Repository navigation
chore: SBOM, SECURITY.md e fuzz no CI de PR - #13
Merged
Merged
Conversation
O fuzz só corria em workflow_dispatch, então um PR podia entrar sem os três alvos. Sem SECURITY.md não havia canal nem prazo interno, e o README não dizia que production-grade depende de auditoria externa. 1. SECURITY.md em pt-BR: relatório privado, prazos internos por severidade, o que ainda não é (sem auditoria externa, sem LTS). 2. Job sbom gera CycloneDX do crate e sobe artefacto; não vai para o git. 3. Job docker documenta cosign keyless e admite que não há registry. 4. Fuzz waf/protocol/dlp em pull_request, em paralelo, 45s cada. Prova: python parse do workflow (fuzz sem if, matrix dos 3 alvos); cargo cyclonedx --format json --spec-version 1.5 → ferroada.cdx.json CycloneDX 1.5, 215 componentes, gitignored.
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
O fuzz só corria em
workflow_dispatch. SemSECURITY.mdnão havia canal de reporte nem prazo interno. O README não dizia que production-grade depende de auditoria externa. Este repositório não publica imagem num registry.O que muda
SECURITY.mdem pt-BR: relatório privado no GitHub, prazos internos por severidade, o que ainda não é (sem auditoria externa, sem LTS, sem CNA, sem bug bounty).sbomgera CycloneDX 1.5 do crate (cargo cyclonedx) e sobe artefacto. Não vai para o git.dockerdocumenta cosign keyless (OIDC do GitHub) e admite que não há registry — não inventa GHCR/Hub.waf/protocol/dlpempull_request, em paralelo,-max_total_time=45. Semif:de skip.SECURITY.mde diz que production-grade depende de auditoria externa.Fora de escopo (de propósito): OIDC/mTLS do dashboard, CNA/CVE, bug bounty, LTS, operator, Helm.
Prova
pythonparse do workflow:fuzz.ifé None; matrix[waf, protocol, dlp];on.pull_requestpresente.cargo cyclonedx --format json --spec-version 1.5 --describe crate→ferroada.cdx.jsonCycloneDX 1.5, 215 componentes, gitignored.