Cette page rend compte des contrôles effectués par le développeur lui-mêmeIl ne s'agit pas d'une certification ni d'un audit réalisés par un organisme tiers. Comme nous publions également ce qui est contrôlé, servez-vous-en comme élément d'appréciation avant d'adopter GeckoFlag.
La v1.10.0 ne présente aucun problème non corrigé de gravité « élevée » ou « moyenne » (dates des contrôles : du 2026-10-16 au 2026-10-17).
La première série de contrôles a porté sur la version publiée précédente, la v1.9.0, et les corrections nécessaires ont été apportées en même temps.
| Contrôle | Outils utilisés (version) | Détections (élevée / moyenne / faible) | Suite donnée |
|---|---|---|---|
| Bibliothèques dépendantes | GitHub Advisory Database, FriendsOfPHP security-advisories (données au 2026-10-16 ; 89 paquets) | 1 / 0 / 0 | Vulnérabilité connue de CakePHP 5.3.6, corrigée dans la v1.10.0 par la mise à jour vers CakePHP 5.3.7. Les bibliothèques de développement ne sont pas incluses dans les fichiers distribués |
| Analyse statique et revue de code | Psalm 5.26.1 (analyse de taint), PHPStan 2.1.17 (niveau 5), Semgrep 1.181.0, revue de code manuelle (téléversement, droits, authentification, XSS, mise à jour, installateur, restriction par IP) | 1 / 7 / 12 | Tous corrigés dans la v1.10.0. Par ailleurs, 5 des 6 points de niveau « information » ont été corrigés |
| Fuite de secrets | gitleaks 8.24.2 | 0 / 0 / 0 | Les 2 détections étaient des faux positifs (chaînes d'exemple dans des bibliothèques externes, etc.) |
| Vérification des corrections | Vérification du fonctionnement dans l'environnement de test (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | Pour chaque point relevé, vérification que le problème d'origine ne se reproduit plus |
| Analyse dynamique | Nuclei v3.11.1 (modèles v10.5.0), sans connexion et en tant qu'administrateur et membre | 0 / 0 / 0 | Aucun problème |
| Contrôle des droits | PHPUnit 12.5 (256 tests automatisés vérifiant qu'un administrateur, un membre, un invité ou un utilisateur non connecté ne peut pas accéder aux données des projets auxquels il ne participe pas ni aux écrans d'administration, même en modifiant l'ID dans l'URL) | 0 / 0 / 1 | Problème (faible) permettant à un utilisateur non connecté de savoir que certains écrans d'administration existent en les ouvrant, corrigé dans la v1.10.0 |
| Vérification par configuration de serveur | Manuelle (Apache 2.4 et Nginx 1.24, 2 emplacements possibles du dossier public ; 28 URL : fichiers de configuration, journaux, fichiers stockés, etc.) | — | Apache : aucun problème avec la configuration par défaut. Nginx : aucun problème une fois les paramètres recommandés ajoutés (sans eux, des fichiers privés sont visibles : consultez les paramètres recommandés) |
| Liste de contrôle | OWASP ASVS 5.0 niveau 1 (70 points) | 50 des 56 points applicables respectés | 14 points non applicables (fonctions non utilisées, etc.). Les 6 points non respectés (règles de mot de passe, etc.) sont couverts par d'autres mesures |