Cette page rend compte des contrôles effectués par le développeur lui-mêmeIl ne s'agit pas d'une certification ni d'un audit réalisés par un organisme tiers. Comme nous publions également ce qui est contrôlé, servez-vous-en comme élément d'appréciation avant d'adopter GeckoFlag.
La v1.11.0 ne présente aucun problème non corrigé de gravité « élevée » ou « moyenne » (dates des contrôles : du 2026-10-28).
Ces contrôles ont porté sur les modifications depuis la v1.10.0 (l’intégration Claude, les couleurs de texte et de fond et les séparateurs du texte enrichi, etc.) et ont aussi permis de corriger des problèmes déjà présents dans les versions précédentes. Si vous utilisez la v1.10.0 ou une version antérieure, nous vous recommandons de passer à la v1.11.0.
| Contrôle | Outils utilisés (version) | Détections (élevée / moyenne / faible) | Suite donnée |
|---|---|---|---|
| Bibliothèques dépendantes | GitHub Advisory Database, FriendsOfPHP security-advisories (données au 2026-10-28 ; 89 paquets) | 0 / 0 / 0 | Aucune vulnérabilité connue dans les bibliothèques incluses dans les fichiers distribués. Les vulnérabilités connues des bibliothèques de développement ont été résolues par une mise à jour dans la v1.11.0 (les bibliothèques de développement ne sont pas incluses dans les fichiers distribués) |
| Analyse statique et revue de code | Psalm 5.26.1 (analyse taint), PHPStan 2.1.17 (niveau 5), Semgrep 1.182.1, revue de code manuelle (modifications depuis la v1.10.0 : API et jetons de l’intégration Claude, texte enrichi, maintien de la connexion, mises à jour du logiciel ; ainsi que la sortie des liens sur tous les écrans) | 1 / 1 / 3 | Les problèmes de gravité « élevée » et « moyenne » et 2 problèmes de gravité « faible » ont été corrigés dans la v1.11.0. Le problème « faible » restant ne survient que par les actions de l’utilisateur lui-même, et son impact a été jugé limité. Le problème « élevé » était déjà présent dans les versions précédentes |
| Fuite de secrets | gitleaks 8.24.2 | 0 / 0 / 0 | Le code source et les fichiers distribués ont tous deux été vérifiés. Les 2 détections étaient des faux positifs (chaînes d’exemple dans des bibliothèques externes, etc.) |
| Vérification des corrections | Vérification du fonctionnement dans l'environnement de test (PHP 8.3, MariaDB 10.11, Apache 2.4, Nginx 1.24, Chromium) | — | Pour chaque point relevé, vérification que le problème d'origine ne se reproduit plus |
| Analyse dynamique | Nuclei v3.11.1 (modèles v10.5.1), sans connexion et en tant qu'administrateur et membre | 0 / 0 / 0 | Aucun problème |
| Contrôle des droits | PHPUnit 12.5 (454 tests automatisés ; en plus des contrôles précédents, ils vérifient que l’API de l’intégration Claude refuse les requêtes sans jeton, avec un jeton en lecture seule, venant d’utilisateurs non autorisés ou lorsque la fonction est désactivée, et n’atteint jamais les projets auxquels l’utilisateur ne participe pas) | 0 / 0 / 0 | Aucun problème |
| Vérification par configuration de serveur | Manuelle (Apache 2.4 et Nginx 1.24, 2 emplacements possibles du dossier public ; 39 URL : fichiers de configuration, journaux, sessions, fichiers stockés, etc.) | 0 / 0 / 1 | Corrigé dans la v1.11.0 : l’accès direct au dossier de fichiers des anciennes versions (files) est désormais entièrement refusé aussi sous Apache. Aucun autre problème |
| Liste de contrôle | OWASP ASVS 5.0 niveau 1 (70 points) | 50 des 56 points applicables respectés | Non revue cette fois (le résultat de la v1.10.0 est conservé) |
| Extension de l’intégration Claude | npm audit, gitleaks 8.24.2, mcpb validate, revue de code manuelle (geckoflag-1.0.0.mcpb) | 0 / 0 / 0 | Aucune vulnérabilité connue touchant les bibliothèques incluses dans le fichier distribué. Vérification du traitement du jeton d’API et de la restriction des destinations des requêtes (HTTPS uniquement, redirections non suivies) |