שרשרת האספקה של הקוד

מה לעשות עם תלויות

נעילת גרסאות בקובץ מחייב, עדכון קבוע ומתוזמן במקום קפיצות גדולות פעם בשנה, וסריקת פגיעויות אוטומטית בצינור הבנייה.

בדקו לפני הוספה: מתי עודכן, כמה מתחזקים, וכמה תלויות הוא גורר. חבילה שמושכת עשרות חבילות בשביל פונקציה אחת אינה חיסכון.

הצינור עצמו הוא יעד

לכלי הבנייה יש גישה לסודות ולפרודקשן. הגבילו הרשאות, אל תריצו קוד לא מהימן בהקשר מורשה, וקבעו שסקריפטים של התקנה אינם רצים בשרתי בנייה בלי בקרה.

לדעת מה רץ

רשימת רכיבים מעודכנת לכל שחרור. כשמתפרסמת פגיעות חמורה, השאלה הראשונה היא "האם זה אצלנו" — ומי שאין לו רשימה מבזבז יום על החיפוש.