Passer au contenu principal

Comment les dépendances sont-elles vérifiées pour les vulnérabilités ?

amaise vérifie automatiquement toutes les dépendances tierces à chaque build :

a
Écrit par amaise Support

Comment les dépendances sont-elles vérifiées pour les vulnérabilités ?

amaise vérifie automatiquement toutes les dépendances tierces à chaque build :

Outil

Langage

Comportement

OWASP Dependency Check

Java

Build échoue si CVSS ≥ 7

Snyk

Python

Surveillance continue avec alertes

npm audit

TypeScript

À chaque build

pip-audit

Python

À chaque build

Des vérifications de licences sont également effectuées : un contrôle automatique dans les builds Python et TypeScript bloque les licences copyleft (GPL, AGPL, SSPL) afin d’éviter les risques liés à la chaîne d’approvisionnement. Quelques exceptions sont documentées nommément, chacune avec sa justification.

Toutes les dépendances sont figées à une version précise (pas de versions flottantes). Les runtimes et frameworks utilisés sont maintenus sur les versions principales LTS actuelles. Les dépendances proviennent exclusivement de registres officiels (Maven Central, PyPI, npm).

Avez-vous trouvé la réponse à votre question ?