Miércoles · dependencias y código ajeno

SSVC no suma una puntuación: recorre un árbol y decide con la primera regla que se cumple, de arriba abajo. Una estrella en una columna significa cualquier valor. La decisión con nombre más urgente se llama Act, y para saber a cuántos avisos corresponde hay que aplicar el árbol a cada uno con sus propios datos de explotación y de contexto.

La puntuación base de CVSS mide gravedad en abstracto, no riesgo: un aviso grave que nadie explota ni puede alcanzarse desde fuera puede esperar, y uno moderado con explotación activa no. Por eso el orden de las decisiones del árbol y el orden de las puntuaciones no coinciden, y la cola de trabajo se arma con las decisiones.

Las actualizaciones de seguridad tienen plazo según su gravedad; las de mantenimiento, uno más holgado. Una propuesta está fuera de plazo cuando lleva abierta más días que su plazo: el día exacto del plazo todavía está a tiempo. Cada propuesta se mide contra el plazo de su propio tipo y gravedad.

La confusión de dependencias ocurre cuando el nombre de un paquete interno también existe en el registro público y el proxy sirve el externo. Un proxy bien configurado sirve los nombres internos solo desde el registro interno. Se cruza lo que Lupuna publica con el origen desde el que se sirvió cada descarga.

El puntaje global de Scorecard es un promedio ponderado por el riesgo de cada comprobación. Una comprobación que no se pudo evaluar no entra en el promedio, y un cero en una comprobación crítica puede vetar una biblioteca aunque su promedio sea alto. La política de adopción de Lupuna combina las dos cosas: hay que aplicar todas sus reglas antes de elegir.