Запровадила безперервну програму безпеки — сканування коду, DAST, перевірки залежностей і вразливостей, генерацію SBOM, пошук секретів та actions, закріплені за SHA, — поряд із 21 письмовим аудитом безпеки.

Ситуація. Робота з безпеки всередині застосунку — Content‑Security‑Policy, ролі бази даних із мінімальними привілеями, повторні перевірки прав — захищає платформу під час виконання. Але вона нічого не каже про те, що саме виходить у реліз: чи не підхопила залежність відому вразливість минулого вівторка, чи не потрапили в коміт облікові дані, які потім відкотили, і чи не стала стороння action, закріплена за тегом, непомітно зовсім іншим кодом.

Завдання. Безпека ланцюга постачання та коду мала бути безперервною й автоматизованою, щоб її стан був результатом збірки, а не чиєюсь думкою.

Дія. Статичний аналіз виконує CodeQL, динамічне тестування живого інстансу — ZAP, а залежності Go перевіряє govulncheck. Специфікація програмного забезпечення (SBOM) генерується під час кожної збірки за допомогою Anchore та Syft, тож склад того, що вийшло в продакшн, відомий одразу, а не відновлюється згодом. Gitleaks шукає в історії облікові дані. Кожна стороння GitHub Action закріплена за хешем коміту, а не за тегом, — це той непоказний захід, який не дає комусь непомітно перемістити тег. Dependabot стежить за 6 екосистемами. Автоматизацію доповнює 21 письмовий аудит безпеки, зокрема модель загроз і оцінка за посібником з тестування OWASP, — адже сканери знаходять типи проблем, які хтось уже описав, а в моделі загроз називають ті, що властиві саме цій платформі.

Результат. Про вразливість, оприлюднену в upstream, сповіщає зламана збірка, а не новини. Справжня ціна — обсяг знахідок: сканер, який повідомляє про все, привчає людей його ігнорувати, і щоб сигнал лишався корисним, потрібен постійний розбір знахідок, а не одноразове налаштування.