Про результати
Що насправді вимірює індекс здоров'я?
Публічно видимі практики: історію комітів і релізів, розподіл контриб'юторів, файли спільноти, інженерну гігієну, сигнали безпеки та стан у реєстрі пакетів — зведені за прозорою, версіонованою методологією в один індекс 1–100 з п'ятьма рейтинговими діапазонами. Повні деталі за кожною метрикою — у вікі.
Чи є високе значення гарантією, що програмне забезпечення безпечне?
Ні. Результати — це сигнали, а не гарантії: порядковий аудит коду не виконується, і жодна методологія не може виключити ще не виявлену вразливість. Що саме означає високе значення, точно задокументовано в сигналах, а не гарантіях.
Чому значення репозиторію змінилося без жодних змін у коді?
Дві правомірні причини: змінилися спостережувані свідчення (реліз перетнув віковий поріг, зросла черга задач) або змінилася версія методології — кожна зміна формули датована й задокументована у версіях методології, і кожен звіт фіксує версію, за якою його отримано.
Метрика показує «виключені» компоненти або порожнє значення. Це штраф?
Навпаки. Дані, які неможливо спостерігати, — немає опублікованого пакета, немає історії задач — виключаються, а решта ваг перенормовується; вони ніколи не рахуються як нуль. Правила описані в індексі здоров'я.
Чому власність організації підвищує значення репозиторію?
Підтримка організації сигналізує про спільну, підзвітну опіку, здатну пережити будь-якого окремого мейнтейнера. Ця надбавка навмисна, обмежена й повністю задокументована в опіці — одному з небагатьох місць, де методологія займає явну позицію.
Подання та покриття
Як репозиторій потрапляє до реєстру?
Будь-який обліковий запис GitHub може подати публічний репозиторій на головній сторінці. Репозиторії, що відповідають задокументованим порогам суспільного інтересу, інспектуються безкоштовно; решта може пройти платний шлях сертифікації — власники та мейнтейнери можуть оплатити з балансу облікового запису безпосередньо під час подання.
Які екосистеми підтримуються?
Репозиторії GitHub будь-якою мовою; свідчення з реєстрів пакетів зчитуються з npm, PyPI, Packagist, crates.io, Go, RubyGems, NuGet і Hex — повний перелік і правила заміщення наведені в підтримуваних екосистемах.
Чи можна проінспектувати приватний репозиторій?
Аудити приватних репозиторіїв входять до комерційної дорожньої карти, але недоступні в поточному самообслуговуваному продукті. Щоб обговорити майбутню угоду, зверніться на mail@inspect.software.
Чи можна вилучити репозиторій з публічного реєстру?
Ні. Опубліковані результати публічних репозиторіїв залишаються опублікованими. Помилки в даних виправляються, а не вилучаються: див. запитання про виправлення нижче.
Довіра та незалежність
Чи може оплата покращити результат?
Ні. Оплата купує аналіз, приватність і частоту — ніколи не інше число. Методологія та формули ідентичні на кожному тарифі, і жодні комерційні відносини не можуть змінити опублікований результат. Інституційні принципи викладені на сторінці про нас.
Дані про репозиторій хибні. Як їх виправити?
Повідомте про це через канали на сторінці контакти, вказавши назву репозиторію та конкретне значення. Підтверджені помилки в даних призводять до повторного сканування; на незгоду з методологією відповідь дає задокументована формула — а іноді вона стає задокументованим пунктом дорожньої карти.
Чи можна незалежно відтворити результати?
Так, за задумом. Кожен звіт містить свої вхідні дані, бали за компонентами, конфігурацію сканування та версію методології; кожна формула опублікована. Будь-яке значення в реєстрі можна перерахувати вручну з даних самого звіту.
Бейджі
Як додати бейдж до README?
Скопіюйте фрагмент Markdown або HTML зі сторінки звіту репозиторію — бейдж оновлюється автоматично після кожного сканування. Деталі на сторінці бейджів.
Що показує бейдж для ще не сканованого репозиторію?
Нейтральний бейдж «очікує» — ніколи не зламане зображення і ніколи не вигадане число.