OSSカルテは、OSSの公開情報を日本語で整理する「健康診断」です。 安全か危険かの判定はしません。
何をするか
GitHubリポジトリやパッケージについて、公開されている情報を集めて1画面にまとめます。 更新の状況、既知の脆弱性、ライセンス、OpenSSF Scorecard の各項目などです。
そのうえで、それぞれの数値が何を意味するのかを日本語で説明します。 英語の専門用語と数字だけを並べて終わりにしません。
何をしないか
- 「このOSSは安全です」「危険です」と断定しません。
- 「総合スコア」や「総合ラベル」（緑・赤など）を出しません。
- スター数やダウンロード数を、安全性の指標として扱いません。
- 更新が少ないというだけで「開発終了」とは書きません。
- 掲載料を受け取って評価を変えることはありません。
なぜ断定しないのか。
セキュリティに絶対はありません。スコアが高くても脆弱性は起こりますし、 更新が止まっていても問題なく使える成熟したライブラリもあります。 ひとつのラベルに丸めた瞬間、その丸め方の責任をこちらが負い、 読む側は中身を見なくなります。だから丸めません。
セキュリティに絶対はありません。スコアが高くても脆弱性は起こりますし、 更新が止まっていても問題なく使える成熟したライブラリもあります。 ひとつのラベルに丸めた瞬間、その丸め方の責任をこちらが負い、 読む側は中身を見なくなります。だから丸めません。
代わりに出すもの
カルテの最上部に出るのは、次の3つの数字です。
- 観測できた項目 — 実際にデータが取れた項目の数
- 確認すべき点 — あなたが自分で確かめたほうがよい項目の数
- データが取得できない項目 — 取れなかった項目の数
「データが取れないこと」と「問題があること」は別に数えます。 この2つを混ぜると、情報が少ないOSSほど悪く見えてしまうためです。
誰が作っているか
個人が開発・運営しています。OpenSSF、GitHub、その他いずれの組織の公式サービスでもありません。 掲載しているOSSのプロジェクトとも関係はありません。
内容に誤りを見つけたら
お問い合わせフォームからご連絡ください。 OSS開発者の方からのご指摘も歓迎します。一次情報を確認したうえで訂正します。 詳しくは編集方針をご覧ください。