Kaldera型検査と 2204 件のユニットテスト
248 個のテストファイルに、強制されるカバレッジのしきい値。行 90%、文 90%、関数 85%、分岐 80% です。しきい値を下回る退行が失敗させるのはダッシュボードではなく、ビルドです。
プロジェクト / ソースコード
全体が GitHub 上にあります
KalderaShield は Apache-2.0 ライセンスのオープンソースです。デスクトップアプリ、Android アプリ、ブラウザ拡張機能、nativeMessaging ホスト、そしてこのサイト。このウェブサイト上のセキュリティに関する主張はすべて、コードか、公開 CI で動くテストに辿れます。
コードベースの構成
4 つのプロジェクト、1 つのリポジトリ
デスクトップアプリケーションは、Tauri 2 を介して TypeScript のフロントエンドと Rust のコアを組み合わせます。UI はシステムの WebView で描画され、ネイティブ側がアップデータ、拡張機能ブリッジ、プラットフォーム統合を担います。保管庫の永続化は、版付きスキーマエンベロープ付きの wa-sqlite 上で動きます。
ブラウザ拡張機能は Chromium と Firefox 向けの Manifest V3 の TypeScript ビルドで、Android アプリは AndroidKeyStore の生体認証紐づけを持つ Tauri Android プロジェクトです。nativeMessaging ホストと IPC ブリッジは Rust ワークスペースにあり、ペアリングトークン、リース、フレーム暗号化の論理がもっとも監査しやすい場所にあります。
サイト自体は、コミットされたプレーンなウェブページです。配備のためのビルドステップはなく、生成スクリプトと品質ゲートが、作るページの隣に登録されています。
すべての変更が通るゲート
ファズ、変異、セキュリティのゲート
fast-check のプロパティテストが、不正な入力でインポーター、バックアップ、添付ファイルの経路を繰り返し打ちます。Stryker の変異テストがテストの質を採点します。専用のゲートが、CSP の強化、リリース成果物、デバッグマーカー、秘密情報を確認します。
CI でのサプライチェーン分析
CodeQL がコードを解析し、OpenSSF Scorecard がリポジトリの状態を採点し、gitleaks がコミットされた秘密情報を遮断します。依存関係ポリシーは、重大度が「高」または「重大」と分類されたアドバイザリがあれば失敗し、それ以外は文書化された受け入れの対象です。
セキュリティアーキテクチャ
TypeScript
Rust
Apache-2.0
ここでのオープンソースの意味と、そうでないもの
境界付きの主張
オープンソースは誰もがコードを読めるようにしますが、それだけで実際に誰かが読んだことの証明にはなりません。読むことこそが要点です。脅威モデル、受け入れ台帳、監査範囲はリポジトリにあり、レビュアーが同じ地図から始められます。独立した監査はまだ完了していません。監査状況のページがそのまま述べています。
フロントエンドと拡張機能
UI フレームワークのコンポーネント、拡張機能と共有の保管庫ロジック。厳格に型付けされ、インラインスタイルはなく、CSP ゲートが強制します。
ネイティブコア
Tauri 2 のコマンド、nativeMessaging ホスト、ループバック IPC ブリッジ、アップデータの配管。cargo fmt と原子書き込みに絞ったテストが、リリースごとにゲートになります。
ライセンス
プロジェクト全体に加えて、同梱コンポーネントのためのサードパーティーライセンスファイル。インストーラーに独占的なバイナリは含まれません。
よくある質問
貢献と報告
セキュリティの脆弱性はどう報告しますか。
非公開で報告してください。公開の場では扱いません。GitHub の非公開脆弱性報告か、リポジトリのセキュリティポリシーファイルにあるメールアドレスへ。受領は 48 時間以内、トリアージは 7 日以内、調整済み公開は 90 日以内です。
コードに貢献できますか。
はい。GitHub のプルリクエストを通じてです。前述のゲートはすべての変更で動くため、もっとも速い助け方は、ゲートを緑に保ち、自分のテストも含む変更です。
インストーラーを自分でビルドできますか。
はい。ローカルリリースのガイドに、プラットフォームごとの正確なコマンドが文書化されています。リリーススクリプトは、成果物を SHA-256 チェックサム付きで、ローカルのリリースフォルダーにプラットフォーム別に集めます。