Sicherheit und Transparenz
Der Quellcode dieser Plattform ist öffentlich und wird automatisierten Sicherheitsprüfungen unterzogen. Diese Seite fasst die Transparenzwerkzeuge zusammen, die allen Nutzern des Dienstes zur Verfügung stehen.
Open-Source-Software
Die gesamte Plattform ist als freie Software veröffentlicht. Der Quellcode kann von jedem eingesehen, heruntergeladen und auditiert werden, im Einklang mit den Transparenzgrundsätzen der italienischen öffentlichen Verwaltung.
SBOM (Software Bill of Materials)
Jede auf GitHub veröffentlichte Version enthält eine SPDX-SBOM für das Container-Image und eine CycloneDX-SBOM für die npm-Abhängigkeiten der Anwendung. Die Dateien werden direkt an die Version angehängt und können für Sicherheits- und Compliance-Audits verwendet werden.
OpenSSF Scorecard
Das Repository wird regelmäßig von OpenSSF Scorecard analysiert, das automatisch Dutzende von Sicherheitspraktiken des Projekts bewertet (Branch-Schutz, Workflows mit minimalen Rechten, signierte Commits, Abhängigkeitsverwaltung). Die aktuelle Punktzahl ist öffentlich.
Automatische Scans
Abhängigkeiten werden kontinuierlich über Dependabot und npm audit überwacht. Die Release-Pipeline erzeugt nachvollziehbare Images über das Label org.opencontainers.image.revision, das jedes Image mit dem exakten Commit verknüpft, aus dem es gebaut wurde.
Meldung von Schwachstellen
Die Richtlinie für verantwortungsvolle Offenlegung ist in der Datei SECURITY.md des Repositorys beschrieben. Sicherheitsprobleme können gemäß den dort angegebenen Anweisungen vertraulich gemeldet werden.