-
Continue reading →: Arbeitszeugnisse rechtssicher gestalten: Ein Leitfaden für ArbeitgeberDas Arbeitszeugnis ist nicht nur ein formeller Abschluss eines Arbeitsverhältnisses, sondern ein entscheidendes Dokument, das das berufliche Weiterkommen eines Mitarbeiters maßgeblich beeinflussen kann. In diesem Ratgeber erhalten Arbeitgeber wertvolle Einblicke, wie sie rechtssichere und aussagekräftige Arbeitszeugnisse erstellen können.
-
Continue reading →: Git-Historie nach einem Secret-Leak bereinigen: Was git filter-repo und BFG wirklich leisten
Ein Token oder API-Key ist in einem Commit gelandet, der Branch war öffentlich sichtbar, und jetzt ist die Frage nicht mehr Prävention, sondern Aufräumen. Dieser Beitrag setzt dort an, wo Secret Scanning und Push Protection nicht mehr greifen, nämlich wenn das Secret schon in der Historie steht. Wie es dort…
-
Continue reading →: npm Trusted Publishing: OIDC statt NPM_TOKEN
npm Trusted Publishing einrichten: OIDC-Vertrauensanker konfigurieren, Workflow ohne NPM_TOKEN bauen, Angriffsfläche und Rotationsaufwand einordnen.
-
Continue reading →: SECURITY.md und Private Vulnerability Reporting: zwei Wege, eine Lücke zu melden
SECURITY.md beschreibt einen Meldeweg, erzwingt aber nichts. Private Vulnerability Reporting ist der GitHub-native Workflow dahinter, mit Formular, Draft Advisory und privatem Fork.
-
Continue reading →: CodeQL Default Setup: Code Scanning ohne Workflow-Datei
CodeQL Default Setup aktivieren: was es scannt, wann es läuft, wann es Actions-Minuten verbraucht und welche Lizenz private Repos brauchen.
-
Continue reading →: GitHub Immutable Releases: Tags und Assets sperren
GitHub Immutable Releases: was nach dem Veröffentlichen gesperrt ist, was nicht, wie du es einschaltest und warum der Draft-Workflow zählt.
-
Continue reading →: Security Champions Programm aufbauen: Sicherheitswissen im Team verteilen
Security Champions Programm im Team: wen du nominierst, wie viel Zeit die Rolle braucht und woran du Wirkung misst. Aus drei OWASP-nahen Quellen.
-
Continue reading →: SBOM vom Lieferanten prüfen: vier Checks vor dem Ablegen
SBOM vom Lieferanten prüfen: Mindestfelder nach NTIA, Aktualität, Abhängigkeitstiefe und Format, mit Prüflauf an einer öffentlichen Beispiel-SBOM.
-
Continue reading →: GitHub 2FA erzwingen in der Organisation: was die Pflicht tut und was nicht
GitHub 2FA in der Organisation erzwingen: Was mit Mitgliedern, Outside Collaborators und Bot-Konten passiert und was die Doku zu Tokens sagt.
-
Continue reading →: Dependabot cooldown: neue Paketversionen nicht sofort ziehen
Dependabot cooldown, Renovate minimumReleaseAge, npm ignore-scripts: frische Versionen verzögern, ohne Sicherheitsupdates auszubremsen.
-
Abonnieren
Abonniert
Hast du ein WordPress.com-Konto? Melde dich jetzt an.
