fpsot-spec-security/publiccode.yml at main · fpsot-org/fpsot-spec-security · GitHub

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
publiccodeYmlVersion: "0.4"
name: FPSOT security specification
url: "https://github.com/fpsot-org/fpsot-spec-security"
platforms:
  - web
categories:
  - it-security
developmentStatus: concept
softwareType: "standalone/other"
description:
  en:
    shortDescription: Security rules for FPSOT projects, with coordinated vulnerability disclosure.
    longDescription: >
      Rules for how FPSOT projects build, release and maintain their software
      and specifications securely: a profile of the NIST Secure Software
      Development Framework 1.1, threat models, OWASP ASVS 5.0.0 levels,
      review and analysis in continuous integration, secrets, pinned
      dependencies and actions, CycloneDX SBOMs, SLSA provenance and signed
      releases. It also sets how vulnerabilities are reported in private,
      scored with CVSS v4.0, published as CVE and OSV advisories, and disclosed
      after a free pre-notice to public-sector adopters. The rules name
      capabilities, not tools.
    features:
      - SSDF 1.1 profile with ASVS 5.0.0 levels
      - Pinned inputs, CycloneDX SBOM, SLSA provenance and signatures
      - Private reporting outside Working Groups
      - Free pre-notice to public-sector adopters, public within 90 days
      - Bilingual SECURITY.md template
  fr:
    shortDescription: Règles de sécurité des projets FPSOT, avec la divulgation coordonnée des vulnérabilités.
    longDescription: >
      Règles sur la façon dont les projets FPSOT construisent, publient et
      maintiennent leurs logiciels et leurs spécifications de façon sécuritaire :
      un profil du Secure Software Development Framework 1.1 du NIST, les
      modèles de menaces, les niveaux de l’OWASP ASVS 5.0.0, la revue et
      l’analyse dans l’intégration continue, les secrets, les dépendances et
      les actions épinglées, les nomenclatures logicielles CycloneDX, la
      provenance SLSA et les versions signées. Elle fixe aussi comment
      signaler une vulnérabilité en privé, la coter avec le CVSS v4.0, la
      publier en avis CVE et OSV et la divulguer après un préavis gratuit aux
      organisations du secteur public. Les règles nomment des capacités, pas
      des outils.
    features:
      - Profil du SSDF 1.1 avec les niveaux de l’ASVS 5.0.0
      - Intrants épinglés, nomenclature CycloneDX, provenance SLSA et signatures
      - Signalement privé, hors des groupes de travail
      - Préavis gratuit au secteur public, publication dans les 90 jours
      - Gabarit SECURITY.md bilingue
legal:
  license: Community-Spec-1.0
maintenance:
  type: community
localisation:
  localisationReady: true
  availableLanguages:
    - en
    - fr