Standardmäßig sicher, per Test nachprüfbar
Die Sicherheitsvoreinstellungen sind ab der ersten Anfrage aktiv. Plerino befindet sich vor Version 1.0 und wurde nicht unabhängig auditiert; die folgenden Aussagen beschreiben Verhalten, das im Repository umgesetzt und getestet ist.
01Voreinstellungen
Schutz, der nicht davon abhängt, dass jemand daran denkt, ihn einzuschalten.
Ein Kryptografie-Anbieter
libsodium ist der einzige Kryptografie-Anbieter: authentifizierte Verschlüsselung, Hashing, Signaturen und Schlüsselringe mit Rotation.
Secrets bleiben geheim
Secrets sind typisierte Werte. Sie bleiben außerhalb der kompilierten Konfiguration und werden in Logs und Telemetrie geschwärzt.
Templates maskieren standardmäßig
Weft maskiert jede Interpolation, schränkt Ausdrücke ein und unterstützt eine strikte Content Security Policy mit Nonces.
Abgesicherte ausgehende Anfragen
Im HTTP-Client ist der SSRF-Schutz eingeschaltet, und Redirects werden kontrolliert.
Gehärtetes HTTP
Eine Middleware setzt eine Nonce-basierte Content Security Policy und verwandte Header. Anfragen werden strikt geparst, und Bodys sind begrenzt.
Kein verborgenes Verhalten
Projektregeln der statischen Analyse lehnen variable Variablen, magische Methoden, goto, exit und veränderliche statische Eigenschaften ab.
Sichere Payloads
Jobs werden als JSON-Envelopes transportiert, nie als serialisierte PHP-Objekte. Query-Werte werden immer gebunden, und Bezeichner werden validiert.
Authentifizierung nach ASVS zugeordnet
Das Authentifizierungspaket ordnet Anforderungen aus OWASP ASVS 4.0.3 Level 3 den Tests zu, die sie verifizieren. Das ist eine Selbsteinschätzung, keine Zertifizierung.
Schwachstellen vertraulich melden
Eröffnen Sie für ein Sicherheitsproblem kein öffentliches Issue. Schreiben Sie an security@plerino.dev und verschlüsseln Sie sensible Inhalte mit dem OpenPGP-Schlüssel des Projekts.
Nennen Sie das betroffene Paket und die Version, beschreiben Sie die Auswirkung und die Schritte zur Reproduktion.
OpenPGP-FingerabdruckCE54 B9BD 090A 77C8 76F1 6469 5738 9547 7EB3 C109
Reaktionsziele
- Eingangsbestätigung
- 48 Stunden
- Behebung einer kritischen Schwachstelle
- 7 Tage
- Behebung einer Schwachstelle mit hohem Schweregrad
- 30 Tage
- Veröffentlichung
- Nach Freigabe der Korrektur oder nach 90 Tagen, je nachdem, was zuerst eintritt
Safe Harbour
Forschung in gutem Glauben, die dieser Richtlinie folgt, Datenschutzverletzungen und Störungen des Betriebs vermeidet und dem Projekt Zeit zur Behebung gibt, wird rechtlich nicht verfolgt.
Missbrauch
Um den Missbrauch dieser Website oder ihrer Adressen zu melden, schreiben Sie an abuse@plerino.dev.
Begleiten Sie den Weg zu 1.0
Entdecken Sie, was heute vorhanden ist, oder schreiben Sie uns, wenn Sie über das Projekt sprechen möchten.