Seguro por defecto, verificable con pruebas
Los valores de seguridad por defecto están activos desde la primera petición. Plerino es anterior a la versión 1.0 y no ha sido auditado de forma independiente; las afirmaciones siguientes describen un comportamiento implementado y probado en el repositorio.
01Por defecto
Una protección que no depende de que alguien se acuerde de activarla.
Un único proveedor de criptografía
libsodium es el único proveedor de criptografía: cifrado autenticado, hashing, firma y llaveros con rotación.
Los secretos siguen siendo secretos
Los secretos son valores tipados. Quedan fuera de la configuración compilada y se ocultan en los registros y en la telemetría.
Las plantillas escapan por defecto
Weft escapa cada interpolación, restringe las expresiones y admite una política de seguridad de contenido estricta con nonces.
Peticiones salientes protegidas
El cliente HTTP tiene activada la protección SSRF y controla las redirecciones.
HTTP reforzado
Un middleware añade una política de seguridad de contenido basada en nonce y las cabeceras relacionadas. El análisis de las peticiones es estricto y el tamaño de los cuerpos está acotado.
Sin comportamiento oculto
Las reglas de análisis estático del proyecto rechazan las variables variables, los métodos mágicos, goto, exit y las propiedades estáticas mutables.
Cargas útiles seguras
Los trabajos viajan como sobres JSON, nunca como objetos PHP serializados. Los valores de las consultas siempre se enlazan y los identificadores se validan.
Autenticación alineada con ASVS
El paquete de autenticación relaciona los requisitos de OWASP ASVS 4.0.3 nivel 3 con las pruebas que los verifican. Es una autoevaluación, no una certificación.
Notifica una vulnerabilidad de forma privada
No abras una incidencia pública para un problema de seguridad. Escribe a security@plerino.dev y cifra el material sensible con la clave OpenPGP del proyecto.
Incluye el paquete y la versión afectados, una descripción del impacto y los pasos para reproducirlo.
Huella OpenPGPCE54 B9BD 090A 77C8 76F1 6469 5738 9547 7EB3 C109
Plazos de respuesta
- Acuse de recibo
- 48 horas
- Corrección de una vulnerabilidad crítica
- 7 días
- Corrección de una vulnerabilidad alta
- 30 días
- Divulgación pública
- Tras publicarse la corrección o a los 90 días, lo que ocurra primero
Puerto seguro
No se emprenderán acciones legales contra la investigación de buena fe que siga esta política, evite las violaciones de la privacidad y la interrupción del servicio, y dé al proyecto tiempo para corregir el problema.
Abuso
Para informar del uso indebido de este sitio o de sus direcciones, escribe a abuse@plerino.dev.
Sigue el camino hacia la 1.0
Explora lo que existe hoy o escríbenos si quieres hablar sobre el proyecto.