Açık Kaynak Tarayıcı Araçlarını Güvenlik Açısından Denetleme

Lisans ile davranışı ayrı doğrulayın

Açık kaynak lisansı kodu inceleme ve kullanma koşullarını açıklar; uygulamanın güvenli veya gizli olduğunu kanıtlamaz. Önce depo lisansını, sonra üretim bağımlılıklarının lisanslarını ve sürümlerini kontrol edin. Kilit dosyası sürüm tekrarını, kaynak geçmişi ise değişikliği izlemeyi kolaylaştırır.

Tek bir depo rozeti yerine çalıştırılan üretim paketlerine bakın. CDN'den sonradan yüklenen script, kapalı bir uzak API veya açıklanmayan telemetri varsa cihaz içi iddia sınırlandırılmalıdır.

• LICENSE ve paket manifestini okuyun.
• Üretim bağımlılıklarını kilit dosyasıyla eşleyin.
• Dinamik dış script ve ağ uçlarını arayın.

Tarayıcı sınırını gözlemleyin

Geliştirici araçlarının Network panelinde bir örnek veriyle aracı çalıştırın. Belge, script ve görsellerin normal sayfa yüklemesini; araç düğmesine basınca oluşan isteklerden ayırın. Araç girdisinin URL, istek gövdesi, hata raporu veya analitik olayına karışmadığını doğrulayın.

CSP connect-src sınırı beklenmeyen bağlantıları azaltabilir ama kötü mantığı düzeltmez. Service Worker önbelleği ve localStorage/IndexedDB kayıtlarını da inceleyin; 'sunucuya gitmiyor' ifadesi 'cihazda hiç saklanmıyor' anlamına gelmez.

Kanıt zincirini tamamlayın

TypeScript, lint ve birim testleri yapısal güven verir; tarayıcı testi ise gerçek etkileşimi, mobil taşmayı, klavye erişimini ve meta etiketlerini doğrular. Güvenlik ön taraması veya temiz hash sonucu nihai güvenlik onayı değildir.

İyi bir proje sınırlarını açıkça yazar, düzeltme kanalı sunar ve yüksek etkili işlemleri kullanıcı onayına bırakır. Bulguyu sürüm, yol, tekrarlanabilir adım ve beklenen davranışla raporlayın; gerçek sır veya kişisel veri eklemeyin.

• Test sonuçlarını sürümle ilişkilendirin.
• Gizlilik politikasını gerçek depolamayla karşılaştırın.
• Açığı SECURITY.md kanalından sorumlu biçimde bildirin.