Puntos débiles

1Bibliotecas vulnerables

Los proyectos de Odoo se cubren con la lista de módulos que el módulo de Blipit ya envía: una serie que ya no recibe correcciones de seguridad y módulos estándar que siguen en una serie anterior. Para otras aplicaciones, envía la lista de paquetes con PUT https://in.blipit.io/api/v1/sdk/packages, cabecera X-Blipit-Key con la clave secreta y cuerpo {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (ecosistemas npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL; como máximo 3.000). Cada envío reemplaza la lista anterior. Blipit compara cada versión con la base de datos OSV en pocos minutos y de nuevo cada día, y muestra el aviso, su gravedad y la versión que lo corrige.

2Comprobaciones de exposición

Una vez al día Blipit comprueba cada dominio que monitorizas en Disponibilidad (monitores HTTP, SSL y de dominio, hasta 20 por espacio de trabajo): la caducidad del certificado TLS (aviso con menos de 14 días) y si todavía se acepta TLS 1.0 o 1.1, una calificación de seis cabeceras de seguridad (HSTS, Content-Security-Policy, protección de marcos, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), si se pueden descargar /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php o /wp-config.php.bak (un 200 cuyo contenido coincide con el archivo, no cualquier página), claves de API secretas en los propios bundles de JavaScript de la página de inicio, y SPF y DMARC en el dominio principal. Las solicitudes usan GET, tiempos de espera cortos y una pausa entre ellas, se identifican como Blipit-SecurityCheck, nunca siguen una redirección a otro host y nunca llegan a direcciones privadas.

3Puntuación y qué corregir primero

Cada proyecto empieza con 100. Las vulnerabilidades abiertas restan 25 (crítica), 15 (alta), 5 (media o sin clasificar) o 2 (baja), hasta 60 en total. Las comprobaciones fallidas restan hasta 30 cada una (un .env, .git o copia de configuración públicos, o una clave filtrada) y las advertencias, menos. Las alertas de seguridad abiertas de los últimos 7 días restan 3 cada una, hasta 15. Corregir primero lista los cinco elementos que más restan. Un dominio cuenta para un proyecto cuando es el host de su instancia de Odoo o cuando el espacio de trabajo tiene un solo proyecto.

4Alertas y el correo semanal

Una nueva vulnerabilidad alta o crítica, un archivo recién expuesto o una clave filtrada genera una alerta de seguridad en tus canales de alertas, una sola vez. Los propietarios del espacio de trabajo también pueden recibir un correo semanal de seguridad con la puntuación y la lista de qué corregir primero; desactívalo en Ajustes.

Conviene saber

• Por qué solo dominios monitorizados: añadir un dominio a Disponibilidad es la forma en que un espacio de trabajo demuestra que es suyo. Blipit nunca comprueba un dominio que nadie del espacio de trabajo monitoriza.
• Las claves filtradas se muestran enmascaradas; Blipit nunca guarda la clave completa.
• OSV no incluye avisos del núcleo de Odoo, así que el núcleo de Odoo se evalúa por su estado de soporte.