть до «владелец и лидер проекта принимает все окончательные решения». Существуют различные модели управления, включая благосклонное диктаторство и формальную меритократию; более подробно см. Governance models. В проектах успешно используются как централизованные подходы (например, с одним ведущим), так и децентрализованные (например, с групповыми ведущими). Не нужно указывать в сведениях об управлении возможность форка проекта, поскольку это всегда возможно для проектов СПО.

    Maintainer-led decisions, disagreement resolution, and contributor/reviewer/release/administrator responsibilities are documented without inventing people who accepted roles. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/GOVERNANCE.md


    Достаточно для значка!

    Проект ОБЯЗАН определить правила поведения и разместить эти правила в стандартном месте. (Требуется URL) [code_of_conduct]
    Проекты могут повысить цивилизованность их сообщества и установить ожидания относительно приемлемого поведения, приняв правила поведения. Это может помочь избежать проблем до их возникновения и сделать проект более привлекательным местом, поощряющим участие. Правила должны быть сосредоточены только на поведении в сообществе или на рабочем месте проекта. Примерами правил поведения являются правила конфликтов на проекте ядра Linux, Contributor Covenant Code of Conduct, Кодекс поведения Debian, Ubuntu Code of Conduct, Правила поведения проекта Fedora, GNOME Code Of Conduct, KDE Community Code of Conduct">, Python Community Code of Conduct, The Ruby Community Conduct Guideline и The Rust Code of Conduct.

    Conduct guidance sets expected behavior, unacceptable conduct, reporting and accountable handling. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CODE_OF_CONDUCT.md


    Достаточно для значка!

    Проект ОБЯЗАН четко определять и публично документировать ключевые роли в проекте и их обязанности, включая любые задачи, которые должны выполнять эти роли. Должно быть ясно, кто имеет какую роль(и), хотя это может быть и не задокументировано соответствующим образом. (Требуется URL) [roles_responsibilities]
    Документация для управления , а также роли и обязанности могут быть в одном месте.

    Maintainer-led decisions, disagreement resolution, and contributor/reviewer/release/administrator responsibilities are documented without inventing people who accepted roles. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/GOVERNANCE.md


    Недостаточно для значка.

    Проект ОБЯЗАН быть в состоянии продолжать работу с минимальным прерыванием, если какой-либо человек окажется недееспособен или убит. В частности, проект ОБЯЗАН быть в состоянии создавать и закрывать вопросы в трекере, принимать предложенные изменения и выпускать версии программного обеспечения через неделю после подтверждения того, что данный человек недееспособен или убит. Это МОЖЕТ быть реализовано через обеспечение кого-то ещё необходимыми ключами, паролами и законными правами для продолжения проекта. Лица, которые запускают проект СПО, МОГУТ сделать это, оставив ключи в сейфе и завещание, передающее все необходимые юридические права (например, для имен DNS). (Требуется URL) [access_continuity]

    The owner explicitly confirmed on 2026-10-12 that no succession/recovery mechanism is established. A real arrangement able to restore development and release access within one week is still required. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/GOVERNANCE.md


    Едва достаточно для значка.

    Проекту СЛЕДУЕТ поддерживать «коэффициент автобуса» 2 или более. (Требуется URL) [bus_factor]
    «Коэффициент автобуса» (или «коэффициент грузовика») - это минимальное количество участников проекта, которые должны внезапно исчезнуть из проекта («попасть под автобус»), чтобы проект заглох из-за отсутствия квалифицированного или компетентного персонала. Инструмент truck-factor может оценить это для проектов на GitHub. Для получения дополнительной информации см. статью Cosentino et al. Assessing the Bus Factor of Git Repositories.

    No evidence establishes a second active human able to maintain the project independently. Approval bots and AI assistants do not establish human continuity. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/GOVERNANCE.md


  • Документация


    Достаточно для значка!

    Проект ОБЯЗАН иметь задокументированный долгосрочный план (roadmap), описывающий, что проект намеревается, а что не намеревается делать, по крайней мере на ближайший год. (Требуется URL) [documentation_roadmap]
    Проект может не достичь того, что описано в долгосрочном плане, и это нормально. Цель дорожной карты - помочь потенциальным пользователям и участникам понять намеченное направление проекта. Подробности не требуются.

    The ordered maintenance roadmap covers the next twelve months and identifies priorities without promising unsupported dates. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/ROADMAP.md


    Достаточно для значка!

    Проект ОБЯЗАН включать документацию по архитектуре (также называемой высокоуровневым дизайном) ПО, создаваемого проектом. Выберите «неприменимо» (N/A), если проект не создает программное обеспечение. (Требуется URL) [documentation_architecture]
    Архитектура ПО объясняет фундаментальную структуру программы, то есть основные компоненты программы, отношения между ними и ключевые свойства этих компонентов и отношений.

    Architecture documents component responsibilities, data flow, trust boundaries and release structure, with implementation and assurance references. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/architecture.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/security-assurance.md


    Достаточно для значка!

    Проект ОБЯЗАН документировать то, что пользователь может и чего он не должен ожидать с точки зрения безопасности от ПО, создаваемого проектом (его «требования безопасности»). (Требуется URL) [documentation_security]
    Это требования безопасности, выполнение которых ожидается от ПО.

    Security and configuration documentation explain credentials, trusted inputs, transport, reporting and release verification. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/security-assurance.md


    Достаточно для значка!

    Проект ОБЯЗАН предоставить руководство для быстрого начала работы для новых пользователей, чтобы помочь им быстро что-то сделать, используя ПО, создаваемое проект. (Требуется URL) [documentation_quick_start]
    Идея состоит в том, чтобы показать пользователям, как начать работу и и добиться, чтобы ПО что-то вообще сделало. Потенциальным пользователям это критически важно для начала работы.

    README documents native acquisition/configuration/startup; CONTRIBUTING provides a local isolated development/check entry point. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CONTRIBUTING.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/scripts/ci.sh


    Достаточно для значка!

    Проект ОБЯЗАН прилагать усилия к тому, чтобы документация соответствовала текущей версии результатов проекта (включая ПО, создаваемое проектом). НЕОБХОДИМО исправлять любые известные дефекты документации, приводящие к ее непоследовательности. Если документация в целом актуальна, но ошибочно включает в себя некоторые более старые данные, которые больше не верны, просто рассматривайте это как дефект, отслеживайте и исправляйте, как обычно. [documentation_current]
    Документация МОЖЕТ включать информацию о различиях или изменениях между версиями программного обеспечения и/или ссылку на более старые версии документации. Смысл этого критерия заключается в том, что прилагаются усилия для обеспечения согласованности документации, а не в том, чтобы документация была идеальной.

    Current behavior, upgrade impact, completed work and remaining work are described in README, changelog and evidence docs; this change updates affected security and delivery guidance. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CHANGELOG.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/quality-evidence.md


    Достаточно для значка!

    НЕОБХОДИМО размещать ссылку на любые свои достижения, включая этот значок передовой практики, на главной странице проекта и/или веб-сайте в течение 48 часов после открытого признания достижения. (Требуется URL) [documentation_achievements]
    Достижением считается любой набор внешних критериев, над выполнением которых проект специально работал, включая некоторые значки. Эта информация не обязательно должна находиться на главной странице веб-сайта проекта. Проект с использованием GitHub может помещать достижения на главную страницу хранилища кода, добавляя их в файл README.

    Current behavior, upgrade impact, completed work and remaining work are described in README, changelog and evidence docs; this change updates affected security and delivery guidance. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CHANGELOG.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/quality-evidence.md


  • Общедоступность и интернационализация


    Достаточно для значка!

    Проекту (как на сайтах проекта, так и в результатах работы проекта) СЛЕДУЕТ придерживаться передовой практики общедоступности, чтобы люди с ограниченными возможностями могли участвовать в проекте и использовать результаты проекта, где это имеет смысл. [accessibility_best_practices]
    Для веб-приложений см. Руководство по обеспечению доступности веб-контента (WCAG) 2.0 и его поддерживающий документ Understanding WCAG 2.0; см. также W3C accessibility information. Для приложений с графическим интерфейсом рассмотрите использование соответствующих вашему окружению рекомендаций по обеспечению доступности (таких как GNOME, KDE, XFCE, Android, iOS, Mac и Windows (на русском)). Некоторые приложения с текстовым интерфейсом пользователя (например, программы на ncurses) могут сделать некоторые вещи, чтобы сделать себя более доступными (например, параметр `force-arrow-cursor` в `alpine`). Большинство приложений командной строки довольно общедоступны как они есть. Этот критерий часто неприменим, например, для библиотек программ. Вот несколько примеров действий или проблем, которые следует учитывать:
    • Должны предоставляться текстовые альтернативы для любого нетекстового контента, так чтобы его можно изменить на другие необходимые формы, например крупная печать, шрифт Брайля, озвучка текста, символы или упрощенный язык (Understanding WCAG 2.0 guideline 1.1)
    • Цвет не должен использоваться в качестве единственного визуального средства передачи информации, указания на действие, запрос реакции пользователя или выделения визуальных элементов. (WCAG 2.0 guideline 1.4.1)
    • Визуальное представление текста и изображений текста должно иметь контрастность не менее 4,5:1, за исключением большого текста, случайного текста и логотипов (WCAG 2.0 guideline 1.4.3)
    • Все функциональные возможности должны быть доступны с клавиатуры (WCAG guideline 2.1)
    • GUI или веб-проект ДОЛЖНЫ тестировать, по крайней мере, одно средство чтения экрана на целевой платформе(ах) (например, NVDA, Jaws или WindowEyes в Windows; VoiceOver на Mac и iOS; Orca на Linux/BSD; TalkBack на Android). Программы с текстовым интерфейсом пользователя МОГУТ по возможности сокращать переписывание текста на экране, чтобы предотвратить лишнее чтение средствами чтения экрана.

    There is no project-owned graphical or web UI. Public Markdown documentation is rendered by GitHub; the runtime exposes machine-facing D-Bus/network interfaces. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/architecture.md


    Едва достаточно для значка.

    Проекту СЛЕДУЕТ интернационализировать создаваемое ПО, чтобы обеспечить легкую локализацию под культуру, регион или язык целевой аудитории. Выберите «неприменимо» (N/A), если интернационализация (i18n) не применяется (например, ПО не генерирует текст, предназначенный для конечных пользователей, и не сортирует текст, читаемый человеком), [internationalization]
    Локализация "относится к адаптации продукта, приложения или содержимого документа для соответствия языковым, культурным и другим требованиям конкретного целевого рынка (языковому стандарту)". Интернационализация - это «проектирование и разработка продукта, приложения или содержимого документа, которые позволяют легкую локализацию под целевые аудитории, различающиеся по культуре, региону или языку». (См. «Локализация по сравнению с интернационализацией» на веб-сайте W3C.) Чтобы ПО соответствовало этому критерию, достаточно лишь интернационализации. Не требуется локализация для другого конкретного языка, так как после того, как программное обеспечение было интернационализировано, другие могут работать над локализацией.

    User-facing diagnostics and documentation are English. There is no message-catalog or locale adaptation facility; configuration identifiers and D-Bus paths remain protocol identifiers. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md


  • Другое


    Достаточно для значка!

    Если на сайтах проекта (веб-сайт, хранилище и URL-адреса загрузки) хранятся пароли для аутентификации внешних пользователей, НЕОБХОДИМО хранить пароли как итерированные хеши с отдельной "солью" для каждого пользователя с использованием алгоритма (итерированного) растяжения ключа (например, Argon2id, Bcrypt, Scrypt или PBKDF2). Выберите «неприменимо» (N/A), если сайты проекта не хранят пароли для этой цели. [sites_password_security]
    Примечание: использование GitHub автоматически выполняет этот критерий. Этот критерий применяется только к паролям, используемым для аутентификации внешних пользователей на сайтах проекта (т.н. входящей аутентификации). Если сайты проекта должны подключаться к другим сайтам (т.н. исходящая аутентификация), им может потребоваться хранить аутентифицирующие данные (пароли, ключи) для этой цели как-то иначе (поскольку хранение контрольной суммы для этой цели бесполезно). В данном случае критерий crypto_password_storage применяется к сайтам проекта, по аналогии с критерием sites_https.

    The project does not operate an account/password website. Source, issues and project discussions are hosted by GitHub rather than an authentication service implemented here. https://github.com/victron-venus/dbus-emporia-vue


 Управление изменениями 1/1 ●

  • Предыдущие версии


    Достаточно для значка!

    Проект ОБЯЗАН поддерживать наиболее часто используемые старые версии продукта или предоставлять возможность простого перехода на более новые версии (upgrade path). Если переход затруднен, проект ОБЯЗАН задокументировать порядок обновления (например, изменившиеся интерфейсы и подробные предлагаемые шаги для обновления). [maintenance_or_update]

    SECURITY states that security fixes target the current development branch and that older versions do not receive guaranteed backports. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md


 Отчеты о проблемах 3/3 ●

  • Процесс сообщения об ошибках


    Достаточно для значка!

    Проект ОБЯЗАН использовать трекер вопросов (issue tracker) для отслеживания отдельных вопросов. [report_tracker]

    Public GitHub issues provide unique identifiers, discussion and report state. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/CONTRIBUTING.md https://github.com/victron-venus/dbus-emporia-vue/issues


  • Процесс отчета об уязвимостях


    Достаточно для значка!

    Проект ОБЯЗАН отмечать автора(-ов) всех отчетов об уязвимостях, разрешенных за последние 12 месяцев, за исключением авторов, которые просят об анонимности. Выберите «неприменимо» (N/A), если в течение последних 12 месяцев не было обнаружено никаких уязвимостей. (Требуется URL) [vulnerability_report_credit]

    SECURITY requires offering public credit unless the reporter requests anonymity, with consent and dates retained. No vulnerability reports were found in GitHub or reported outside GitHub by the owner. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md


    Достаточно для значка!

    Проект ОБЯЗАН иметь документированный процесс реагирования на отчеты об уязвимостях. (Требуется URL) [vulnerability_response_process]
    Этот критерий тесно связан с критерием vulnerability_report_process, который требует документированного способа для сообщения об уязвимостях. Он также связан с vulnerability_report_response, который требует ответа на отчеты об уязвимостях в течение определенного периода времени.

    SECURITY describes confidential intake, acknowledgement, triage, prioritization, remediation and coordinated public disclosure, including urgent warnings. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md


 Качество 19/19 ●

 Безопасность 13/13 ●

  • Знание безопасной разработки


    Достаточно для значка!

    Проект ОБЯЗАН реализовывать принципы безопасного дизайна (из критерия «know_secure_design»), где это применимо. Выберите «неприменимо» (N/A), если проект не создает программное обеспечение. [implement_secure_design]
    Например, результаты проекта должны иметь отказоустойчивые значения по умолчанию (доступ по умолчанию должен быть запрещен, а установка проектов по умолчанию должна быть в защищенной конфигурации). Также должно использоваться полное отграничение (любой доступ, который может быть ограничен, должен проверяться на достаточность прав доступа и не иметь обходных путей). Обратите внимание, что в некоторых случаях принципы будут противоречить друг другу, и в этом случае необходимо делать выбор (например, многочисленность механизмов может усложнять дизайн, противореча принципу экономичности/простоты механизма).

    Assurance documents scoped fail-safe behavior and least-privilege boundaries. Tests cover malformed/stale input, failed channels or commands, and restrictive update/delivery validation. These are implementation claims within documented host assumptions, not hardware certification. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/security-assurance.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/architecture.md


  • Основы правильного использования криптографии

    Обратите внимание, что некоторое ПО не нуждается в использовании криптографических механизмов.

    Достаточно для значка!

    В ПО, создаваемом проектом, НЕДОПУСТИМО делать механизмы безопасности по умолчанию зависимыми от криптографических алгоритмов или режимов с известными серьезными слабостями (например, криптографический алгоритм хеширования SHA-1 или режим CBC в SSH). [crypto_weaknesses]
    Проблемы, связанные с режимом CBC в SSH, обсуждаются в описании уязвимости CERT: SSH CBC.

    Cryptography is delegated to maintained TLS and Sigstore libraries, with no disabled certificate validation. The recipient verifier pins expected repository/ref/source identity; tests reject mismatches. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/release-signatures.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/scripts/release_signing.py


    Едва достаточно для значка.

    Проекту СЛЕДУЕТ поддерживать несколько криптографических алгоритмов, чтобы пользователи могли быстро переключиться, если один из них поврежден. Общие симметричные ключевые алгоритмы включают AES, Twofish и Serpent. Общие алгоритмы контрольных сумм (хешей) включают SHA-2 (SHA-224, SHA-256, SHA-384 и SHA-512) и SHA-3. [crypto_algorithm_agility]

    Algorithms are delegated to updatable libraries, but no documented alternate signing-suite migration/selection procedure has yet been established. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/release-signatures.md


    Достаточно для значка!

    Проект ОБЯЗАН поддерживать хранение данных для аутентификации (например, паролей и динамических токенов) и закрытых криптографических ключей в файлах, отдельных от остальной информации (например, файлов конфигурации, баз данных и журналов) и позволять пользователям их обновление и замену без перекомпиляции кода. Выберите «неприменимо» (N/A), если проект никогда не работает с данными аутентификации и закрытыми криптографическими ключами. [crypto_credential_agility]

    Operator credentials are external configuration and can be replaced; suspected exposures require revocation/rotation. Release signing uses an ephemeral key rather than a retained project key. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/release-signatures.md


    Едва достаточно для значка.

    В ПО, создаваемом проектом, СЛЕДУЕТ поддерживать безопасные протоколы для всех сетевых коммуникаций, такие как SSHv2 или новее, TLS1.2 или новее (HTTPS), IPsec, SFTP и SNMPv3. По умолчанию СЛЕДУЕТ отключать небезопасные протоколы, такие как FTP, HTTP, telnet, SSLv3 или более ранние версии, и SSHv1, и разрешать их только в том случае, если пользователь явным образом это задаёт. Если программное обеспечение, созданное проектом, не поддерживает сетевые коммуникации, выберите «неприменимо» (N/A). [crypto_used_network]

    Operators may intentionally configure plaintext HTTP/WS on a trusted LAN. The documentation distinguishes that transport from authenticated TLS; encryption is not claimed for all supported network communication. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md


    Достаточно для значка!

    Если ПО, создаваемое проектом, поддерживает или использует TLS, ему СЛЕДУЕТ поддерживать как минимум версию TLS 1.2. Примечание: предшественник TLS называется SSL. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). [crypto_tls12]

    The supported native runtime is Python 3.12.x, enforced before installation. HTTPS uses ordinary Requests/urllib clients and WSS uses websockets.connect without a custom SSL context or TLS downgrade. The websockets client uses Python create_default_context for WSS; Python 3.12 and these HTTPS contexts support TLS 1.2 and later. The inspected standard and urllib3 contexts have TLSv1_2 minimum, normal maximum negotiation, certificate verification and hostname checking. This is a TLS-support assessment, not acceptance of every historical firmware or an assertion that operator-selected ws/http endpoints are encrypted. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md#L15 https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/update.sh#L51 https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/main.py#L353 https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/emporia.py#L159 https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/ha_config_gen.py#L54 https://docs.python.org/3.12/library/ssl.html#ssl.SSLContext https://requests.readthedocs.io/en/latest/user/advanced/#ssl-cert-verification https://websockets.readthedocs.io/en/stable/reference/asyncio/client.html


    Достаточно для значка!

    В ПО, создаваемом проектом, НЕОБХОДИМО выполнять проверку сертификата TLS по умолчанию при использовании TLS, в том числе в подресурсах. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). [crypto_certificate_verification]
    Обратите внимание, что неправильная проверка сертификата TLS является распространенной ошибкой. Для дальнейших сведений см. "The Most Dangerous Code in the World: Validating SSL Certificates in Non-Browser Software" Мартина Георгиева и др. и "Do you trust this application?" Майкла Катанзаро.

    Cryptography is delegated to maintained TLS and Sigstore libraries, with no disabled certificate validation. The recipient verifier pins expected repository/ref/source identity; tests reject mismatches. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/release-signatures.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/scripts/release_signing.py


    Достаточно для значка!

    В ПО, создаваемом проектом, НЕОБХОДИМО, если поддерживается TLS, выполнять проверку сертификата TLS по умолчанию при использовании TLS, в том числе в подресурсах. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). [crypto_verification_private]

    The new keyless signing process generates an ephemeral private key in the signing job; it is never stored in release downloads, source or project secrets. A real signed publication is still required for the separate signed_releases claim. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/release-signatures.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/.github/workflows/release-pipeline.yml


  • Безопасный выпуск


    Достаточно для значка!

    Проект ОБЯЗАН криптографически подписывать выпуски результатов проекта, предназначенные для широкого использования, и ОБЯЗАН иметь задокументированный процесс, объясняющий пользователям, как они могут получить общедоступные ключи подписи и проверить подпись(и) выпусков. НЕДОПУСТИМО размещать закрытый ключ для этих подписей на сайте(сайтах), используемом для прямого распространения ПО для общественности. Выберите «неприменимо» (N/A), если выпуски не предназначены для широкого использования. [signed_releases]
    Результаты проекта включают как исходный код, так и любые сгенерированные результаты, если это применимо (например, исполняемые файлы, пакеты и контейнеры). Сгенерированные результаты МОГУТ быть подписаны отдельно от исходного кода. Подписывание МОЖЕТ быть реализовано как подписанные теги git (с использованием криптографических цифровых подписей). Проекты МОГУТ предоставлять генерируемые результаты отдельно от таких инструментов, как git, но в этих случаях отдельные результаты ОБЯЗАНЫ быть отдельно подписаны.

    The latest supported stable v1.0.9 is a byte-preserving promotion of the signed v1.0.9-rc.2 accepted on Venus OS v3.75 (ARMv7). Its complete original build inventory, receipts and source archive are authenticated by a Sigstore/Cosign signed manifest and bundle. Independent recipient verification checked the expected repository/workflow/ref and source commit e178c8fe22e1110b96243b4c644ebb298418c680, all listed hashes and sizes, the complete file set, and rejection of an incorrect source identity. The ephemeral signing key is confined to the isolated signing job; verification uses the certificate and transparency evidence in the public bundle. Historical unsigned versions remain distinguishable. Release: https://github.com/victron-venus/dbus-emporia-vue/releases/tag/v1.0.9 Verification procedure: https://github.com/victron-venus/dbus-emporia-vue/blob/e178c8fe22e1110b96243b4c644ebb298418c680/docs/release-signatures.md Promotion run: https://github.com/victron-venus/dbus-emporia-vue/actions/runs/38340604967


    Едва достаточно для значка.

    ЖЕЛАТЕЛЬНО, чтобы в системе контроля версий каждый важный тег версии (тег, который является частью основного выпуска, минорной версии или исправляет общедоступные уязвимости) подписывался криптографической подписью и поддавался проверке, как описано в критерииsigned_releases. [version_tags_signed]

    The important stable tag v1.0.8 is a lightweight Git ref pointing directly to a commit, so it has no cryptographic tag signature. The project does not claim all important tags are signed; signed release artifacts are verified separately. This suggested practice has been considered. https://github.com/victron-venus/dbus-emporia-vue/releases/tag/v1.0.8 https://api.github.com/repos/victron-venus/dbus-emporia-vue/git/ref/tags/v1.0.8 https://github.com/victron-venus/dbus-emporia-vue/tags


  • Другие вопросы безопасности


    Достаточно для значка!

    В результатах проекта НЕОБХОДИМО проверять любой ввод из потенциально ненадежных источников, чтобы убедиться, что они действительны (*белый список*), и отклонять недействительный ввод, если вообще есть какие-либо ограничения на данные. [input_validation]
    Обратите внимание, что сравнения ввода со списком «плохих форматов» (также известным как *черный список*) обычно недостаточно, потому что злоумышленники часто могут обойти черный список. В частности, числа преобразуются во внутренние форматы, а затем проверяются, находятся ли они между их минимальным и максимальным (включительно), а текстовые строки проверяются, чтобы убедиться, что они являются допустимыми текстовыми шаблонами (например, действительный UTF-8, длина, синтаксис и т. д.). От некоторых данных может требоваться, чтобы они были «хоть чем-нибудь» (например, загрузчик файлов), но такое обычно случается редко.

    Assurance documents scoped fail-safe behavior and least-privilege boundaries. Tests cover malformed/stale input, failed channels or commands, and restrictive update/delivery validation. These are implementation claims within documented host assumptions, not hardware certification. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/SECURITY.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/security-assurance.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/architecture.md


    Достаточно для значка!

    В ПО, создаваемом проектом, СЛЕДУЕТ использовать механизмы упрочнения безопасности (hardening), чтобы дефекты программного обеспечения с меньшей вероятностью приводили к уязвимостям в безопасности. [hardening]
    Механизмы упрочнения могут включать HTTP-заголовки, такие как Content Security Policy (CSP), флаги компилятора для противостояния атакам (например, -fstack-protector) или флаги компилятора, устраняющие неопределенное поведение. Для наших целей политика наименьших привилегий не считается механизмом упрочнения (использовать наименьшие достаточные привилегии важно, но этому посвящён отдельный критерий).

    The project produces interpreted Python/shell source, not an owned native executable requiring compiler/linker hardening switches. Host and binary dependency hardening are deployment obligations. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/README.md https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/architecture.md


    Достаточно для значка!

    Проект ОБЯЗАН предоставить обоснование того, что требования безопасности соблюдаются проектом. В обоснование НЕОБХОДИМО включить: описание модели угроз, четкое указание границ доверия, доказательство того, что использовались принципы безопасного дизайна, и доказательство того, что слабости в безопасности реализации нейтрализованы. (Требуется URL) [assurance_case]
    Обоснованием является «документальное подтверждение, которое дает убедительное и корректное доказательство того, что указанный набор критических заявлений относительно свойств системы адекватно оправдан для данного приложения в данной среде» (перевод выдержки из "Software Assurance Using Structured Assurance Case Models", Thomas Rhodes et al, NIST Interagency Report 7608). Границы доверия - это границы, на которых меняется уровень доверия к данным или выполнению кода, например границы сервера в типичном веб-приложении. В обосновании обычно перечисляются принципы безопасного проектирования (такие как Saltzer and Schroeer) и общие слабости безопасности в реализации (такие как OWASP Top 10 или CWE/SANS Top 25), и показывается, как противодействовать каждой из них. Полезным примером может служить обоснование для BadgeApp. Этот критерий связан с documentation_security, documentation_architecture и implement_secure_design.

    The assurance argument records security goals, environmental assumptions, implementation evidence, negative tests and residual obligations. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/security-assurance.md


 Анализ 2/2 ●

  • Статический анализ кода


    Достаточно для значка!

    Проект ОБЯЗАН использовать хотя бы один инструмент статического анализа с правилами или подходами для поиска распространенных уязвимостей в анализируемом языке или окружении, если есть хотя бы один инструмент на СПО, который может реализовать этот критерий на выбранном языке. [static_analysis_common_vulnerabilities]
    Инструменты статического анализа, специально предназначенные для поиска распространенных уязвимостей, с большей вероятностью найдут их. Тем не менее, использование любых статических инструментов обычно помогает найти какие-то проблемы, поэтому мы предлагаем, но не требуем этого для получения базового значка.

    Release validation requires CodeQL and security scanning. The complete Bandit review has no unresolved high or medium findings; remaining low findings are individually triaged. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/.github/workflows/codeql.yml https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/.github/workflows/release-security.yml https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/STATIC_ANALYSIS.md


  • Динамический анализ кода


    Достаточно для значка!

    Если ПО, создаваемое проектом, включает ПО, написанное с использованием небезопасного языка (например, C или C++), тогда проект ОБЯЗАН регулярно использовать хотя бы один динамический инструмент (например, фаззер или сканер веб-приложения) в сочетании с механизмом для обнаружения проблем безопасности памяти, таких как перезапись буфера. Выберите «неприменимо» (N/A), если проект не создает ПО, написанное на небезопасном языке. [dynamic_analysis_unsafe]
    Примерами механизмов обнаружения проблем безопасности памяти являются Address Sanitizer (ASAN) (доступен в GCC и LLVM), Memory Sanitizer и valgrind. Другие потенциально используемые инструменты включают Thread Sanitizer и Undefined Behavior Sanitizer. Достаточно широкое использование утверждений (assertions) тоже может быть приемлемо.

    No owned manually managed-memory C/C++ component is produced. Python source and shell installation are tested; native third-party dependencies do not make this an owned native-code project. https://github.com/victron-venus/dbus-emporia-vue/blob/0c14a138818b36912a52d85cd69995981dbcca4c/docs/architecture.md



Вы можете использовать инструменты и системы ИИ для предложения изменений через простой URL, например https://www.bestpractices.dev/ru/projects/15437/choose/edit?osps_ac_01_01_status=Met&osps_ac_01_01_justification=GitHub+enforced. Смотрите нашу систему автоматизированных предложений о том, как это сделать. Эти данные доступны по лицензии Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). Это означает, что получатель данных может распространять данные с изменениями или без них, при условии, что получатель данных предоставляет текст данного соглашения вместе с распространяемыми данными. Пожалуйста, укажите в качестве источника alvit и участников OpenSSF Best Practices badge.

Владелец анкеты на значок проекта: alvit.
2026-10-13 01:43:40 UTC, последнее изменение сделано 2026-10-13 03:15:15 UTC. Последний раз условия для получения значка были выполнены 2026-10-13 02:12:28 UTC.