SAST, SCA та secret scanning

Коротко: Три автоматичні перевірки коду проєкту: SAST шукає діри в безпеці у вашому коді, SCA — відомі вразливості у сторонніх бібліотеках, secret scanning — випадково опубліковані паролі й ключі.

Докладніше:

• SAST (static application security testing) читає вихідний код і повідомляє про небезпечні шаблони, як-от нефільтрований HTML, виклики команд з користувацьким вводом чи небезпечний доступ до файлів.
• SCA (software composition analysis) порівнює залежності (package.json, lock-файл) із базами відомих вразливостей (CVE).
• Secret scanning знаходить у репозиторії облікові дані, ключі API та файли .env (див. файли .env).

Наш контекст: Emzett сканує репозиторій за допомогою Aikido. Однією з знахідок SCA була критична діра в старій версії Next.js, усунена оновленням патча; знахідки SAST перевіряються окремо (реальний ризик чи хибна тривога). Допомагає й npm audit. Хостинг-провайдер Vercel не надає жодної з цих перевірок — він захищає платформу та мережу, а не код.

Див. також: XSS, SQL-ін’єкція, файли .env, WAF