Sicherheit misst sichtbare Sicherheits- und Lieferkettenpraxis: automatisierte Abhängigkeitsaktualisierung, statische Analyse, signierte Releases, CI-Tokens mit minimalen Rechten, bekannte verwundbare Abhängigkeiten und das Vorhandensein einer Sicherheitsrichtlinie. Sie beantwortet die Frage, die eine Abhängigkeitsprüfung tatsächlich stellt: Praktiziert dieses Projekt Sicherheit offen sichtbar?
Die Kategorie trägt 16% des Gesamtindex. Die Sicherheitslage wird mit dem Jurisdiktionssignal multipliziert: Security = security_posture × high_risk_jurisdiction_exposure / 100.
Metrik in dieser Kategorie
| Metrik | Gewicht in der Kategorie | Gewicht im Gesamtindex |
|---|---|---|
| Sicherheitslage | Basiswert | 16% vor Multiplikator |
| Exposition gegenüber Hochrisikojurisdiktionen | Richtlinienmultiplikator | kein additives Gewicht |
Das Jurisdiktionsrisiko-Signal nutzt nur eindeutige, selbst veröffentlichte Profilstandorte im aktuellen Umfang Russland, Iran und Nordkorea. Ein Treffer priorisiert vertiefte Prüfung; er bestimmt weder Nationalität, Staatsbürgerschaft, Sanktionsstatus, Absicht noch persönliche Vertrauenswürdigkeit. Details erklärt der Governance-Leitfaden.
Die Sicherheitslage stützt sich auf die OpenSSF Scorecard, den neutralen, versionierten Sicherheitsstandard der Open Source Security Foundation. Jeder Scorecard-Check wird zu einer Komponente, gewichtet nach Scorecards eigener Risikostufe; Checks, die Scorecard nicht bestimmen kann, werden ausgeschlossen statt als null gewertet. Ist das Scorecard-Werkzeug nicht verfügbar, greift die Metrik auf grobe Dateibaum-Signale zurück, und der Bericht weist darauf hin.
Manche Scorecard-Praktiken belegen zugleich eine andere Gesundheitsdimension. Seit Methodikversion 1.0.0 liefern sieben ausgewählte Checks kleine Komponenten geteilter Evidenz in den betreffenden Karten und behalten dabei ihr volles Sicherheitsgewicht. Die Zuordnungen und kategoriespezifischen Gewichte sind in der Sicherheitslage und den Methodikversionen veröffentlicht.
Warum werkzeugneutral
Die Methodik belohnt bewusst die Praktik, nicht die Konfigurationsdatei eines Anbieters: jedes anerkannte Werkzeug zur Abhängigkeitsaktualisierung (Dependabot, Renovate, …), jedes SAST (CodeQL, Semgrep, …). Projekte mit Tooling außerhalb von GitHub werden nicht strukturell benachteiligt — eine Fairness-Eigenschaft, die von Scorecard geerbt und durch den Ausschluss ergebnisloser Checks bewahrt wird (siehe Methodikversionen, 0.6.0).
Den Kategoriewert lesen
- Die vollständige Aufschlüsselung je Check — jeder Scorecard-Check, sein Wert und seine Begründung — wird in jedem Bericht dargestellt, mit Links zur Scorecard-eigenen Dokumentation je Check.
- Eine Sicherheitsstufe kritisch bei einem ansonsten gesunden Projekt ist der klassische Fall, in dem der Gesamtindex nicht allein gelesen werden darf: Die Stufen je Kategorie existieren, um genau das sichtbar zu machen.
Sicherheit verbessern
- Eine
SECURITY.mdmit einem Meldekanal veröffentlichen. - Automatisierte Abhängigkeitsaktualisierungen und einen SAST-Workflow aktivieren — jedes anerkannte Werkzeug zählt.
- CI-Workflows Tokens mit minimalen Rechten geben, Abhängigkeiten wo angemessen pinnen und Releases signieren.
- Bekannte verwundbare Abhängigkeiten zügig beheben; dieser Check trägt Scorecards höchste Risikogewichtung.
Verwandt: Sicherheitslage · der Gesundheitsindex