Le flux Blue Team

/lagune-charter: définir vos principes de sécurité

Établissez les principes de sécurité de votre projet, les règles que respecte chaque phase suivante, et enregistrez les catégories de spécialisations que justifie sa lecture.

🧬 Dites à Lagune ce qu'est votre projet, et il le transforme en règles de sécurité (ou, sans description, il les déduit du projet seul).

La charter est la couche de gouvernance : un ensemble de principes axés sur la sécurité que chaque phase suivante doit respecter. Voyez-la comme la vérification à la compilation de la posture de sécurité de votre projet.

Utilisation​

/lagune-charter Mon projet est une boutique en ligne qui vend des jeux vidéo. Les clients ajoutent des produits à un panier et paient par carte bancaire ou par boleto. Ils peuvent voir leurs commandes et le statut de chacune.

Ce qu'il en déduit​

Lagune prend votre description ou votre PRD comme direction et en déduit les implications pour la sécurité, puis lit le projet pour aller plus loin que ce que vous avez nommé. Par exemple :

  • Un panier qui contient des commandes implique une base de données :
    • ex. "Où se trouvent les données ?", "Qui peut y accéder ?", "Est-ce qu'elles fuient ?".
  • Des clients qui voient leurs propres commandes impliquent une forme de connexion ou de contrôle d'accès :
    • ex. "Un client peut-il accéder aux commandes d'un autre ?", "Les sessions sont-elles protégées ?".
  • Accepter les paiements par carte et par boleto implique de l'argent et des données sensibles :
    • ex. "Les données de carte sont-elles stockées ?", "Les paiements sont-ils vérifiés ?".

Votre description et le projet se complètent : votre description fixe l'intention, et la lecture des dépendances, du README et de la configuration fait ressortir ce que vous n'avez pas mentionné. Si un point important reste flou, Lagune pose une question courte et simple plutôt que de deviner.

À partir de là, Lagune construit un ensemble de règles de sécurité sur mesure pour le projet, que vous pouvez relire et ajuster quand vous le souhaitez.

Tirer le meilleur parti
  • Vous pouvez aussi définir vos propres règles de sécurité pour le projet.
  • Plus vous donnez de détails pertinents, meilleur est le rapport final :
    • Expliquez le projet, son fonctionnement et ce qui se passe en coulisses.
    • Qui est l'utilisateur final ? Que peuvent faire les utilisateurs, et que ne peuvent-ils pas faire ?
    • Les détails de comportement valent autant que les détails techniques.
  • La mémoire de la charter se trouve dans .lagune/memory/charter.md.

Les catégories qu'il enregistre​

Les spécialisations, ces connaissances de sécurité que les phases suivantes chargent à la demande, rejoignent le catalogue de votre projet par catégorie. Tant que votre projet n'a aucune catégorie enregistrée, la charter enregistre chacune de celles que justifie sa lecture, comme le langage de votre projet, des appels à un LLM ou des conteneurs, et les nomme dans son résumé.

Une fois des catégories enregistrées, la charter les laisse telles quelles et se contente de nommer une catégorie que votre projet n'utilise pas encore. Modifiez-les vous-même à tout moment :

npx lagune write add --categories python
npx lagune write remove --categories python

Étape suivante​

Les règles fixées, cartographiez ce que fait réellement votre système : /lagune-detect.

Questions fréquentes

La charter est la couche de gouvernance de Lagune, un ensemble de principes axés sur la sécurité que chaque phase suivante doit respecter. Voyez-la comme la vérification à la compilation de la posture de sécurité de votre projet.

Dans .lagune/memory/charter.md.

Oui. Lagune propose des règles à partir de votre description et de votre code, et vous pouvez les reformuler, les supprimer, en ajouter ou réduire leur portée.

Seulement tant qu'aucune n'est enregistrée. Elle enregistre alors chaque catégorie que justifie sa lecture, comme votre langage ou des appels à un LLM. Une fois des catégories enregistrées, elle ne les modifie jamais.