Documentos de conformidade de autoria do NextPDF
Visão geral
Seção intitulada “Visão geral”O NextPDF elabora e mantém os documentos de conformidade de primeira parte abaixo, cada um listado com seu tipo e escopo.
Segurança e cadeia de suprimentos
Seção intitulada “Segurança e cadeia de suprimentos”| Documento | Tipo | Escopo |
|---|---|---|
| Pipeline de confiança da cadeia de suprimentos | Especificação de autoria do NextPDF | Os gates que o pipeline de release executa em pull requests e tags: geração de SBOM, proveniência de build, verificações de reprodutibilidade, verificações de desvio de fingerprint do lockfile e declarações in-toto dos insumos do build |
| Verificação de um release | Procedimento de autoria do NextPDF | Verificação passo a passo de um artefato de release contra sua assinatura cosign e sua proveniência de build SLSA |
| Postura de fuzzing | Metodologia de autoria do NextPDF | A matriz noturna de php-fuzzer e o harness de fuzzing de AST |
| Metodologia de análise estática | Metodologia de autoria do NextPDF | O gate bloqueante de build do PHPStan Level 10 em src/ e a linha de base com escopo em tests/ |
| Autoavaliação OpenSSF S2C2F | Autoavaliação de autoria do NextPDF | Controles de cadeia de suprimentos no lado do consumo, registrados por requisito do S2C2F |
| Planilha de respostas do OpenSSF Best Practices | Planilha de autoria do NextPDF | O conjunto de respostas para os critérios passing, silver e gold do bestpractices.dev |
| Autoavaliação OSPS Baseline | Autoavaliação de autoria do NextPDF | Os requisitos ativos do OpenSSF OSPS Baseline, respondidos requisito a requisito |
Regulatório e jurídico
Seção intitulada “Regulatório e jurídico”| Documento | Tipo | Escopo |
|---|---|---|
| Autoavaliação do CRA da UE | Autoavaliação de autoria do NextPDF | Uma autoavaliação em relação às obrigações do fabricante do Regulamento (UE) 2024/2847 |
| POP de notificação do Artigo 14 do CRA da UE | Procedimento de autoria do NextPDF | Notificação regulatória de vulnerabilidades ativamente exploradas e incidentes graves, com prazos de notificação e caminho de escalonamento |
Mapeamento NIST SSDF (SP 800-218) | Mapeamento de autoria do NextPDF | Práticas do SSDF mapeadas, prática por prática, para os controles que o NextPDF opera |
Conformidade de licenças de código aberto
Seção intitulada “Conformidade de licenças de código aberto”| Documento | Tipo | Escopo |
|---|---|---|
| Programa OpenChain ISO/IEC 5230 | Documentação de programa de autoria do NextPDF | Política de conformidade de licenças, declaração de escopo, respostas do checklist, procedimento de revisão de obrigações, política de contribuição, procedimento de arquivamento e registro de treinamentos |
| Programa OpenChain ISO/IEC 18974 | Documentação de programa de autoria do NextPDF | Política de segurança de código aberto, respostas do checklist e registro de treinamentos |
Acessibilidade e conformidade
Seção intitulada “Acessibilidade e conformidade”| Documento | Tipo | Escopo |
|---|---|---|
Relatório de Conformidade de Acessibilidade (VPAT 2.5) | Autoavaliação de autoria do NextPDF | Saída de PDF gerada; critérios que dependem de conteúdo fornecido pelo autor são registrados, critério a critério, como dependentes do autor |
| Checklist de critérios manuais do ACR | Planilha de autoria do NextPDF | O procedimento de verificação manual e o resultado atual por critério; critérios que exigem uma sessão de leitura com tecnologia assistiva são sinalizados como tal |
| Índice de evidências de conformidade | Índice de autoria do NextPDF | Evidências de conformidade verificáveis por máquina; cada entrada registra o perfil, a versão fixada do validador, o corpus e o comando de reprodução |