SAST, SCA и secret scanning

Коротко: Три автоматические проверки кода проекта: SAST ищет бреши безопасности в вашем коде, SCA — известные уязвимости в сторонних библиотеках, secret scanning — случайно опубликованные пароли и ключи.

Подробнее:

• SAST (static application security testing) читает исходный код и сообщает об опасных шаблонах, таких как нефильтрованный HTML, вызовы команд с пользовательским вводом или небезопасный доступ к файлам.
• SCA (software composition analysis) сравнивает зависимости (package.json, lock-файл) с базами известных уязвимостей (CVE).
• Secret scanning находит в репозитории учётные данные, ключи API и файлы .env (см. файлы .env).

Наш контекст: Emzett сканирует репозиторий с помощью Aikido. Одной из находок SCA была критическая брешь в старой версии Next.js, устранённая обновлением патча; находки SAST проверяются по отдельности (реальный риск или ложная тревога). Помогает и npm audit. Хостинг-провайдер Vercel не предоставляет ни одной из этих проверок — он защищает платформу и сеть, а не код.

См. также: XSS, SQL-инъекция, файлы .env, WAF