Points faibles

1Bibliothèques vulnérables

Les projets Odoo sont couverts par la liste des modules que le module Blipit envoie déjà : une série qui ne reçoit plus de correctifs de sécurité, et des modules standard encore sur une série plus ancienne. Pour les autres applications, envoyez la liste des paquets avec PUT https://in.blipit.io/api/v1/sdk/packages, l'en-tête X-Blipit-Key contenant la clé secrète et le corps {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (écosystèmes npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL ; 3 000 au maximum). Chaque envoi remplace la liste précédente. Blipit vérifie chaque version dans la base OSV en quelques minutes puis chaque jour, et affiche l'avis, sa gravité et la version qui corrige le problème.

2Contrôles d'exposition

Une fois par jour, Blipit contrôle chaque domaine que vous surveillez dans Disponibilité (moniteurs HTTP, SSL et de domaine, jusqu'à 20 par espace de travail) : l'expiration du certificat TLS (avertissement à moins de 14 jours) et l'acceptation éventuelle de TLS 1.0 ou 1.1, une note pour six en-têtes de sécurité (HSTS, Content-Security-Policy, protection contre l'inclusion en cadre, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), la possibilité de télécharger /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php ou /wp-config.php.bak (un 200 dont le contenu correspond au fichier, pas n'importe quelle page), des clés d'API secrètes dans les bundles JavaScript propres à la page d'accueil, ainsi que SPF et DMARC sur le domaine principal. Les requêtes utilisent GET, des délais courts et une pause entre elles, s'identifient comme Blipit-SecurityCheck, ne suivent jamais une redirection vers un autre hôte et n'atteignent jamais d'adresses privées.

3Score et priorités

Chaque projet part de 100. Les vulnérabilités ouvertes retirent 25 (critique), 15 (élevée), 5 (moyenne ou non évaluée) ou 2 (faible), jusqu'à 60 au total. Les contrôles échoués retirent jusqu'à 30 chacun (un .env, un .git ou une sauvegarde de configuration publics, ou une clé divulguée), les avertissements moins. Les alertes de sécurité ouvertes des 7 derniers jours retirent 3 chacune, jusqu'à 15. À corriger en priorité liste les cinq éléments qui coûtent le plus. Un domaine compte pour un projet lorsqu'il est l'hôte de son instance Odoo, ou lorsque l'espace de travail n'a qu'un seul projet.

4Alertes et e-mail hebdomadaire

Une nouvelle vulnérabilité élevée ou critique, un fichier nouvellement exposé ou une clé divulguée déclenche une alerte de sécurité sur vos canaux d'alerte, une seule fois. Les propriétaires de l'espace de travail peuvent aussi recevoir un e-mail de sécurité hebdomadaire avec le score et la liste des priorités ; désactivez-le dans Paramètres.

Bon à savoir

• Pourquoi uniquement les domaines surveillés : ajouter un domaine à Disponibilité est la façon dont un espace de travail montre qu'il lui appartient. Blipit ne contrôle jamais un domaine que personne dans l'espace de travail ne surveille.
• Les clés divulguées sont affichées masquées ; Blipit ne stocke jamais la clé complète.
• OSV ne répertorie pas les avis concernant le cœur d'Odoo ; le cœur d'Odoo est donc évalué selon son statut de support.