Contrôler une faille dans une campagne

Une campagne peut poser une question à chaque composant : « es-tu touché par cette faille ? ». Tu donnes le numéro de la faille (CVE-2021-23337, par exemple), et la campagne montre les composants qui réussissent, ceux qui échouent, et ceux qu'Astrolabe n'a pas pu mesurer.

Avant de commencer

• Tu es administrateur.
• Compass, Campagnes et Stack technique sont allumés dans Administration › Plugins. La campagne lit ce que l'onglet Stack technique de chaque composant a trouvé : voir Voir la stack technique d'un composant.
• Les composants à contrôler ont été analysés : leur onglet Stack technique montre leurs dépendances.

1. 📝 Écrire le contrôle

1. Dans Administration, sous INTELLIGENCE, clique sur Compass, puis sur l'onglet Évaluations.

2. Clique sur Créer une évaluation.

3. Remplis le formulaire :

   Champ	Quoi écrire	Exemple
   Nom	Ce que dit le contrôle	Not hit by CVE-2021-23337
   Source de données	La source de la réponse	Stack technique
   Point de données	La valeur à lire	Non touché par une faille
   Passe quand le contrôle est	Ce qu'il doit valoir	Vrai
   Faille	Le numéro de la faille : une CVE, ou un avis GitHub comme GHSA-35jh-r3h4-6jhm	CVE-2021-23337

4. Clique sur Sauvegarder. Le contrôle apparaît dans le tableau de l'onglet Évaluations.

2. 🚩 Créer la campagne

1. Dans la barre latérale, clique sur Campagnes, puis sur Créer une campagne (ou Créer ma première campagne).

2. Détails : remplis Nom (Patch lodash), Propriétaire (platform-team), Description, Date de début et Date de fin, puis clique sur Suivant.

3. Vérifications : dans Source de données, choisis Stack technique. Dans Vérifications, choisis Not hit by CVE-2021-23337. Clique sur Suivant.

4. Filtres : laisse le premier choix sur Component pour contrôler tous les composants, ou restreins avec Sous-type d'entité et Propriétaire (optionnel). Clique sur Suivant.

5. Jalons, puis Notifications : clique sur Suivant à chaque étape.

6. Révision : lis le résumé, puis clique sur Sauvegarder.

3. 👀 Lire le verdict

1. Sur la page Campagnes, clique sur la campagne.

2. Dans le tableau Composants, la colonne qui porte le nom de ton contrôle donne une marque par composant :

   Tu vois	Ça veut dire
   réussi	Le composant n'installe pas de version touchée.
   échoué	Le composant installe une version touchée.
   non mesuré	Astrolabe n'a pas pu savoir. Ça ne compte ni pour ni contre le composant.

   Au-dessus du tableau, le Taux de complétion ne compte que les composants qu'Astrolabe a pu mesurer. Une ligne au-dessus de la barre de progression dit combien de vérifications n'ont pas pu être mesurées.

4. 🧭 Avoir une note par composant

Un compass regroupe tes contrôles et donne une note à chaque composant. Mets-y le contrôle.

1. Dans Administration, sous INTELLIGENCE, clique sur Compass. Sur l'onglet Compass, clique sur Créer un compass.

2. Dans Nom, écris Lodash watch. Sous Évaluations, clique sur Ajouter une évaluation, coche Not hit by CVE-2021-23337, puis clique sur Sauvegarder les évaluations choisies.

3. Clique sur Sauvegarder. Le compass a sa carte sur l'onglet Compass.

4. Sur la carte, clique sur l'interrupteur en haut à droite : un nouveau compass est éteint.

5. Clique sur Lancer les calculs sur la carte. Calculs terminés apparaît, et la carte montre le nombre de composants et le Score moyen.

6. Clique sur Voir les scores. Le tableau a une colonne au nom de ton compass : 100% pour un composant qui réussit, 0% pour un qui échoue, Non mesuré pour un qu'Astrolabe n'a pas pu mesurer.

5. 🔎 Lire la réponse sur un composant

1. Dans la barre latérale, clique sur Catalogue, ouvre un composant, puis son onglet Compass.

2. Clique sur le contrôle Not hit by CVE-2021-23337 sous Évaluations. Pour un composant qui installe une version touchée, tu lis :

   • Résultat : Échoué
   • Lu : « lodash 4.17.20 (web/package.json) » : la dépendance, sa version et le fichier.
   • Corriger dans la source, un lien vers le dépôt du composant.

   Pour un composant qui n'en installe pas : Résultat : Réussi et Lu : « lodash 4.17.21 (web/package.json) ».

3. Pour un composant qu'Astrolabe n'a jamais analysé, le contrôle dit Non mesuré: La Stack technique n'a pas encore lu la branche par défaut de ce composant : ouvre son onglet Stack technique, ou attends le relevé de la nuit. Au-dessus, un bandeau ajoute Certaines vérifications n'ont pas pu être mesurées : elles ne comptent ni pour ni contre le score.

✅ C'est tout !

❓ Questions fréquentes

Un composant « non mesuré » compte-t-il comme sain ? Non. Il ne compte ni pour ni contre : seul un composant analysé par l'onglet Stack technique peut réussir.

🛠️ Dépannage

Ce que tu vois	Quoi faire
Pas d'onglet Compass sur un composant, pas d'entrée Campagnes dans la barre latérale, ou pas de Stack technique dans Source de données	Allume Campagnes, Compass et Stack technique dans Administration › Plugins.
N vérification(s) n'ont pas pu être mesurées : elles ne comptent ni pour ni contre. au-dessus de la barre de progression, ou La Stack technique n'a pas encore lu la branche par défaut de ce composant : ouvre son onglet Stack technique, ou attends le relevé de la nuit. dans l'onglet Compass	Ouvre l'onglet Stack technique des composants marqués non mesurés. Un composant sans analyse ne peut pas être contrôlé : corrige ce que dit cet onglet, puis rouvre la campagne.

La suite : Ajouter la carte Compass à ton tableau de bord.