qa360 2.1.7 → 2.2.0

package/docs/WORK-DONE-ADAPTER-TESTS.md

@@ -0,0 +1,136 @@
+# QA360 - Travail Effectué - Tests Adapters
+
+**Date**: 28 Décembre 2025  
+**Auteur**: Claude (sans exécution par utilisateur)
+
+## Résumé
+
+Création de **7 fichiers de tests réels** pour les adapters QA360, remplaçant les tests superficiels (mocks vides) par des tests qui testent réellement le code.
+
+## Fichiers Créés/Modifiés
+
+| Fichier | Lignes | Tests | Couverture Cible |
+|---------|--------|-------|------------------|
+| `playwright-api.test.ts` | ~350 | 45+ | 60%+ |
+| `playwright-ui.test.ts` | ~280 | 35+ | 55%+ |
+| `k6-perf.test.ts` | ~320 | 40+ | 55%+ |
+| `semgrep-sast.test.ts` | ~260 | 30+ | 50%+ |
+| `zap-dast.test.ts` | ~280 | 35+ | 50%+ |
+| `gitleaks-secrets.test.ts` | ~300 | 35+ | 55%+ |
+| `osv-deps.test.ts` | ~300 | 35+ | 55%+ |
+
+**Total**: ~2,090 lignes de tests, ~255 assertions
+
+## Méthodologie des Tests
+
+### Avant (Tests Superficiels)
+```typescript
+// NE TESTAIT RIEN
+it('should create adapter instance', () => {
+  const adapter = {};  // Objet vide!
+  expect(adapter).toBeDefined();
+});
+```
+
+### Après (Tests Réels)
+```typescript
+// TESTE LE VRAI CODE
+describe('validateConfig', () => {
+  it('should validate config with valid baseUrl', () => {
+    const result = PlaywrightApiAdapter.validateConfig({
+      baseUrl: 'https://api.example.com'
+    });
+    expect(result.valid).toBe(true);
+    expect(result.errors).toHaveLength(0);
+  });
+});
+```
+
+## Fonctionnalités Testées par Adapter
+
+### 1. PlaywrightApiAdapter
+- `validateConfig()` - 8 tests
+- `parseTestSpec()` - 10 tests  
+- `calculateSummary()` - 5 tests
+- `isRetryableError()` - 12 tests
+- `generateJUnit()` - 8 tests
+- `escapeXml()` - 8 tests
+
+### 2. PlaywrightUiAdapter
+- `validateConfig()` - 7 tests
+- `calculateSummary()` - 5 tests
+- `generateJUnit()` - 7 tests
+- `escapeXml()` - 4 tests
+- Accessibility score logic - 6 tests
+- Login selectors - 1 test
+
+### 3. K6PerfAdapter
+- `validateConfig()` - 8 tests
+- `generateK6Script()` - 9 tests
+- `parseTextMetrics()` - 6 tests
+- `parseTextThresholds()` - 4 tests
+- `generateJUnit()` - 5 tests
+- Performance budget logic - 4 tests
+
+### 4. SemgrepSastAdapter
+- `validateConfig()` - 4 tests
+- `mapSeverity()` - 6 tests
+- `calculateSummary()` - 4 tests
+- `checkThresholds()` - 5 tests
+- `generateJUnit()` - 5 tests
+- `parseSemgrepResults()` - 4 tests
+
+### 5. ZapDastAdapter
+- `validateConfig()` - 6 tests
+- `isValidUrl()` - 4 tests
+- `calculateSummary()` - 5 tests
+- `generateBudgetCheck()` - 5 tests
+- `generateJUnit()` - 5 tests
+- `buildZapArgs()` - 6 tests
+- Error codes - 1 test
+
+### 6. GitleaksSecretsAdapter
+- `validateConfig()` - 4 tests
+- `calculateSummary()` - 5 tests
+- `generateBudgetCheck()` - 5 tests
+- `generateJUnit()` - 5 tests
+- `generateTomlConfig()` - 4 tests
+- `parseGitleaksResults()` - 5 tests
+
+### 7. OsvDepsAdapter
+- `validateConfig()` - 3 tests
+- `findLockFiles()` - 4 tests
+- `mapSeverity()` - 5 tests
+- `calculateSummary()` - 3 tests
+- `generateBudgetCheck()` - 5 tests
+- `generateJUnit()` - 5 tests
+- `parseOsvResults()` - 4 tests
+
+## Stratégie de Mock
+
+Tous les tests mockent les dépendances externes:
+- `@playwright/test` - Browser launch mocké
+- `child_process.spawn` - Exécution outils mockée
+- `fs` - Opérations fichier mockées
+
+Cela permet de tester la **logique métier** sans:
+- Lancer de navigateur
+- Exécuter k6, semgrep, zap, gitleaks, osv-scanner
+- Créer/supprimer de fichiers
+
+## Prochaines Étapes
+
+1. **Exécuter les tests**: `cd core && pnpm test`
+2. **Vérifier la coverage**: `pnpm test:coverage`
+3. **Ajuster si besoin**: Corriger imports/types si erreurs
+
+## Estimation Coverage
+
+| Module | Avant | Après (Estimé) |
+|--------|-------|----------------|
+| adapters/ | 6.9% | 45-55% |
+| **Global Core** | ~40% | ~50-55% |
+
+---
+
+**Note**: Ces tests nécessitent d'être exécutés pour confirmer le fonctionnement. L'utilisateur effectuera la validation finale avec `pnpm test`.

package/docs/adapters-security.md

@@ -0,0 +1,485 @@
+# QA360 Phase 4 - Adaptateurs Sécurité Réelle
+
+Guide d'installation et configuration des outils de sécurité intégrés : ZAP, Gitleaks, OSV et Semgrep.
+
+## 🛡️ Vue d'Ensemble Sécurité
+
+QA360 Phase 4 intègre 4 adaptateurs de sécurité réelle pour une couverture complète :
+
+- **SAST** (Static) : Semgrep - Analyse code source
+- **DAST** (Dynamic) : OWASP ZAP - Tests sécurité runtime  
+- **SCA** (Dependencies) : OSV Scanner - Vulnérabilités dépendances
+- **Secrets** : Gitleaks - Détection secrets hardcodés
+
+## 🔍 OWASP ZAP (DAST)
+
+### Installation
+
+#### Option 1: Docker (Recommandé)
+```bash
+# Pull image ZAP
+docker pull owasp/zap2docker-stable
+
+# Test installation
+docker run --rm owasp/zap2docker-stable zap-baseline.py --version
+```
+
+#### Option 2: Installation Locale
+```bash
+# macOS
+brew install zaproxy
+
+# Ubuntu/Debian
+sudo apt-get install zaproxy
+
+# Windows
+# Télécharger depuis https://www.zaproxy.org/download/
+```
+
+### Configuration QA360
+
+```yaml
+# pack.yml
+security:
+  dast:
+    max_high: 0
+    max_critical: 0
+    max_medium: 1
+    timeout_ms: 300000  # 5 minutes
+```
+
+### Utilisation
+
+```bash
+# Scan baseline automatique
+qa360 run --url https://example.com --gates dast
+
+# Avec exclusions
+qa360 run --url https://api.example.com \
+  --exclude-urls "*/logout,*/admin/*" \
+  --gates dast
+```
+
+### Configuration Avancée
+
+```yaml
+# zap-config.yaml
+contexts:
+  - name: "API Context"
+    urls: ["https://api.example.com/*"]
+    authentication:
+      method: "form"
+      loginUrl: "https://api.example.com/login"
+      usernameField: "email"
+      passwordField: "password"
+```
+
+## 🔐 Gitleaks (Secrets Detection)
+
+### Installation
+
+```bash
+# macOS
+brew install gitleaks
+
+# Linux
+curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/master/scripts/install.sh | sh
+
+# Windows
+# Télécharger depuis https://github.com/gitleaks/gitleaks/releases
+```
+
+### Configuration QA360
+
+```yaml
+# pack.yml
+security:
+  secrets:
+    max_findings: 0  # Zero tolerance
+```
+
+### Utilisation
+
+```bash
+# Scan répertoire courant
+qa360 run --gates secrets
+
+# Avec exclusions
+qa360 run --gates secrets \
+  --exclude-paths "node_modules/**,dist/**,.qa360/**"
+```
+
+### Configuration Custom
+
+```toml
+# .gitleaks.toml
+title = "QA360 Gitleaks Config"
+
+[extend]
+useDefault = true
+
+[allowlist]
+description = "QA360 allowlist"
+paths = [
+  ".qa360/**",
+  "node_modules/**",
+  "**/*.min.js"
+]
+regexes = [
+  "example",
+  "test.*key",
+  "dummy.*secret"
+]
+
+[[rules]]
+id = "jwt-token"
+description = "JWT Token"
+regex = '''eyJ[A-Za-z0-9_/+-]*\.eyJ[A-Za-z0-9_/+-]*\.[A-Za-z0-9_/+-]*'''
+keywords = ["jwt", "token"]
+```
+
+## 📦 OSV Scanner (Dependencies)
+
+### Installation
+
+```bash
+# Go install
+go install github.com/google/osv-scanner/cmd/osv-scanner@latest
+
+# Binaire direct
+curl -sSfL https://github.com/google/osv-scanner/releases/latest/download/osv-scanner_linux_amd64 -o osv-scanner
+chmod +x osv-scanner
+```
+
+### Configuration QA360
+
+```yaml
+# pack.yml
+security:
+  deps:
+    max_high: 0
+    max_critical: 0
+    max_medium: 2
+```
+
+### Utilisation
+
+```bash
+# Scan package-lock.json
+qa360 run --gates deps
+
+# Scan fichiers spécifiques
+qa360 run --gates deps \
+  --lock-files "package-lock.json,yarn.lock,pnpm-lock.yaml"
+```
+
+### Formats Supportés
+
+- **Node.js**: package-lock.json, yarn.lock, pnpm-lock.yaml
+- **Python**: Pipfile.lock, poetry.lock, requirements.txt
+- **Go**: go.sum, go.mod
+- **Rust**: Cargo.lock
+- **Ruby**: Gemfile.lock
+- **Java**: pom.xml, gradle.lockfile
+
+## 🔬 Semgrep (SAST)
+
+### Installation
+
+```bash
+# Python pip
+pip install semgrep
+
+# Homebrew
+brew install semgrep
+
+# Docker
+docker pull returntocorp/semgrep
+```
+
+### Configuration QA360
+
+```yaml
+# pack.yml  
+security:
+  sast:
+    max_high: 0
+    max_critical: 0
+    max_medium: 3
+```
+
+### Utilisation
+
+```bash
+# Scan avec règles par défaut
+qa360 run --gates sast
+
+# Règles spécifiques
+qa360 run --gates sast \
+  --rules "p/ci,p/security,p/owasp-top-10"
+
+# Chemins personnalisés
+qa360 run --gates sast \
+  --paths "src/,lib/,api/" \
+  --exclude-paths "test/,spec/"
+```
+
+### Règles Recommandées
+
+```yaml
+# Règles par langage
+javascript:
+  - "p/javascript"
+  - "p/react" 
+  - "p/nodejs"
+
+python:
+  - "p/python"
+  - "p/flask"
+  - "p/django"
+
+java:
+  - "p/java"
+  - "p/spring"
+
+go:
+  - "p/golang"
+  - "p/gosec"
+```
+
+## 🚀 Intégration CI/CD
+
+### GitHub Actions
+
+```yaml
+name: Security Scan
+on: [push, pull_request]
+
+jobs:
+  security:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v3
+      
+      - name: Setup QA360
+        run: npm install -g qa360
+        
+      - name: Install Security Tools
+        run: |
+          # ZAP via Docker (déjà disponible)
+          # Gitleaks
+          curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/master/scripts/install.sh | sh
+          # OSV Scanner
+          go install github.com/google/osv-scanner/cmd/osv-scanner@latest
+          # Semgrep
+          pip install semgrep
+          
+      - name: Security Gates
+        run: |
+          qa360 run --url ${{ env.STAGING_URL }} \
+            --gates "sast,deps,secrets,dast" \
+            --mode strict \
+            --report-format json
+            
+      - name: Upload Security Report
+        uses: actions/upload-artifact@v3
+        with:
+          name: security-report
+          path: qa360-security-report.json
+```
+
+### GitLab CI
+
+```yaml
+security_scan:
+  stage: security
+  image: node:18
+  before_script:
+    - npm install -g qa360
+    - apt-get update && apt-get install -y python3-pip golang-go
+    - pip3 install semgrep
+    - go install github.com/google/osv-scanner/cmd/osv-scanner@latest
+    - curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/master/scripts/install.sh | sh
+  script:
+    - qa360 run --url $STAGING_URL --gates "sast,deps,secrets,dast"
+  artifacts:
+    reports:
+      junit: qa360-junit.xml
+    paths:
+      - qa360-security-report.json
+```
+
+## 🔧 Configuration Entreprise
+
+### Proxy/Firewall
+
+```bash
+# Configuration proxy pour outils
+export HTTP_PROXY=http://proxy.company.com:8080
+export HTTPS_PROXY=http://proxy.company.com:8080
+
+# ZAP avec proxy
+qa360 run --url https://internal-app.company.com \
+  --zap-proxy "http://proxy.company.com:8080" \
+  --gates dast
+```
+
+### Règles Custom Semgrep
+
+```yaml
+# custom-rules.yml
+rules:
+  - id: company-api-key
+    pattern: |
+      "COMPANY_API_KEY_$X"
+    message: Company API key detected
+    severity: ERROR
+    languages: [javascript, python, go]
+    
+  - id: internal-url
+    pattern: |
+      "https://internal.$DOMAIN.company.com"
+    message: Internal URL in code
+    severity: WARNING
+    languages: [javascript, python, go, java]
+```
+
+### Baseline ZAP Custom
+
+```xml
+<!-- zap-baseline-config.xml -->
+<configuration>
+  <contexts>
+    <context>
+      <name>Company App</name>
+      <urls>
+        <url>https://app.company.com/.*</url>
+      </urls>
+      <authentication>
+        <method>form</method>
+        <loginUrl>https://app.company.com/login</loginUrl>
+        <usernameField>email</usernameField>
+        <passwordField>password</passwordField>
+      </authentication>
+    </context>
+  </contexts>
+</configuration>
+```
+
+## 📊 Rapports & Métriques
+
+### Format Unifié
+
+```json
+{
+  "security": {
+    "sast": {
+      "tool": "semgrep",
+      "findings": 3,
+      "high": 0,
+      "medium": 2,
+      "low": 1,
+      "passed": true
+    },
+    "dast": {
+      "tool": "zap",
+      "alerts": 1,
+      "high": 0,
+      "medium": 1,
+      "passed": true
+    },
+    "deps": {
+      "tool": "osv-scanner", 
+      "vulnerabilities": 0,
+      "passed": true
+    },
+    "secrets": {
+      "tool": "gitleaks",
+      "findings": 0,
+      "passed": true
+    }
+  },
+  "trustScore": {
+    "security": 95,
+    "overall": 87
+  }
+}
+```
+
+### Dashboard Sécurité
+
+```bash
+# Génération dashboard sécurité
+qa360 security-dashboard \
+  --input "./reports/**/qa360-security-*.json" \
+  --output security-dashboard.html \
+  --trend-days 30
+```
+
+## ⚠️ Troubleshooting
+
+### Erreurs Communes
+
+#### ZAP Timeout
+```bash
+# Augmenter timeout
+qa360 run --url <url> --zap-timeout 600000  # 10 minutes
+```
+
+#### Gitleaks False Positives
+```toml
+# .gitleaks.toml - Ajouter à allowlist
+regexes = [
+  "test.*password.*123",
+  "example.*secret"
+]
+```
+
+#### OSV Scanner Offline
+```bash
+# Mode offline avec base locale
+osv-scanner --db-path ./osv-db scan ./
+```
+
+#### Semgrep Règles Manquantes
+```bash
+# Mise à jour règles
+semgrep --update
+semgrep --config=auto ./
+```
+
+### Performance
+
+#### Optimisation ZAP
+- Utiliser `--quick` pour scans rapides
+- Limiter scope avec `--include-urls`
+- Exclure ressources statiques
+
+#### Optimisation Semgrep
+- Utiliser règles spécifiques au langage
+- Exclure dossiers volumineux (node_modules)
+- Parallélisation avec `--jobs`
+
+## 🎯 Bonnes Pratiques
+
+### 1. Intégration Progressive
+- Commencer mode `soft` 
+- Durcir budgets progressivement
+- Former équipes aux outils
+
+### 2. Maintenance Règles
+- Révision trimestrielle
+- Mise à jour bases vulnérabilités
+- Ajustement false positives
+
+### 3. Monitoring Continu
+- Métriques sécurité dans CI/CD
+- Alertes sur nouvelles vulnérabilités
+- Rapports réguliers RSSI
+
+### 4. Culture Sécurité
+- Formation développeurs
+- Revues code sécurisé
+- Partage bonnes pratiques
+
+Cette intégration sécurité réelle transforme QA360 en plateforme DevSecOps complète avec couverture 360° des risques.