Sicherheit und Daten
Was LibWatch in Ihren Repositorys liest, speichert und tut.
Sie geben uns Zugriff auf Ihre Repositorys. Hier steht ohne Umschweife, was LibWatch damit macht: was es liest, was es speichert, welche Berechtigungen es anfordert und wie Sie diese zurücknehmen.
Auf einen Blick
- Liest
- Ihre Abhängigkeitsdateien, über die API
- Speichert
- Die Liste der Pakete und ihrer Versionen
- Führt aus
- Nichts. Kein Code aus dem Repository wird ausgeführt
- Klont
- Nie: Kein Repository wird auf unsere Server kopiert
Der Ablauf einer Analyse
Vier Schritte, der Reihe nach
Was zwischen dem Verbinden eines Repositorys und der Warnung, die Sie erhalten, passiert.
-
1 · Lesen
LibWatch liest Ihre Abhängigkeitsdateien über die API
Es fragt bei GitHub oder GitLab nur Manifeste, Lockfiles und Dateien mit Sprachversionen ab. Kein Code wird ausgeführt, nichts wird in Ihrer Pipeline installiert.
-
2 · Keine Kopie
Ihr Repository wird nie geklont
LibWatch lädt nur die unten aufgeführten Dateien herunter, eine nach der anderen, über die API. Es klont Ihr Repository nie, und ein automatisierter Test verhindert, dass das Klonen je wieder in seinen Code gelangt.
-
3 · Abgleich
Das Inventar wird mit Schwachstellendatenbanken abgeglichen
OSV (einschließlich GitHub-Advisories), CERT-FR für PHP, EPSS-Werte, der KEV-Katalog der CISA und Supportende-Kalender. Dieser Schritt greift nicht mehr auf Ihr Repository zu.
-
4 · Nächtliche Überwachung
Jede Nacht wird das Inventar erneut geprüft
Ohne das Repository erneut zu lesen: Nur die bereits gespeicherte Liste wird mit neuen Schwachstellen abgeglichen.
Gelesene Dateien
Die vollständige Liste dessen, was LibWatch über die API abruft. Nichts anderes wird gelesen.
-
composer.json -
composer.lock -
package.json -
package-lock.json -
yarn.lock -
pnpm-lock.yaml -
Gemfile -
Gemfile.lock -
*.gemspec -
requirements.txt -
Pipfile -
Pipfile.lock -
pyproject.toml -
poetry.lock -
runtime.txt -
go.mod -
go.sum -
Cargo.toml -
Cargo.lock -
rust-toolchain(.toml) -
pom.xml -
build.gradle(.kts) -
settings.gradle(.kts) -
*.versions.toml -
gradle.lockfile -
gradle.properties -
gradle-wrapper.properties -
buildSrc/*.kt -
*.csproj -
*.fsproj -
*.vbproj -
Directory.Packages.props -
Directory.Build.props -
packages.lock.json -
global.json -
Podfile -
Podfile.lock -
Package.swift -
Package.resolved -
project.pbxproj -
pubspec.yaml -
pubspec.lock -
.nvmrc -
.node-version -
.ruby-version -
.python-version -
.java-version -
.swift-version -
.sdkmanrc -
.tool-versions -
.mise.toml -
.npmrc -
nuget.config
.npmrc und nuget.config werden nur gelesen, um Ihre privaten Registrys zu erkennen, nie deren Zugangsdaten.
Angeforderte Berechtigungen
Die Berechtigungen, die LibWatch anfordert, und was es damit macht
Manche Berechtigungen gehen weiter, als wir sie nutzen. Wir sagen es Ihnen lieber, als es zu verschweigen.
| Berechtigung | Warum diese Berechtigung | Was LibWatch damit macht |
|---|---|---|
| GitHub · repo | GitHub bietet für ein privates Repository keinen reinen Lesezugriff: Diese Berechtigung umfasst auch Schreibrechte. | Abhängigkeitsdateien lesen und den Webhook anlegen, der die Analyse bei jedem Push neu startet. |
| GitLab · api | GitLab trennt den Lesezugriff nicht von den Webhooks. | Dateien lesen und die Webhooks anlegen. |
| Persönliches GitLab-Zugriffstoken | Von LibWatch erstellt, ein Jahr gültig, damit es nicht vom Anmeldetoken abhängt, das abläuft. | Dieselben Zwecke. Widerrufbar in GitLab › Einstellungen › Zugriffstoken. |
| WordPress · Anwendungspasswort | Die einzige Möglichkeit, Plugins und Themes über die REST-API aufzulisten, ohne ein Plugin zu installieren. | Die Versionen von Core, Plugins, Themes und PHP lesen. Legen Sie einen eigenen Benutzer dafür an. |
Hosting und Unterauftragsverarbeiter
Wo Ihre Daten liegen
-
Hosting
OVHcloud, in Frankreich
Die Anwendung und ihre Datenbank laufen auf Servern von OVHcloud in Frankreich.
-
Zahlung
Stripe
Zahlungen und Abrechnung laufen über Stripe. LibWatch sieht Ihre Kartennummer nie.
-
Fehlerüberwachung
Sentry
Technische Fehler der Anwendung werden dorthin gesendet, ohne den Inhalt Ihrer Repositorys.
Die Kontrolle zurückholen
Zugriff in einer Minute widerrufen
Sie können LibWatch jederzeit trennen, direkt in Ihren eigenen Tools.
-
Auf GitHub
Settings › Applications › Authorized OAuth Apps › LibWatch › Revoke.
-
Auf GitLab
Einstellungen › Anwendungen: LibWatch widerrufen. Dann Zugriffstoken: das LibWatch-Token widerrufen.
-
In WordPress
Profil › Anwendungspasswörter: das Passwort für LibWatch widerrufen.
-
In LibWatch
Wenn Sie das Projekt löschen, werden sein Inventar und seine Berichte gelöscht.
Häufige Fragen