Pontos fracos

1Bibliotecas vulneráveis

Projetos Odoo são cobertos pela lista de módulos que o módulo do Blipit já envia: uma série que não recebe mais correções de segurança e módulos padrão ainda em uma série mais antiga. Para outros apps, envie a lista de pacotes com PUT https://in.blipit.io/api/v1/sdk/packages, cabeçalho X-Blipit-Key com a chave secreta e corpo {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (ecossistemas npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL; no máximo 3.000). Cada envio substitui a lista anterior. O Blipit verifica cada versão na base de dados OSV em poucos minutos e novamente todos os dias, e mostra o alerta, sua gravidade e a versão que o corrige.

2Verificações de exposição

Uma vez por dia o Blipit verifica cada domínio que você monitora no Uptime (monitores HTTP, SSL e de domínio, até 20 por workspace): a expiração do certificado TLS (aviso com menos de 14 dias) e se TLS 1.0 ou 1.1 ainda é aceito, uma nota para seis cabeçalhos de segurança (HSTS, Content-Security-Policy, proteção contra frames, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), se /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php ou /wp-config.php.bak podem ser baixados (um 200 cujo conteúdo corresponde ao arquivo, não qualquer página), chaves de API secretas nos próprios bundles JavaScript da página inicial, e SPF e DMARC no domínio principal. As requisições usam GET, timeouts curtos e uma pausa entre elas, se identificam como Blipit-SecurityCheck, nunca seguem um redirecionamento para outro host e nunca alcançam endereços privados.

3Pontuação e o que corrigir primeiro

Cada projeto começa com 100. Vulnerabilidades abertas tiram 25 (crítica), 15 (alta), 5 (média ou sem classificação) ou 2 (baixa), até 60 no total. Verificações com falha tiram até 30 cada (um .env, .git ou backup de configuração públicos, ou uma chave vazada) e avisos tiram menos. Alertas de segurança abertos dos últimos 7 dias tiram 3 cada, até 15. Corrigir primeiro lista os cinco itens que mais custam. Um domínio conta para um projeto quando é o host da sua instância Odoo, ou quando o workspace tem um único projeto.

4Alertas e o e-mail semanal

Uma nova vulnerabilidade alta ou crítica, um arquivo recém-exposto ou uma chave vazada dispara um alerta de segurança pelos seus canais de alerta, uma única vez. Os proprietários do workspace também podem receber um e-mail semanal de segurança com a pontuação e a lista do que corrigir primeiro; desative-o em Configurações.

Bom saber

• Por que apenas domínios monitorados: adicionar um domínio ao Uptime é a forma de um workspace mostrar que ele é seu. O Blipit nunca verifica um domínio que ninguém do workspace monitora.
• Chaves vazadas são exibidas mascaradas; o Blipit nunca armazena a chave completa.
• O OSV não lista alertas do núcleo do Odoo, por isso o núcleo do Odoo é avaliado pelo seu status de suporte.