Clarification of language around HSTS
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 72/100
- Tipo de issue
- Documentación
- Claridad
- Bien especificado
- Estado de actividad
- Tranquilo
- Área
- documentation, security
Línea de trabajo
Localiza la sección 3.4.1 y busca en el repositorio el texto citado de HSTS. Revisa los requisitos circundantes y modifica la redacción para que el parámetro max-age y el valor de un año no sean ambiguos, manteniendo el requisito de todos los subdominios para L2 y superiores. Se considera terminado cuando el texto estándar pertinente ya no da pie a la interpretación indicada.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
The wording around the max-age parameter of HSTS is needlessly ambiguous especially in 3.4.1:
Verify that a Strict‑Transport‑Security header field is included on all responses to enforce an HTTP Strict Transport Security (HSTS) policy. A maximum age of at least 1 year must be defined, and for L2 and up, the policy must apply to all subdomains as well.
The problem here is the use of "maximum age", the sentence can be parsed as the maximum value of the parameter or the maximum value of max-age. This all hooks on the words "... at least ...", if they're missed on a skim read the sentence has a different meaning. The sentence caused confusion for our internal advice, as we tried to work out what the best recommendation for HSTS was.
To make it totally unambiguous it would be better to rephrase it to be explicit, something like:
Verify that a Strict‑Transport‑Security header field is included on all responses to enforce an HTTP Strict Transport Security (HSTS) policy. The max-age parameter should be set to at least 31536000 (one year). For L2 and up, the policy must apply to all subdomains as well.
- Lenguaje dominante
- HTML
- Estrellas
- 3.8k
- Forks
- 855
- Merge medio
- 1 d 9 h
- PR fusionados (30 d)
- 8
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de OWASP/ASVS
-
V6 (prev V2)
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
OWASP/ASVS#3433 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
-
1) Discussion ongoing 4) proposal for review V3 (prev V50)
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
OWASP/ASVS#3429 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Images and references pointing to old project page that does not exist anymorePosiblemente ocupada @tghosth la tomó hace 2 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 79/100
OWASP/ASVS#3424 · 4 comentarios · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
OWASP/ASVS#3365 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
V12 (prev V9)
Dificultad 2/5 1-3 horas Aptitud para principiantes 64/100
OWASP/ASVS#3360 · 19 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de OWASP/ASVS
Issues similares
-
area:mcp effort:low P5 source:agent
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
README says the land/sea mask must match the XS grid; the demo mask does not, and Step 4 worksPosiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abiertodocumentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
buckai-observatory/Automated-Cloud-Removal-and-Seamless-Satellite-Image-Mosaicking-Pipeline#52 ·
Los mantenedores suelen responder en 1 día
-
documentation
Dificultad 1/5 1-3 horas Aptitud para principiantes 84/100
Los mantenedores suelen responder en 1 día
-
Dificultad 1/5 1-3 horas Aptitud para principiantes 82/100
run-llama/llama_index#24163 ·
Los mantenedores suelen responder en 1 día
-
documentation good first issue severity: low
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
TMHSDigital/Static_Chess#48 ·