Questa traduzione non è ancora stata rivista dalla redazione. Fa fede la versione tedesca. Deutsche Fassung →
Software-Stand
Perché una libreria senza manutenzione del produttore è un rischio per il vostro sito Web?
Una libreria senza manutenzione del produttore non riceve più correzioni di sicurezza — se in seguito viene divulgata una falla, rimane aperta permanentemente. Queste librerie sono blocchi di codice finiti che molti siti web incorporano per menu, gallerie di immagini o maschere di input. L'area di verifica Software-Stand le riconosce nel codice sorgente del vostro sito e confronta la versione trovata con i termini di fine manutenzione pubblicati dai produttori stessi.
Componenti completi supportano il vostro sito web
Raramente un sito web viene scritto completamente da zero. Le agenzie ricorrono a componenti comprovati: jQuery aiuta con gli elementi dell'interfaccia, Bootstrap fornisce la griglia della pagina, AngularJS e Vue controllano interi moduli di input. Questi componenti si chiamano librerie. Si trovano come file di script nel vostro sito e vengono eseguiti nel browser di ogni visitatore. Il produttore di una libreria la mantiene per anni: corregge errori e chiude buchi di sicurezza. Ad un certo punto conclude la manutenzione di una serie di versioni e rimanda alla versione successiva. Dopo la fine della manutenzione non compaiono più correzioni per la vecchia serie — indipendentemente da quello che si trova. La libreria continua a funzionare, ma nessuno la ripara più.
Le date di fine manutenzione pubblicate sono fatti verificabili
L'area di verifica si basa esclusivamente su date pubblicate dai produttori stessi. Esempi dal catalogo di verifica: le serie jQuery 1 e 2 non ricevono manutenzione dal 2016. AngularJS non è più mantenuto ufficialmente dall'inizio del 2022. Bootstrap 3 non è mantenuto da metà 2019, Bootstrap 4 è stato dismesso all'inizio del 2023. Vue 2 ha raggiunto il suo fine manutenzione alla fine del 2023. Se la verifica trova una di queste serie sul Vostro sito, è il rilievo più grave di questa area di verifica: costa 40 su 100 punti e il sigillo parziale è quindi fuori portata. Questo peso segue il rischio — la mancanza di manutenzione pesa più di qualsiasi numero di versione visibile.
La verifica valuta la manutenzione del produttore, non la vulnerabilità
La separazione è intenzionale: il rilievo afferma che il produttore ha abbandonato la libreria — un fatto verificabile. Non afferma mai che il vostro sito sia vulnerabile; questo non potrebbe essere accertato seriamente dall'esterno. La verifica legge solo ciò che la vostra pagina stessa trasmette: riferimenti a script con numero di versione visibile. Le librerie che sono state raggruppate in un pacchetto comune durante la creazione del sito rimangono invisibili dall'esterno. Pertanto vale: un rilievo vuoto significa «nulla di riconoscibile» — non è una prova che tutti i componenti siano aggiornati. Questa cautela è parte della norma di verifica — l'area di verifica afferma solo ciò che può mostrare con una citazione nel codice sorgente.
- Chiedete alla vostra agenzia quali librerie di frontend sono in uso sul vostro sito — l'elenco dovrebbe essere breve e completo.
- Fatevi dire per ogni libreria se il produttore la mantiene ancora.
- Pianificate al termine della manutenzione di una libreria il passaggio alla serie successiva mantenuta — di solito è una piccola rielaborazione, non un pulsante.
- Concordate un termine fisso nell'anno in cui la vostra agenzia esamina lo stato del software del sito Web e lo documenta per iscritto.
- Conservate i rapporti di verifica — in questo modo vedrete nel corso degli anni se lo stato di manutenzione migliora o peggiora.