Comment les dépendances sont-elles vérifiées pour les vulnérabilités ?
amaise vérifie automatiquement toutes les dépendances tierces à chaque build :
Outil | Langage | Comportement |
OWASP Dependency Check | Java | Build échoue si CVSS ≥ 7 |
Snyk | Python | Surveillance continue avec alertes |
npm audit | TypeScript | À chaque build |
pip-audit | Python | À chaque build |
Des vérifications de licences sont également effectuées : un contrôle automatique dans les builds Python et TypeScript bloque les licences copyleft (GPL, AGPL, SSPL) afin d’éviter les risques liés à la chaîne d’approvisionnement. Quelques exceptions sont documentées nommément, chacune avec sa justification.
Toutes les dépendances sont figées à une version précise (pas de versions flottantes). Les runtimes et frameworks utilisés sont maintenus sur les versions principales LTS actuelles. Les dépendances proviennent exclusivement de registres officiels (Maven Central, PyPI, npm).
