Gratis framework

Het framework, vrij te gebruiken

Gebruik onze 45 checks als checklist in je eigen werkproces. Gratis, onder een open licentie (CC BY 4.0).

Data (.json)

0 van 45 afgevinkt

A-03 SBOM in machineleesbaar formaatSBOM in machineleesbaar formaat (SPDX of CycloneDX), automatisch bij de build gemaakt, minstens alle directe afhankelijkheden
A-09 AI-vermelding: gebruikt het product AI?AI-vermelding: vastgesteld of het product AI gebruikt (scan met vaste regels en verklaring van de bouwer); het rapport toont "AI: ja" of "AI: nee", met het hoogste autonomieniveau
B-05 Agentconfiguratie in de repoAgentconfiguratie in de repo (instructiebestanden, regels, MCP-configuratie, prompt- en agentlogs) bevat geen geheimen, geen klantgegevens en geen onveilige instructies zoals "sla tests over"
B-06 Geen verzonnen of verdachte pakkettenGeen verzonnen of verdachte pakketten: elke afhankelijkheid bestaat in het officiële register, is niet pas geregistreerd en lijkt niet op een bekende naam
C-01 Statische analyse zonder kritieke of hoge bevindingenStatische analyse zonder kritieke of hoge bevindingen op de vier kenmerken van ISO/IEC 5055
C-06 FoutafhandelingFoutafhandeling: fouten worden niet ingeslikt, gebruikers zien geen stacktraces, gedrag bij uitzonderingen is bepaald
C-07 Het project bouwt uit een schone checkout met één gedocumenteerde opdrachtHet project bouwt uit een schone checkout met één gedocumenteerde opdracht; versies zijn vastgezet in een lockfile
C-13 Geen blokkerende of kritieke code smellsGeen blokkerende of kritieke code smells: ongebruikte variabelen en imports, magische getallen, lege catch-blokken, hardgecodeerde URL's of configuratie, verouderde (deprecated) API's. Lagere ernst staat in het rapport
C-19 Geen ongebruikte afhankelijkhedenGeen ongebruikte afhankelijkheden: elk pakket in het manifest wordt echt gebruikt (ongebruikte pakketten zijn onnodig aanvalsoppervlak)
C-20 Geen achtergebleven rommel in repository en artefactGeen achtergebleven rommel in repository en artefact: back-upbestanden (.bak, .old, .orig), database-dumps, testdata met echte gegevens, voorbeeld- en democode, tijdelijke bestanden van AI-agents, gecommitte buildoutput
D-02 Tests draaien automatisch bij elke wijziging en een falende test blokkeert de releaseTests draaien automatisch bij elke wijziging en een falende test blokkeert de release
D-06 Statische beveiligingsanalyse en afhankelijkheidsscan in de pipelineStatische beveiligingsanalyse en afhankelijkheidsscan in de pipeline, met een drempel die de release blokkeert
D-12 Extern aanvalsoppervlak gescandExtern aanvalsoppervlak gescand: alle domeinen, subdomeinen, open poorten en publiek bereikbare diensten van de app in kaart gebracht en getest op bekende zwakheden (externe kwetsbaarheidsscan; geen pentest)
E-03 Sessies: veilige cookies, time-outs en afmeldenSessies: veilige cookies, time-outs, afmelden maakt de sessie ongeldig
E-04 Geen injectieGeen injectie: geparametriseerde queries, output-encoding, geen SQL-, OS-, template- of XSS-lekken
E-05 Geen geheimen in code, configuratie of git-geschiedenisGeen geheimen in code, configuratie of git-geschiedenis; geheimen staan in een kluis of de omgeving
E-06 Versleuteling: TLS, opslag en algoritmenVersleuteling: TLS 1.2 of hoger voor al het verkeer, gevoelige gegevens versleuteld opgeslagen, geen verouderde of zelfgemaakte algoritmen
E-08 Beveiligingsheaders en configuratieBeveiligingsheaders en configuratie: CSP, HSTS, restrictieve CORS
F-01 Geen afhankelijkheden met bekende uitbuitbare kwetsbaarhedenGeen afhankelijkheden met bekende uitbuitbare kwetsbaarheden (bv. CISA KEV, EU-kwetsbaarhedendatabank) en geen kritieke CVE zonder mitigatie
F-02 Geen frameworks of runtimes die niet meer ondersteund wordenGeen frameworks of runtimes die niet meer ondersteund worden; geen onbeheerde pakketten in kritieke functies
F-03 Versies vastgezet met een lockfile en integriteitscontroleVersies vastgezet met een lockfile en integriteitscontrole (hashes)
F-05 Alle licenties gekend en verenigbaar met het gebruikAlle licenties gekend en verenigbaar met het gebruik; geen onbedoelde copyleft
F-13 Indirecte (transitieve) afhankelijkheden worden mee gescandIndirecte (transitieve) afhankelijkheden worden mee gescand; bij Plus staan ze ook in de SBOM
G-08 Doorlopende bewaking van nieuwe kwetsbaarheden in afhankelijkheden via de SBOMDoorlopende bewaking van nieuwe kwetsbaarheden in afhankelijkheden via de SBOM
H-02 Uitvoer van het model wordt behandeld als onbetrouwbare invoerUitvoer van het model wordt behandeld als onbetrouwbare invoer: niet rechtstreeks uitgevoerd, gevalideerd en geëncodeerd
H-08 Limieten op verbruik van AI (tokens, aanvragen)Limieten op verbruik (tokens, aanvragen) tegen misbruik en onverwachte kosten
O-04 Geen cookies of trackers vóór toestemmingGeen cookies of trackers vóór toestemming: de scan bezoekt de site zonder te klikken en noteert wat er wordt geplaatst
O-05 De site zelf is veiligDe site zelf is veilig: TLS, beveiligingsheaders, CMS en plugins op een ondersteunde versie, geen beheerpagina's open
O-06 Domein en e-mail beschermd tegen misbruikDomein en e-mail beschermd tegen misbruik: SPF, DKIM en DMARC ingesteld, geen overneembare subdomeinen, DNSSEC waar mogelijk
P-05 Inkomende webhooks en berichten worden gecontroleerd (handtekening, herkomst)Inkomende webhooks en berichten worden gecontroleerd (handtekening, herkomst); uitgaande verzoeken alleen naar toegestane bestemmingen; antwoorden van derden worden niet blind vertrouwd
R-03 Branchstrategie vastgelegd; hoofdbranch beschermdBranchstrategie vastgelegd; hoofdbranch beschermd: geen directe of geforceerde push, verplichte review (B-03) en een geslaagde pipeline
R-13 Veilige repository-instellingenRepository-instellingen: geheimenscanning en afhankelijkheidswaarschuwingen aan, geen onbedoeld publieke repositories, geen langlevende persoonlijke tokens
S-04 Geen geheimen of API-sleutels in de app zelfGeen geheimen of API-sleutels in de app zelf
S-06 SDK's van derden (analyse, advertenties, crashrapporten) geïnventariseerdSDK's van derden (analyse, advertenties, crashrapporten) geïnventariseerd; tracking pas na toestemming
U-01 Geen geheimen, API-sleutels of interne adressen in de JavaScript-bundelGeen geheimen, API-sleutels of interne adressen in de JavaScript-bundel
U-02 Source maps en debugmodus niet publiek in productieSource maps en debugmodus niet publiek in productie
U-03 Sessietokens en gevoelige gegevens niet in localStorage of sessionStorageSessietokens en gevoelige gegevens niet in localStorage of sessionStorage; cookies met HttpOnly, Secure en SameSite
U-04 Bescherming tegen CSRF en clickjackingBescherming tegen CSRF en clickjacking (frame-ancestors)
U-06 Scripts van derden geïnventariseerd en beperktScripts van derden (analyse, chat, advertenties) geïnventariseerd, met toestemming waar nodig en beperkt via CSP; op betaalpagina's goedgekeurd en bewaakt
U-07 Geen gevaarlijke DOM-functies met gebruikersinvoer (innerHTML, eval)Geen gevaarlijke DOM-functies met gebruikersinvoer (innerHTML, eval); berichten tussen vensters (postMessage) met controle van de herkomst
W-03 Bestandsopslag (bv. S3, Blob) privé, toegang via kortlevende ondertekende linksBestandsopslag (bv. S3, Blob) privé, toegang via kortlevende ondertekende links; uploads gecontroleerd en buiten de webroot bewaard
W-06 Limieten op middelenLimieten op middelen: time-outs, maximale grootte van verzoeken en uploads, paginering, bescherming tegen trage queries
Y-01 TLS juist ingesteldTLS juist ingesteld: alleen TLS 1.2 en 1.3, sterke cipher suites met forward secrecy, geldige certificaten met volledige keten, HSTS
Y-02 Geen onversleutelde protocollen voor gegevens of beheerGeen onversleutelde protocollen voor gegevens of beheer: geen HTTP behalve doorverwijzing, geen FTP, Telnet, LDAP of MQTT zonder TLS, geen SNMP v1/v2
Y-04 Verouderde protocolversies uitgeschakeldVerouderde protocolversies uit: SSH alleen versie 2 met sterke algoritmen en sleutels, SMBv1 uit, RDP niet publiek bereikbaar