Snyk agora está integrado ao Lighthouse do Chrome

Hoje temos mais um anúncio empolgante: o Snyk agora dá suporte à nova auditoria de JavaScript vulnerável no Lighthouse do Google Chrome, a ferramenta de auditoria criada pela equipe do Google Chrome para avaliar o desempenho, a acessibilidade e a segurança do seu site.

Snyk e Lighthouse

O Lighthouse é uma ferramenta automatizada de código aberto do Google Chrome que testa sites com base em um conjunto de boas práticas e métricas. Ele gera um relatório detalhado para que os desenvolvedores vejam exatamente como estão se saindo e o que podem melhorar. O Lighthouse pode ser usado como extensão do navegador, módulo do Node e agora também oferece os recursos de auditoria integrados às ferramentas para desenvolvedores do Google Chrome.

O Lighthouse é uma ótima maneira de os desenvolvedores identificarem problemas que passam facilmente despercebidos, como acessibilidade e desempenho — aspectos essenciais, mas que nem sempre são visíveis. A segurança já era avaliada por testes de suporte a HTTPS, mas a equipe do Lighthouse queria ajudar os desenvolvedores a proteger ainda mais seus sites.

No início deste ano, um estudo revelou que 37% dos sites tinham pelo menos uma biblioteca JavaScript do lado do cliente com uma vulnerabilidade de segurança conhecida. Nossa investigação posterior mostrou que a situação era ainda pior: 77% dos 5.000 principais URLs usavam uma biblioteca JavaScript com um problema de segurança conhecido.

Reconhecendo a importância do problema, a equipe do Lighthouse nos pediu ajuda para criar uma auditoria de bibliotecas JavaScript vulneráveis. Como grandes fãs do Lighthouse, ficamos muito felizes em colaborar. A versão 2.5.0 do Lighthouse já inclui uma auditoria de “Boas práticas” que detecta bibliotecas JavaScript de front-end em uso com vulnerabilidades de segurança conhecidas, consultando o banco de dados de vulnerabilidades do Snyk.

Ao auditar seu site, o Lighthouse identifica as bibliotecas que você usa e suas versões. Em seguida, consulta o banco de dados do Snyk para verificar se há problemas de segurança conhecidos. Se houver, a pontuação da auditoria do seu site será reduzida, e você receberá informações sobre as vulnerabilidades, com um link para o Snyk para saber mais e resolver os problemas.

Você já pode testar o recurso no Chrome Canary do Google — sem precisar instalar nada. Em breve, ele também estará disponível no Google Chrome.

Mais visibilidade para vulnerabilidades conhecidas

É provável que suas equipes de front-end já usem o Lighthouse (e, se ainda não usam, deveriam). Com a nova integração com o Snyk, elas terão informações essenciais sobre possíveis problemas de segurança integradas às demais auditorias, facilitando a tomada de medidas.

Embora o Lighthouse verifique o que foi entregue — analisando a própria página —, o melhor momento para detectar bibliotecas vulneráveis é antes que elas cheguem à produção. Quanto mais cedo você encontrar bibliotecas vulneráveis, mais fácil será corrigir o problema e atualizar as dependências.

Desenvolvedores: incluam a verificação dessas bibliotecas vulneráveis — e a correção delas — no processo de desenvolvimento. Aplicar essa proteção continuamente é a melhor maneira de proteger seu site e seus usuários. O Snyk foi criado para fazer exatamente isso e é gratuito para projetos de código aberto. Experimente. Depois, use o Lighthouse para ter mais visibilidade e descobrir se você está implantando JavaScript voltado aos usuários com falhas de segurança conhecidas.

Ferramentas como o Lighthouse (e o Sonar) priorizarem a detecção desses problemas em JavaScript do lado do cliente é um grande passo para melhorar a segurança geral da web. Estamos muito felizes — e orgulhosos — por trabalhar com essas equipes para tornar a web mais segura por padrão.