Kasandro: jakie kontrole bezpieczeństwa chodzą przy każdej zmianie
Każda zmiana w kodzie Kasandro przechodzi automatyczne kontrole bezpieczeństwa, a nowe znaleziska zatrzymują build: luka w zależnościach, wyciek sekretu, ryzykowny wzorzec w kodzie, alert na zbudowanej stronie. Ten wpis je wymienia i podaje wyniki pierwszych uruchomień z 13 października 2026. Połączenie z bankiem w Kasandro jeszcze nie jest otwarte; kontrole obejmują kod i stronę publiczną, które istnieją dziś.
Kontrole przy każdej zmianie
| Kontrola | Na co patrzy | Nowe znaleziska |
|---|---|---|
| npm audit (poziom krytyczny) | znane podatności zależności | zatrzymują build |
| gitleaks | klucze i hasła w kodzie | zatrzymują build |
| Semgrep SAST | ryzykowne wzorce w kodzie, otwarty zestaw reguł | zatrzymują build |
| TruffleHog | działające sekrety w całej historii gita (sprawdzane u wystawcy) | zatrzymują build |
| OWASP ZAP baseline | zbudowana strona, pasywnie: nagłówki, ciasteczka, biblioteki | zatrzymują build |
| OSV-Scanner | zależności względem bazy podatności (przy zmianie zależności i co tydzień) | zatrzymują build |
| Dependabot | przestarzałe zależności i GitHub Actions | proponuje aktualizacje (niżej) |
„Zatrzymuje build” znaczy, że kontrola robi się czerwona i pull request nie przechodzi. Baseline ZAP nigdy nie atakuje: przegląda stronę i czyta odpowiedzi (co to znaczy, wyjaśnia nasz wpis o ZAP).
Co tydzień Dependabot otwiera zgrupowane pull requesty z aktualizacjami zależności, które znalazł (dependabot.yml); cotygodniowa rutyna scala wszystkie otwarte w jeden pull request i pracuje nad nim, aż przejdą wszystkie blokujące kontrole; scala go człowiek.
Pierwsze uruchomienia, 13 października 2026
- Semgrep: 0 znalezisk.
- OWASP ZAP baseline: 63 sprawdzenia zaliczone, 0 niezaliczonych.
- TruffleHog: cała historia gita, 0 sekretów.
- Skan zależności (OSV-Scanner): wskazał znane podatności, a my zaktualizowaliśmy pakiety, które miały poprawkę (SDK Anthropic i zależności narzędzi Prisma).
- gitleaks i npm audit na poziomie krytycznym: przeszły.
FAQ
Czy te kontrole znaczą, że Kasandro jest bezpieczne?
To automatyczna podłoga: wychwytuje znane klasy błędów przy każdej zmianie i uzupełnia przegląd kodu przez ludzi.
Które kontrole zatrzymują build?
Nowe znaleziska w npm audit (krytyczne), gitleaks, Semgrep (ERROR), TruffleHog (zweryfikowane sekrety), ZAP baseline i OSV-Scanner zatrzymują build. Dependabot proponuje aktualizacje.
Gdzie zgłosić podatność?
Napisz na support@kasandro.com, nasz jedyny adres, i zajrzyj na stronę bezpieczeństwa oraz do pliku security.txt.
Źródła
- Semgrep, dokumentacja: https://semgrep.dev/docs/, stan na 13 października 2026
- ZAP, skan baseline: https://www.zaproxy.org/docs/docker/baseline-scan/, stan na 13 października 2026
- TruffleHog, projekt: https://github.com/trufflesecurity/trufflehog, stan na 13 października 2026
- OSV-Scanner, dokumentacja: https://google.github.io/osv-scanner/, stan na 13 października 2026
- gitleaks, projekt: https://github.com/gitleaks/gitleaks, stan na 13 października 2026
- Kasandro, strona bezpieczeństwa: https://kasandro.com/security, stan na 13 października 2026
Czytaj dalej
Kasandro to narzędzie do wglądu w Twoje finanse, nie doradztwo inwestycyjne ani finansowe. Liczby Marka, Ani i Tomka są danymi przykładowymi.
RSS · Ten wpis po polsku · Blog in English
Pytanie, na które ten wpis nie odpowiada? Napisz: support@kasandro.com.