Secure coding

Wat we doen

Alle code wordt verplicht gereviewd voor merge naar beschermde branches. Reviews checken expliciet op:

• Formatting – naleving style guides
• Dependencies – bekende kwetsbaarheden (naast Dependabot)
• Security issues – OWASP Top 10 als baseline
• Secrets – geen credentials in code; applicatie-secrets via GCP Secret Manager (standaard), Kubernetes Secrets (oudere projecten) of GitHub Secrets (CI)
• Idiomatic language use – correct en veilig taalgebruik

Merges naar main vereisen review door een collega; de merge wordt gedaan door DevOps.

Style guides

• Elixir – lexmag style guide
• JavaScript – ESLint
• (S)CSS + HTML – BEM-methodologie
• Swift – Google Swift Style Guide
• Java – Google Java Style Guide

Testbeleid

• Elk endpoint: minimaal 1 test
• Kritieke business logic: alle cases afgedekt
• Bugfixes worden testcases (regressiepreventie)
• Afwijkingen alleen met expliciete goedkeuring directie

Technische maatregelen

• Branch protection rules op main en develop (GitHub)
• PR-based code reviews verplicht
• Geautomatiseerde tests in GitHub Actions
• Dependabot op de repositories
• Docker-containers voor consistente omgevingen (local = live)
• Linters (ESLint e.a.) voor style guide enforcement

Gaps

Geen bekende gaps. SAST-tooling en secret scanning staan als gaps bij 8.08 en 8.25.

Bewijs

• GitHub: branch protection en PR-reviews per repository
• GitHub Actions-workflows per repository
• Docker-configuratie per project-repository
• YipYip Mobile Development Guidelines (github.com/weareyipyip)