Aller au contenu

03. Règles d'Acceptation du Bucket community

Navigation : Documentation > Chartes de Contribution > Règles Bucket Community

Sommaire

  1. Philosophie d'Ouverture et de Sécurité
  2. Critères d'Éligibilité
  3. Garde-Fous de Sécurité Impératifs
  4. Passage Obligatoire du Linter AST
  5. Vérification Cryptographique des Empreintes
  6. Validation par Pipeline Automatisé

Le bucket community est l'espace ouvert permettant d'accueillir les outils émergents, les scripts spécialisés, les utilitaires de niche ou les projets récents ne satisfaisant pas encore au seuil de popularité du bucket core (< 500 étoiles).

1. Philosophie d'Ouverture et de Sécurité

Le bucket community privilégie la souplesse et la rapidité d'intégration, tout en appliquant une tolérance zéro en matière de sécurité.

1.1 Critères d'Éligibilité

  • Tout outil en ligne de commande ou utilitaire autonome peut être proposé.
  • Le code source doit être publiquement accessible.
  • Pas de seuil minimal d'étoiles requis (projets expérimentaux acceptés).

2. Garde-Fous de Sécurité Impératifs

Pour protéger les utilisateurs contre les attaques sur la chaîne d'approvisionnement (supply chain attacks) :

2.1 Passage Obligatoire de l'Audit Statique Zero Egress

Tout script de cycle de vie (pre_install.nu, post_install.nu, pre_uninstall.nu, post_uninstall.nu) soumis dans community est audité automatiquement par la CI via scripts/ci/audit_package_scripts.py :

  • Rejet automatique et immédiat en cas de présence de commandes réseau (http, curl, wget, ssh, socket, nc).
  • Rejet automatique en cas de référence à des dossiers personnels sensibles (~/.ssh, ~/.aws, .env, tokens) ou évaluations dynamiques (eval, nu -c).
  • Seules les actions locales sur le système de fichiers dans $ctx.paths.install sont autorisées.

2.2 Vérification Cryptographique des Empreintes

  • Les sommes de contrôle SHA-256 sont recalculées et vérifiées par la CI sur chaque architecture déclarée.
  • Les liens vers des binaires hébergés sur des serveurs de partage de fichiers anonymes ou des raccourcisseurs d'URL sont strictement interdits (les sources doivent provenir de dépôts publics vérifiables comme GitHub Releases ou GitLab).

2.3 Validation par Pipeline Automatisé

  • Les paquets de community sont intégrés automatiquement dès lors que l'ensemble des contrôles CI sont au vert et qu'au moins un reviewer communautaire a validé la cohérence du manifest.