Перейти к содержанию

OpenSSF Scorecard: оценка репозиториев

Безопасность · Supply chain
Не изучено

Добавлено 2026-10-29.

Проблема

Зависимость выбирают по звёздам и описанию. Незакреплённые actions, опасные триггеры CI и заброшенность видны только при чтении репозитория, а на это нет времени.

Решение

Прогонять Scorecard по репозиторию перед тем, как брать его в работу, и по своим репозиториям регулярно. Полезнее отдельных баллов — конкретные проверки: Pinned-Dependencies, Dangerous-Workflow, Token-Permissions, Maintained, Code-Review.

Пример

export GITHUB_AUTH_TOKEN=<токен только на чтение>
scorecard --repo=github.com/aquasecurity/trivy \
  --checks=Pinned-Dependencies,Dangerous-Workflow,Token-Permissions \
  --show-details

Свой GitLab:

export GITLAB_AUTH_TOKEN=<токен на чтение>
scorecard --repo=gitlab.example.ru/infra/devops-kb
# если GitLab доступен по пути вида host/prefix/: export GL_HOST=host/prefix

Основная поддержка — GitLab.com; работу с self-hosted GitLab CE проверить на своём инстансе.

Когда применять

Перед добавлением новой зависимости или инструмента в CI, а также для своих репозиториев раз в квартал.

Источник

Как применить у себя

  1. Прогнать по трём инструментам, которые уже работают в CI.
  2. Разобрать находки уровня Pinned-Dependencies и Dangerous-Workflow.
  3. Прогнать по своему репозиторию в GitLab.
  4. Отметить «Изучено», когда проверка стала шагом при выборе новых инструментов.