BadgeApp

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Если это ваш проект, пожалуйста, покажите свой значок на странице проекта! Статус значка выглядит следующим образом: Уровень значка для проекта 1 - gold Вот как вставить его:

Это критерии уровня Gold. Вы также можете просмотреть критерии уровня Passing или Silver.

        

 Основы 5/5 ●

  • Идентификация

    BadgeApp is the web application that allows developers to provide information about their project and (hopefully) get an Open Source Security Foundation (OpenSSF) Best Practices badge. This project was originally known as the Core Infrastructure Initiative (CII) best practices badge project.

    The Open Source Security Foundation (OpenSSF) is managed by The Linux Foundation. The OpenSSF Best Practices badge online application (aka the BadgeApp) enables developers to quickly determine whether they are following best practices and to receive a badge they can display on GitHub and other locations. The application and its criteria are an open source project to which developers can contribute.

    You can see the program running, and use it to try to get a badge, by visiting: https://bestpractices.coreinfrastructure.org/

    The BadgeApp is written in Ruby on Rails and Javascript.

    See the development site on GitHub for more about how we secure this application.

    Note that the BadgeApp gets its own badge!

  • Предварительные требования


    Достаточно для значка!

    Проект ОБЯЗАН получить серебряный значок. [achieve_silver]

  • Надзор за проектом


    Достаточно для значка!

    Проект ОБЯЗАН иметь «коэффициент автобуса» 2 или более. (Требуется URL) [bus_factor]

    David A. Wheeler, Jason Dossett, and Dan Kohn are all very familiar with the software and could easily continue its maintenance if necessary. Many other people have contributed per CREDITS and several of them could also probably maintain it if absolutely necessary. See GitHub contributors statistics for the latest statistics on contributors.


    Достаточно для значка!

    Проект ОБЯЗАН иметь как минимум двух несвязанных значительных соавторов. (Требуется URL) [contributors_unassociated]

    There are at least 22 contributors, and at least three significant contributors today: David A. Wheeler (IDA), Jason Dossett (IDA), and Dan Kohn (Linux Foundation). For this work, IDA works for the Core Infrastructure Initiative (CII), which is a project of the Linux Foundation (LF). However, the LF is itself a nonprofit mutual benefit corporation (specifically a Section 501(c)(6)). As a nonprofit mutual benefit corporation, the LF is directed by other organizations which actually provide funding to do this work, and thus the LF and CII can be viewed as "pass through" organizations as described in this criterion.


  • Другое


    Достаточно для значка!

    Проект ОБЯЗАН указывать лицензию в каждом исходном файле. Это МОЖЕТ быть сделано путем включения в комментарий рядом с началом каждого файла следующей строки: SPDX-License-Identifier: [SPDX-выражение лицензии для проекта]. [license_per_file]

    Each source file has a copyright statement in its header (MIT). See CONTRIBUTING.md for the instructions for Ruby source files (nearly all source files are in Ruby).


  • Публичное хранилище исходного кода с поддержкой версий


    Достаточно для значка!

    Хранилище проектного исходного кода ОБЯЗАНО использовать типовое ПО для распределенного управления версиями (например, git или mercurial). [repo_distributed]

    Uses git. Repository on GitHub, which uses git. git is distributed.


    Достаточно для значка!

    Проект ОБЯЗАН четко обозначать небольшие задачи, которые могут быть выполнены новыми или случайными участниками. (Требуется URL) [small_tasks]

    We use the "up-for-grabs" tag. This is noted on the front page of the repo.


    Достаточно для значка!

    Проект ОБЯЗАН требовать двухфакторной аутентификации (ДФА) от разработчиков для изменения центрального хранилища или доступа к конфиденциальным данным (например, приватным отчетам об уязвимостях). Этот механизм ДФА МОЖЕТ использовать механизмы без криптографической защиты, такие как SMS, хотя это не рекомендуется. [require_2FA]

    The Core Infrastructure Initiative (CII) requires two-factor authentication for all organization members and outside collaborators as described in Requiring two-factor authentication in your organization.


    Достаточно для значка!

    При двухфакторной аутентификации (ДФА) проекту СЛЕДУЕТ использовать криптографические механизмы для предотвращения имперсонации. ДФА на основе службы коротких сообщений (SMS) сама по себе НЕ соответствует этому критерию, поскольку короткие сообщения не шифруются. [secure_2FA]

    Project governance specifically documents that SMS is not acceptable; see governance.md.


  • Стандарты кодирования


    Достаточно для значка!

    Проект ОБЯЗАН документировать свои требования по ревью кода, в том числе, как проводится ревью кода, что необходимо проверять и что необходимо для приемлемости кода. (Требуется URL) [code_review_standards]

    The file CONTRIBUTING.md describes the code review requirements. E.G., changes to the code built on Rails must follow the Rails community style guide. The continuous integration tasks run a large number of checks, e.g., all Ruby code must go through Rubocop, and all JavaScript code must go through ESLint (with the given conditions). We absolutely require that the Ruby code have at least 90% statement coverage, but we typically don't accept statement coverage less than 100%.


    Достаточно для значка!

    Проект ОБЯЗАН проводить проверку не менее 50% всех предлагаемых модификаций до их попадания в выпуск человеком, отличным от автора, для определения того, являются ли эти модификации целесообразными и не содержат ли известных проблем, препятствующих включению. [two_person_review]

    We have a policy in CONTRIBUTING.md that modifications other than low-risk modifications be reviewed by someone else, and a stated goal of having at least 50% of all proposed modifications to be reviewed.


  • Рабочая система сборки


    Достаточно для значка!

    Проект ОБЯЗАН обеспечивать воспроизводимую сборку. Если сборка не требуется (например, в случае языков сценариев, где исходный код используется непосредственно вместо компиляции), выберите «N/A». (Требуется URL) [build_reproducible]

    The code is written in Ruby and Javascript, which are not delivered as compiled executables.


  • Набор автотестов


    Достаточно для значка!

    Набор тестов ОБЯЗАН запускаться стандартным способом для этого языка. (Требуется URL) [test_invocation]

    Yes. "rake test" invokes the automated test suite. The default "rake" command includes "rake test". This is documented in CONTRIBUTING.md.


    Достаточно для значка!

    Проект ОБЯЗАН реализовать непрерывную интеграцию, при которой новый или измененный код интегрируется в центральное хранилище кода, и на получившейся базе кода запускаются автоматические тесты. (Требуется URL) [test_continuous_integration]

    Code is frequently integrated back into GitHub; CircleCI and several other tools are then run on the result to determine if there's a problem. If a problem is found, the tools provide feedback via GitHub. For more information, see the BadgeApp's status on CircleCI.


    Достаточно для значка!

    Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 90% инструкций кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. [test_statement_coverage90]

    As of this writing, we have 100% statement coverage, see Codecov.io.


    Достаточно для значка!

    Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 80% веток кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. [test_branch_coverage80]

    There are no top-to-bottom FLOSS tools available in Ruby which can measure branch coverage. Ruby version 2.5 was the first version that enabled capturing branch coverage, and it was only released on 2017-12-25. Other tools on top of Ruby need to be modified so that they can use this information, e.g., simplecov issue 412 proposed adding branch coverage support to simplecov.


  • Основы правильного использования криптографии

    Обратите внимание, что некоторое ПО не нуждается в использовании криптографических механизмов.

    Достаточно для значка!

    В ПО, создаваемом проектом, НЕОБХОДИМО поддерживать безопасные протоколы для всех сетевых коммуникаций, такие как SSHv2 или новее, TLS1.2 или новее (HTTPS), IPsec, SFTP и SNMPv3. По умолчанию НЕОБХОДИМО отключать небезопасные протоколы, такие как FTP, HTTP, telnet, SSLv3 или более ранние версии, и SSHv1, и разрешать их только в том случае, если пользователь явным образом это задаёт. Если программное обеспечение, созданное проектом, не поддерживает сетевые коммуникации, выберите «неприменимо» (N/A). [crypto_used_network]

    https://github.com/linuxfoundation/cii-best-practices-badge


    Достаточно для значка!

    Если ПО, создаваемое проектом, поддерживает или использует TLS, НЕОБХОДИМО поддерживать как минимум версию TLS 1.2. Примечание: предшественник TLS называется SSL. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). [crypto_tls12]

    Github uses TLS 1.2, see https://github.com/linuxfoundation/cii-best-practices-badge.


  • Доставка, защищенная от атак посредника (MITM)


    Достаточно для значка!

    Веб-сайт проекта, репозиторий (если он доступен через Интернет) и сайт загрузки (если он существует отдельно) ОБЯЗАНЫ использовать упрочняющие безопасность (hardening) заголовки с неразрешающими значениями. (Требуется URL) [hardened_site]

    We use GitHub, and securityheaders.io verifies that our sites meet this criterion.


  • Другие вопросы безопасности


    Достаточно для значка!

    Проект ОБЯЗАН иметь проверку безопасности за последние 5 лет. При проверке НЕОБХОДИМО учитывать требования и границы безопасности. [security_review]

    We have performed a self-assessment of our security, and it is documented in security.md. This considered the security requirements and security boundary, and examined the high-level architecture. We used static & dynamic tools, as well as human review (especially of the major design components). This was not an independent evaluation, but the criterion doesn't require that.


    Достаточно для значка!

    В ПО, создаваемом проектом, НЕОБХОДИМО использовать механизмы упрочнения безопасности (hardening), чтобы дефекты программного обеспечения с меньшей вероятностью приводили к уязвимостям в безопасности. (Требуется URL) [hardening]

    We use various HTTP headers for hardening, including a rigorous Content Security Policy (CSP) setting. For more information, see security.md which discusses the hardening mechanisms.


  • Динамический анализ кода


    Достаточно для значка!

    Проект ОБЯЗАН применять хотя бы один инструмент динамического анализа к любой предлагаемой основной версии ПО, создаваемого проектом до её выпуска. [dynamic_analysis]

    Analyzed with OWASP ZAP by Emily Ratliff


    Едва достаточно для значка.

    Проекту СЛЕДУЕТ включать достаточно много утверждений (assertions) времени выполнения в создаваемом им ПО и проверять эти утверждения во время динамического анализа. [dynamic_analysis_enable_assertions]

    Instead of embedding run-time assertions, there are many external tests with assertions that are checked during automated testing.



This data is available under the Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). This means that a Data Recipient may share the Data, with or without modifications, so long as the Data Recipient makes available the text of this agreement with the shared Data. Please credit David A. Wheeler and the OpenSSF Best Practices badge contributors.

Владелец анкеты на значок проекта: David A. Wheeler.
2015-10-23 22:02:10 UTC, последнее изменение сделано 2025-01-03 20:27:50 UTC. Значок последний раз потерян 2023-09-19 06:10:11 UTC. Последний раз условия для получения значка были выполнены 2023-09-19 06:10:30 UTC.

Назад