Ama pull request'te beliren bir kontrol, her iş günü ekibin yolunda — iyi anlamda — durur. Bu, web tarayıcısının çalıştırdığı dedektörlerin aynısını her commit'te çalıştırır: sizin kendi çalıştırıcınızın içinde, böylece yayımlanmamış kod makinenizde kalır.
Bir güvenlik tarayıcısı hakkındaki konuşmaların çoğunu bitiren itiraz budur, o yüzden en başta ve kesin biçimde söylenmeyi hak ediyor.
201 dedektörlü motor çalıştırıcınıza indirilir ve orada çalışır. SaferICO'ya geri gönderilen şey ciddiyet başına bir sayı ve dosya adı ile satır numarası taşıyan kural kimlikleridir — kodun kendisi asla, kanıt metinleri de asla, çünkü onlar kaynağınızdan alıntı yapar.
Test paketi, giden isteğin gövdesini az önce taradığı kaynağın parçaları için tarar. İddia bir cümle değil, her koşuda doğrulanan bir özelliktir.
Motorun gerçek bir kod tabanında bundan çok daha fazlasına ihtiyacı olur. GitHub çalıştırıcısında tam bir çekirdek ve zaman sınırı yoktur, dolayısıyla commit'inizde çalışan tarama, kısaltılmış değil tam taramadır.
Çalıştırıcı her koşuda güncel motoru çeker. Bir yıl önce sabitlenmiş bir iş akışı bugünün dedektörlerini alır.
.github/workflows/ içinde tek bir dosya. Çalıştırıcı hiçbir bağımlılık ağacı indirmez — kendi bağımlılıklarını boru hattınıza sürükleyen bir güvenlik aracı kendi kendine karşı argüman üretir.
İsteğe bağlı son adım SARIF yükler, böylece bulgular GitHub'ın Security sekmesinde ve doğrudan diff'in üzerinde görünür — bir geliştiricinin onları gerçekten okuyacağı yer orasıdır.
Araçların kendisi (tarayıcı, kontrol panelleri, SAFI çalışma alanı) şu an İngilizce arayüzle çalışıyor. Bu sayfalar, oraya girmeden önce her şeyi Türkçe anlatır.
Bir dosya, bir gizli anahtar ve derlemenin ne zaman kırılacağını belirleyen bir eşik.
Dedektörler zaten /sfi-engine.js adresinde herkese açık ve bunun aksini iddia etmiyoruz. Burada satılan şey lisans, geçmiş kaydı, derlemenin kırılıp kırılmayacağına karar veren politika ve organizasyon genelindeki görünümdür.
.github/workflows/ altına tek bir dosya koyarsınız: kod çekilir, sfi-ci.mjs indirilir ve çalıştırılır, isteğe bağlı olarak SARIF yüklenir. Tam metin sayfanın kendisinde kopyalanmaya hazır durur.
Çalıştırıcının kendisi, çalıştırmadan önce okuyabileceğiniz tek bir dosyadır: https://saferico.com/sfi-ci.mjs
Anahtarı hesabınızın API anahtarları sekmesinden oluşturur ve deponuzun secrets bölümüne SAFERICO_API_KEY olarak eklersiniz.
Hesap başına 5 anahtara kadar, her biri iptal edilebilir ve kendi çağrı sayacını taşır.
Motorun bildirdiği ciddiyetler: kritik, yüksek, orta, düşük, bilgi. Varsayılan «yüksek ve üzerinde kır».
Bir birikimi temizlerken eşiği düşürün, temizlendikten sonra yükseltin. Kimsenin geçemediği bir eşik bir hafta içinde kapatılır, ve kapatılmış bir kontrol hiçbir şeyi korumaz.
Kontrat adresini yapıştırın; sahip yetkilerini, likiditeyi ve satış simülasyonu sonucunu riske girmeden önce görün. Tarama başına küçük bir ücret imzadan önce gösterilir — herhangi bir abonelikte ise sınırsız olarak dahildir.
