Punti deboli

1Librerie vulnerabili

I progetti Odoo sono coperti dall'elenco dei moduli che il modulo Blipit invia già: una serie che non riceve più correzioni di sicurezza e moduli standard ancora su una serie precedente. Per le altre app, invia l'elenco dei pacchetti con PUT https://in.blipit.io/api/v1/sdk/packages, header X-Blipit-Key con la chiave segreta e body {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (ecosistemi npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL; al massimo 3.000). Ogni caricamento sostituisce l'elenco precedente. Blipit confronta ogni versione con il database OSV entro pochi minuti e poi ogni giorno, e mostra l'avviso, la sua gravità e la versione che lo corregge.

2Controlli di esposizione

Una volta al giorno Blipit controlla ogni dominio che monitori in Uptime (monitor HTTP, SSL e di dominio, fino a 20 per workspace): la scadenza del certificato TLS (avviso sotto i 14 giorni) e se TLS 1.0 o 1.1 è ancora accettato, un voto per sei header di sicurezza (HSTS, Content-Security-Policy, protezione dai frame, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), se /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php o /wp-config.php.bak possono essere scaricati (un 200 il cui contenuto corrisponde al file, non una pagina qualsiasi), chiavi API segrete nei bundle JavaScript propri della homepage, e SPF e DMARC sul dominio principale. Le richieste usano GET, timeout brevi e una pausa tra l'una e l'altra, si identificano come Blipit-SecurityCheck, non seguono mai un reindirizzamento verso un altro host e non raggiungono mai indirizzi privati.

3Punteggio e cosa correggere per primo

Ogni progetto parte da 100. Le vulnerabilità aperte tolgono 25 (critica), 15 (alta), 5 (media o non classificata) o 2 (bassa), fino a 60 in totale. I controlli falliti tolgono fino a 30 ciascuno (un .env, .git o backup di configurazione pubblici, o una chiave trapelata) e gli avvisi meno. Gli avvisi di sicurezza aperti negli ultimi 7 giorni tolgono 3 ciascuno, fino a 15. Correggi per primo elenca i cinque elementi che pesano di più. Un dominio conta per un progetto quando è l'host della sua istanza Odoo, o quando il workspace ha un solo progetto.

4Avvisi e l'email settimanale

Una nuova vulnerabilità alta o critica, un file appena esposto o una chiave trapelata genera un avviso di sicurezza sui tuoi canali di avviso, una sola volta. I proprietari del workspace possono anche ricevere un'email settimanale sulla sicurezza con il punteggio e l'elenco di cosa correggere per primo; disattivala in Impostazioni.

Buono a sapersi

• Perché solo i domini monitorati: aggiungere un dominio a Uptime è il modo in cui un workspace dimostra che è suo. Blipit non controlla mai un dominio che nessuno nel workspace monitora.
• Le chiavi trapelate sono mostrate mascherate; Blipit non memorizza mai la chiave completa.
• OSV non elenca gli avvisi del core di Odoo, quindi il core di Odoo viene valutato in base al suo stato di supporto.