Zestawy reguł
Gotowe zestawy reguł i testów zamiast pisania każdego sprawdzenia od zera
Zestaw opisuje, co sprawdzić w konkretnej technologii, jakich uprawnień do tego potrzeba i jak wygląda dowód. Wersjonowany, z historią zmian i przykładami podatnymi oraz bezpiecznymi.
01
Katalog produktów operatora
Na start wyłącznie nasze własne zestawy. Otwarty katalog dla zewnętrznych autorów otwieramy dopiero, gdy proces przeglądu będzie sprawdzony w praktyce.
Produkt operatora
Wszystko poniżej jest nasze. Sprzedajemy własne zestawy i jednocześnie oceniamy cudze produkty, więc oznaczamy to wprost wszędzie, gdzie jedno stoi obok drugiego. Zasady opisuje polityka neutralności.
Kupujący i sprawdzenie bez konta
Triage zaufania po adresie
Publiczna powierzchnia narzędzia po adresie: komu przekazuje dane, kto za nim stoi, dokąd lecą formularze, szyfrowanie, klucze w kodzie strony.
- wersja
- 0.10.0
- reguł
- 28
- poziom
- L0, bez zgody właściciela, tylko to, co widzi każdy
- wejście
- adres strony, zwykłe żądania GET
Zespoły i agencje przed publikacją
Granice danych w Supabase
Granice danych w Supabase: polityki dostępu, funkcje z podwyższonymi uprawnieniami, role i kubełki na pliki. Na migawce konfiguracji, bez łączenia się z systemem.
- wersja
- 1.1.0
- reguł
- 9
- poziom
- L1, nie wymaga upoważnienia
- wejście
- migawka konfiguracji, którą eksportujesz sama
02
Co zawiera zestaw
Zestaw bez tego wszystkiego to plik z poradami, a nie narzędzie kontroli.
Deklarację uprawnień
Czego zestaw wymaga, czego mu nie wolno i jaki poziom upoważnienia jest konieczny.
Przykłady podatne i bezpieczne
Reguła musi znaleźć problem na przykładzie z problemem i milczeć na przykładzie bez niego. Inaczej nie wiadomo, czy w ogóle działa.
Format dowodu
Co zestaw zapisuje jako dowód i jak to odtworzyć.
Deklarację połączeń wychodzących
Dokąd zestaw sięga podczas działania. Domyślnie donikąd.
Wzór naprawy
Konkretna poprawka do znalezionego problemu, nie ogólne zalecenie.
Wersję i historię zmian
Zestaw bez wersji nie da się powiązać z wynikiem sprzed trzech miesięcy.
03
Kiedy otworzymy katalog dla innych
Katalog bez zaufania jest zbiorem paczek. Dlatego otwieramy go dopiero, gdy przegląd bezpieczeństwa zestawu będzie procesem, a nie deklaracją, i gdy będzie na czym go sprawdzić.
Progi mamy zapisane i nie są ruchome: co najmniej pięćdziesięciu płacących kupujących albo dwudziestu powtarzalnych klientów, oraz działający proces przeglądu z podpisywaniem wersji.