Referência

Segurança

O EGC mantém a segurança em camadas: análise estática, proteção da cadeia de suprimentos, fuzzing contínuo e pontuação mantida pela comunidade.

Postura de segurança

🔍

CodeQL

Análise estática em todo PR e varreduras semanais agendadas. Cobre JavaScript e TypeScript, Python e os workflows do GitHub Actions. Conjunto avançado de consultas ativado.

☁️

SonarCloud

Análise contínua de qualidade e segurança do código. Acompanha confiabilidade, manutenibilidade e pontos sensíveis de segurança a cada push.

🤖

Dependabot

PRs automáticos de atualização de dependências, agrupados por ecossistema (npm). Alertas de segurança e descarte automático de correções só de desenvolvimento ativados.

🔗

Dependency Review

Todo PR é verificado, antes do merge, em busca de novas dependências vulneráveis ou com licença incompatível.

💥

Fuzzing contínuo com o ClusterFuzzLite nos pull requests e numa rodada semanal. Os harnesses de JavaScript estão ativos desde que o bloqueio externo acompanhado na #910 foi resolvido, em julho de 2026.

🏆

OpenSSF Scorecard

Pontuação automática semanal em mais de 20 verificações de segurança: proteção de branch, releases assinadas, CI, permissões de token e mais.

✅

OpenSSF Best Practices

Selo Best Practices aprovado, mais os Baseline Levels 1, 2 e 3. Verifica documentação, cobertura de testes, processo de relato de vulnerabilidades e a higiene do projeto.

🔗

Socket.dev

Proteção da cadeia de suprimentos em todo PR que mexe no package.json. Pega pacotes maliciosos, typosquatting e código ofuscado antes que cheguem ao código.

✍️

DCO

Developer Certificate of Origin exigido em todo commit. Todos os contribuidores precisam assinar as próprias mudanças.

Como relatar uma vulnerabilidade

Não abra issues públicas no GitHub para vulnerabilidades de segurança.

Divulgar publicamente antes de haver correção coloca todos os usuários em risco.

Advisory privado no GitHub

github.com/Fmarzochi/EGC/security/advisories/new

E-mail

fmarzochi@gmail.com

Prazos de resposta

Confirmação de recebimento Em até 72 horas

Atualização de status Em até 14 dias

Correção ou mitigação Em até 90 dias após a vulnerabilidade ser confirmada