Bezpieczeństwo w EPPlus Software
EPPlus Software zobowiązuje się do przejrzystości i odpowiedzialnego traktowania luk bezpieczeństwa. Ta sekcja przedstawia przegląd naszych praktyk bezpieczeństwa, w tym tworzenia oprogramowania, skanowania podatności oraz analizy kodu źródłowego.
Zarządzanie podatnościami
Polityka ujawniania podatności
Nasza skoordynowana polityka ujawniania podatności opisuje, jak zgłaszać luki bezpieczeństwa, czego się od nas spodziewać oraz jak obsługujemy zgłoszenia. Ustanowiony zgodnie z ustawą UE o Cyberodporności.
Ujawnienia podatności
Publicznie ujawnione luki w EPPlus i jego zależnościach. Każdy wpis został przejrzany przez zespół EPPlus i zawiera ocenę z zalecanymi działaniami.
Skanowanie podatności
EPPlus i jego zależności są regularnie skanowane pod kątem znanych luk. Wyniki skanowania, w tym odniesienia do CVE i status naprawy, są publikowane dla każdej wspieranej wersji.
Skanowanie kodu źródłowego
Kod źródłowy EPPlus jest nieustannie analizowany za pomocą GitHub CodeQL, który skanuje potencjalne luki bezpieczeństwa i błędy kodowe przy każdym pushu do naszych głównych gałęzi.
Informacje o produkcie
Profil bezpieczeństwa
Czym EPPlus jest, jak działa i za co jest odpowiedzialny. Zawiera profil architektoniczny oraz wytyczne dotyczące ocen bezpieczeństwa klientów.
Obsługiwane wersje
Cykl życia wsparcia dla każdej głównej wersji EPPlus, w tym okresy aktywnego wsparcia i wsparcia bezpieczeństwa. Aktualizacje bezpieczeństwa są udostępniane bez dodatkowych kosztów w trakcie okresu wsparcia bezpieczeństwa. Uprawnienie do użytku komercyjnego wymaga aktualnej lub wcześniej posiadanej licencji komercyjnej obejmującej główną wersję.
Integralność łańcucha dostaw
Podpisywanie kodu
Każde wydanie EPPlus jest cyfrowo podpisane certyfikatem podpisu kodu wydanym przez GlobalSign. Wszystkie zestawy we wszystkich obsługiwanych frameworkach docelowych — jak również sam pakiet NuGet — są podpisywane jako część naszego zautomatyzowanego pipeline'u wydawnictwa.
Program Materiałów Oprogramowania (SBOM)
Publikujemy Listę Materiałów Oprogramowania dla każdej wersji EPPlus, zawierającą listę wszystkich zależności firm trzecich wraz z wersjami, licencjami i sumami kontrolnymi. SBOM-y są dostępne w formacie CycloneDX JSON.