mirror of
https://github.com/diegosouzapw/OmniRoute.git
synced 2026-07-26 09:52:11 +03:00
00bdefcf0e
* chore(ci): gate hygiene — secrets baseline 0, semgrep metric drop, hadolint gate (WS6/D3 + WS1.7) - .gitleaks.toml: allowlist (with mandatory justification) for the 3 frozen generic-api-key false positives — latencyP50Ms/latencyP95Ms are metric FIELD NAMES and interleaved-thinking-2025-05-14 is Anthropic's PUBLIC beta header. quality-baseline secretFindings 3 -> 0: the ratchet is now zero-tolerance (verified: check:secrets --ratchet reports 0 findings, no regression). - quality-baseline: semgrepFindings removed — orphaned metric never wired to a blocking gate (semgrep.yml only echoes the count); CodeQL covers OWASP. - ci.yml lint job: hadolint on the Dockerfile (image pinned by digest, --failure-threshold error). Verified green against the current Dockerfile (5 pre-existing warnings visible, 0 errors). Also evaluated publint for the fast path (WS1.6) and REJECTED it with data: 1554 findings, ~all noise from the vendored dist/node_modules of the standalone package — wrong tool for this package shape; check:pack-boot is the real gate. * chore(ci): surgical baseline edit — preserve unicode formatting (was json.dump ensure_ascii noise)
90 lines
3.7 KiB
TOML
90 lines
3.7 KiB
TOML
# .gitleaks.toml — Configuração do gitleaks para OmniRoute
|
|
# Task 7.18 — PLANO-QUALITY-GATES-FASE7.md
|
|
#
|
|
# Estende as regras padrão do gitleaks com allowlists específicas do projeto.
|
|
#
|
|
# INSTRUÇÕES para allowlists:
|
|
# Findings legítimos (fixtures de teste, creds OAuth públicas já cobertas pelo
|
|
# check-public-creds.mjs, valores de exemplo em docs) devem ser registrados abaixo
|
|
# em [[allowlist]] com um comentário explicativo obrigatório.
|
|
#
|
|
# NÃO adicione uma entrada de allowlist sem justificativa. Cada entrada é revisada
|
|
# a cada release (stale-enforcement). Regra: se o finding é um valor real que o
|
|
# sistema usa em produção, é um verdadeiro positivo — não allowliste, corrija.
|
|
#
|
|
# Referência: docs/security/PUBLIC_CREDS.md (credenciais OAuth públicas conhecidas)
|
|
# CLAUDE.md Hard Rule #11 (resolvePublicCred obrigatório)
|
|
|
|
# Herdar TODAS as regras padrão do gitleaks. ATENÇÃO: um config customizado
|
|
# SEM [extend].useDefault = true (e sem [[rules]] próprias) resulta em ZERO
|
|
# regras — o gitleaks SUBSTITUI o ruleset padrão pelo arquivo, não o estende
|
|
# automaticamente. Sem esta seção, `gitleaks --config .gitleaks.toml` nunca
|
|
# detecta nada (todo finding vira 0), tornando o gate inerte. Com useDefault,
|
|
# a allowlist abaixo é aplicada POR CIMA das ~170 regras padrão.
|
|
[extend]
|
|
useDefault = true
|
|
|
|
# Para desabilitar uma regra específica, usar:
|
|
# [[rules]]
|
|
# id = "rule-id"
|
|
# [rules.allowlist]
|
|
# description = "..."
|
|
|
|
# ---------------------------------------------------------------------------
|
|
# Allowlist global do projeto
|
|
# Entradas aqui são ignoradas em TODAS as varreduras.
|
|
# ---------------------------------------------------------------------------
|
|
[allowlist]
|
|
description = "OmniRoute project-level allowlist — fixtures, test vectors, public OAuth creds"
|
|
|
|
# Paths a ignorar completamente (node_modules, builds, etc.)
|
|
paths = [
|
|
'''node_modules''',
|
|
'''\.next''',
|
|
'''dist''',
|
|
'''\.git''',
|
|
'''coverage''',
|
|
'''\.nyc_output''',
|
|
]
|
|
|
|
# Commits específicos a ignorar (ex: commit que introduziu fixtures de teste)
|
|
# commits = []
|
|
|
|
# Regexes de stopwords — linhas que contêm estes padrões são ignoradas.
|
|
# Usar apenas para falsos positivos comprovados com justificativa abaixo.
|
|
# stopwords = []
|
|
|
|
# Regexes de targets (paths de arquivos) que podem ser allowlistados por regra.
|
|
# Ver [[allowlist]] por-regra abaixo para granularidade.
|
|
|
|
# ---------------------------------------------------------------------------
|
|
# Allowlist por-regra (adicionar conforme necessário durante o stale review)
|
|
# ---------------------------------------------------------------------------
|
|
#
|
|
# Exemplo (REMOVER / SUBSTITUIR por entradas reais quando necessário):
|
|
#
|
|
# [[rules]]
|
|
# # Allowlistar fixtures de teste que contêm tokens OAuth de exemplo/inválidos
|
|
# # Adicionado: 2026-06-13 | Revisar em: v3.9.0 | Justificativa: valores não-reais de teste
|
|
# id = "github-fine-grained-pat"
|
|
# [rules.allowlist]
|
|
# description = "Test fixture PATs — valores sintéticos, não funcionais"
|
|
# paths = [
|
|
# '''tests/fixtures/''',
|
|
# '''tests/unit/''',
|
|
# ]
|
|
#
|
|
|
|
[[rules]]
|
|
# Falsos-positivos comprovados do generic-api-key — zerados em 2026-07-13 (WS6/D3,
|
|
# plano v3.8.49). Revisar em v3.9.0. Nenhum é credencial: dois são NOMES DE CAMPO
|
|
# de métricas de latência; o terceiro é o valor PÚBLICO de um beta header da API
|
|
# da Anthropic (documentado publicamente, não é segredo).
|
|
id = "generic-api-key"
|
|
[rules.allowlist]
|
|
description = "Field names + public Anthropic beta-header value (não são segredos)"
|
|
regexes = [
|
|
'''latencyP\d{2}Ms''',
|
|
'''interleaved-thinking-2025-05-14''',
|
|
]
|