Une détection n'est valable qu'en fonction des éléments qui la soutiennent. La fonctionnalité Sécurité précise le type de preuve associé à chaque détection, et seule une preuve accompagnée d'un enregistrement de vérification fiable peut amener à bloquer un pull request, à en informer quelqu'un ou à la considérer comme confirmée.
Les trois types
| Preuves | Moyens | Vérifié par |
|---|---|---|
| Correspondance avec un avis | Une analyse complète a comparé la version du paquet installé à la plage concernée par une alerte publiée. | L'analyse elle-même : l'outil d'analyse et sa version, la configuration que lui a attribuée Coroid, ainsi que l'alerte et la date de sa dernière mise à jour. |
| Trouvaille statique validée | Le code correspond à un schéma vulnérable. | Une règle ayant passé la phase de calibration ou, pour un problème identifié par un modèle AI, une vérification indépendante qui reconstitue le problème à partir du code de cette validation. Cette vérification est exécutée séparément de celle qui a identifié le problème. |
| Échec reproduit | Un échec de sécurité a été exécuté et observé. | Une exécution de preuve dans un environnement isolé, relancée indépendamment avec le même résultat. Planifié: Coroid ne lance pas encore d'exécutions de preuve. |
Un enregistrement de vérification est associé à une seule validation. Il ne s'applique pas à la validation suivante ; la prochaine analyse sera effectuée à nouveau.
Les actions possibles pour chaque type
- Détections liées aux dépendances Appliquer aux correspondances d'avis.
- Règles relatives aux secrets et au code Ne s'applique qu'avec une version du détecteur ayant passé la calibration. Consultez Protections et application des règles.
- Les affirmations de sécurité de la Révision Coroid et les résultats de l'audit bloquent ou notifient uniquement après qu'une vérification indépendante les a confirmés en tant que constat statique validé.
Pas encore confirmé
Un résultat sans une telle preuve est répertorié comme Non confirmé pour l'instant. Il apparaît dans la section Sécurité avec les informations disponibles, et n'a aucun autre effet : il ne fait pas échouer une vérification, n'alerte personne ni n'est comptabilisé comme confirmé dans l'Aperçu. C'est dans ce cas que la prétention d'un modèle AI reste en l'état lorsque la vérification indépendante ne peut pas la confirmer, par exemple parce que le code à l'origine du problème se trouve dans un autre fichier.
Une alerte importée depuis GitHub, que les analyses propres à Coroid n'ont pas confirmée, s'affiche comme Importé depuis GitHub, non confirmé pour l'instant, et est comptabilisé séparément dans l'Aperçu. Il n'alerte ni ne bloque qu'une fois que l'analyse propre à Coroid l'aura confirmé. Consultez Les autorisations GitHub et la vérification de sécurité Coroid.
Où le consulter
La page d'un résultat affiche sa preuve, la source qui l'a généré et ce qui l'a vérifié. Les demandes de fusion de correctifs incluent également leur preuve : pour une dépendance, les avis qu'elles corrigent ainsi que l'inventaire des paquets avant et après la modification. Consultez Demandes de fusion de correctifs.