OSSを採用する前に読むガイド
指標の数字だけでは、そのOSSを使ってよいかは決められません。 何をどの順で見ればよいのか、数字が低いときに何を意味するのかを説明します。
OSSカルテの読み方 — 何を見て、何を見ないか
OSSカルテが表示する3つの数字の意味と、指標を読むときの順序、そして数字だけでは判断できない理由を説明します。初めてこのサイトを使う方はここから読んでください。
読むOSSを採用する前に確認すること — 7項目のチェックリスト
ライセンス、脆弱性、紐付けの検証、保守状態、報告先、代替手段、そして「止まったときにどうするか」。OSSを採用する前に確認する7項目を、確認にかかる時間の短い順に並べて説明します。
読むOpenSSF Scorecard とは何か — 何を測っていて、何を測っていないか
OpenSSF Scorecard が何を調べていて、何を調べていないのかを日本語で説明します。点数の読み方、公開スキャンの限界、そして総合スコアを鵜呑みにしてはいけない理由を解説します。
読むはじめてなら、この順で見る
指標を上から順に読むと、どれも同じ重さに見えてしまいます。 実務で先に効くものから並べると、次の順になります。
- そのパッケージが、名乗っているリポジトリのものか。 ここが違っていると、以降の指標は別のプロジェクトの値になります。 当サイトが最初に確認しているのはここです。
- いま脆弱性が公開されている版を掴んでいないか。 修正版が出ているなら、版を上げるだけで済むことが多い箇所です。
- 直近1年に動きがあるか。 止まっていること自体は問題ではありませんが、 何かあったときに直る見込みを考える材料になります。
- ライセンスが自分の用途に合うか。 後から差し替えるのが、いちばん高くつく項目です。
- 残りの Scorecard 項目。 低い項目が自分の使い方で効くかを、項目ごとに見ます。
1〜4 はカルテの上部に出しています。5 は指標の読み方で 1項目ずつ説明しています。
よくある質問
Scorecard のスコアが低いOSSは使わないほうがよいですか
スコアはそのOSSの品質そのものではなく、リポジトリの設定や運用が自動で確認できたかを見た値です。設定していないだけで下がる項目もあれば、CI を持たない小さなライブラリでは構造的に上がらない項目もあります。低い項目が自分の用途で問題になるかを、項目ごとに見る必要があります。
リリースが1年止まっているOSSは、開発が終わっていますか
止まっていること自体は観測できますが、それだけでは終了とは言えません。仕様が安定して変更が要らない状態でも、同じ見え方になります。当サイトが開発の終了に触れるのは、リポジトリが Archived になっている、パッケージが Deprecated として公開されている、公式に告知がある、のいずれかが確認できるときだけです。
脆弱性が公開されている版が含まれていたら、どうすればよいですか
まず、その脆弱性が自分の使い方で到達しうる経路かを確認します。公開されている Advisory には、影響を受ける版の範囲と修正版が書かれています。修正版があるなら上げる、無いなら回避策の有無を見る、という順です。件数だけでは判断できません。
リポジトリの紐付けが「検証できていない」と出るのはなぜですか
パッケージが宣言しているリポジトリURLが、本当にそのパッケージの出どころかを機械的に確かめられなかった、という意味です。名前の付け方が違うだけのこともあれば、宣言そのものが無いこともあります。誤りがあるという意味ではなく、当サイトの側で裏が取れていない、という表示です。
この診断だけで採用を決めてよいですか
決められません。当サイトが出すのは、公開データから確認できた事実と、確認しておくとよい点の件数です。総合的な評価や合否は出しません。実際の判断には、自分の用途・チームの体制・移行にかかるコストが必要です。