qa360 2.2.1 → 2.2.13

package/docs/WORK-DONE-ADAPTER-TESTS.md

@@ -1,136 +0,0 @@
-# QA360 - Travail Effectué - Tests Adapters
-
-**Date**: 28 Décembre 2025  
-**Auteur**: Claude (sans exécution par utilisateur)
-
-## Résumé
-
-Création de **7 fichiers de tests réels** pour les adapters QA360, remplaçant les tests superficiels (mocks vides) par des tests qui testent réellement le code.
-
-## Fichiers Créés/Modifiés
-
-| Fichier | Lignes | Tests | Couverture Cible |
-|---------|--------|-------|------------------|
-| `playwright-api.test.ts` | ~350 | 45+ | 60%+ |
-| `playwright-ui.test.ts` | ~280 | 35+ | 55%+ |
-| `k6-perf.test.ts` | ~320 | 40+ | 55%+ |
-| `semgrep-sast.test.ts` | ~260 | 30+ | 50%+ |
-| `zap-dast.test.ts` | ~280 | 35+ | 50%+ |
-| `gitleaks-secrets.test.ts` | ~300 | 35+ | 55%+ |
-| `osv-deps.test.ts` | ~300 | 35+ | 55%+ |
-
-**Total**: ~2,090 lignes de tests, ~255 assertions
-
-## Méthodologie des Tests
-
-### Avant (Tests Superficiels)
-```typescript
-// NE TESTAIT RIEN
-it('should create adapter instance', () => {
-  const adapter = {};  // Objet vide!
-  expect(adapter).toBeDefined();
-});
-```
-
-### Après (Tests Réels)
-```typescript
-// TESTE LE VRAI CODE
-describe('validateConfig', () => {
-  it('should validate config with valid baseUrl', () => {
-    const result = PlaywrightApiAdapter.validateConfig({
-      baseUrl: 'https://api.example.com'
-    });
-    expect(result.valid).toBe(true);
-    expect(result.errors).toHaveLength(0);
-  });
-});
-```
-
-## Fonctionnalités Testées par Adapter
-
-### 1. PlaywrightApiAdapter
-- `validateConfig()` - 8 tests
-- `parseTestSpec()` - 10 tests  
-- `calculateSummary()` - 5 tests
-- `isRetryableError()` - 12 tests
-- `generateJUnit()` - 8 tests
-- `escapeXml()` - 8 tests
-
-### 2. PlaywrightUiAdapter
-- `validateConfig()` - 7 tests
-- `calculateSummary()` - 5 tests
-- `generateJUnit()` - 7 tests
-- `escapeXml()` - 4 tests
-- Accessibility score logic - 6 tests
-- Login selectors - 1 test
-
-### 3. K6PerfAdapter
-- `validateConfig()` - 8 tests
-- `generateK6Script()` - 9 tests
-- `parseTextMetrics()` - 6 tests
-- `parseTextThresholds()` - 4 tests
-- `generateJUnit()` - 5 tests
-- Performance budget logic - 4 tests
-
-### 4. SemgrepSastAdapter
-- `validateConfig()` - 4 tests
-- `mapSeverity()` - 6 tests
-- `calculateSummary()` - 4 tests
-- `checkThresholds()` - 5 tests
-- `generateJUnit()` - 5 tests
-- `parseSemgrepResults()` - 4 tests
-
-### 5. ZapDastAdapter
-- `validateConfig()` - 6 tests
-- `isValidUrl()` - 4 tests
-- `calculateSummary()` - 5 tests
-- `generateBudgetCheck()` - 5 tests
-- `generateJUnit()` - 5 tests
-- `buildZapArgs()` - 6 tests
-- Error codes - 1 test
-
-### 6. GitleaksSecretsAdapter
-- `validateConfig()` - 4 tests
-- `calculateSummary()` - 5 tests
-- `generateBudgetCheck()` - 5 tests
-- `generateJUnit()` - 5 tests
-- `generateTomlConfig()` - 4 tests
-- `parseGitleaksResults()` - 5 tests
-
-### 7. OsvDepsAdapter
-- `validateConfig()` - 3 tests
-- `findLockFiles()` - 4 tests
-- `mapSeverity()` - 5 tests
-- `calculateSummary()` - 3 tests
-- `generateBudgetCheck()` - 5 tests
-- `generateJUnit()` - 5 tests
-- `parseOsvResults()` - 4 tests
-
-## Stratégie de Mock
-
-Tous les tests mockent les dépendances externes:
-- `@playwright/test` - Browser launch mocké
-- `child_process.spawn` - Exécution outils mockée
-- `fs` - Opérations fichier mockées
-
-Cela permet de tester la **logique métier** sans:
-- Lancer de navigateur
-- Exécuter k6, semgrep, zap, gitleaks, osv-scanner
-- Créer/supprimer de fichiers
-
-## Prochaines Étapes
-
-1. **Exécuter les tests**: `cd core && pnpm test`
-2. **Vérifier la coverage**: `pnpm test:coverage`
-3. **Ajuster si besoin**: Corriger imports/types si erreurs
-
-## Estimation Coverage
-
-| Module | Avant | Après (Estimé) |
-|--------|-------|----------------|
-| adapters/ | 6.9% | 45-55% |
-| **Global Core** | ~40% | ~50-55% |
-
----
-
-**Note**: Ces tests nécessitent d'être exécutés pour confirmer le fonctionnement. L'utilisateur effectuera la validation finale avec `pnpm test`.

package/docs/adapters-security.md

@@ -1,485 +0,0 @@
-# QA360 Phase 4 - Adaptateurs Sécurité Réelle
-
-Guide d'installation et configuration des outils de sécurité intégrés : ZAP, Gitleaks, OSV et Semgrep.
-
-## 🛡️ Vue d'Ensemble Sécurité
-
-QA360 Phase 4 intègre 4 adaptateurs de sécurité réelle pour une couverture complète :
-
-- **SAST** (Static) : Semgrep - Analyse code source
-- **DAST** (Dynamic) : OWASP ZAP - Tests sécurité runtime  
-- **SCA** (Dependencies) : OSV Scanner - Vulnérabilités dépendances
-- **Secrets** : Gitleaks - Détection secrets hardcodés
-
-## 🔍 OWASP ZAP (DAST)
-
-### Installation
-
-#### Option 1: Docker (Recommandé)
-```bash
-# Pull image ZAP
-docker pull owasp/zap2docker-stable
-
-# Test installation
-docker run --rm owasp/zap2docker-stable zap-baseline.py --version
-```
-
-#### Option 2: Installation Locale
-```bash
-# macOS
-brew install zaproxy
-
-# Ubuntu/Debian
-sudo apt-get install zaproxy
-
-# Windows
-# Télécharger depuis https://www.zaproxy.org/download/
-```
-
-### Configuration QA360
-
-```yaml
-# pack.yml
-security:
-  dast:
-    max_high: 0
-    max_critical: 0
-    max_medium: 1
-    timeout_ms: 300000  # 5 minutes
-```
-
-### Utilisation
-
-```bash
-# Scan baseline automatique
-qa360 run --url https://example.com --gates dast
-
-# Avec exclusions
-qa360 run --url https://api.example.com \
-  --exclude-urls "*/logout,*/admin/*" \
-  --gates dast
-```
-
-### Configuration Avancée
-
-```yaml
-# zap-config.yaml
-contexts:
-  - name: "API Context"
-    urls: ["https://api.example.com/*"]
-    authentication:
-      method: "form"
-      loginUrl: "https://api.example.com/login"
-      usernameField: "email"
-      passwordField: "password"
-```
-
-## 🔐 Gitleaks (Secrets Detection)
-
-### Installation
-
-```bash
-# macOS
-brew install gitleaks
-
-# Linux
-curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/master/scripts/install.sh | sh
-
-# Windows
-# Télécharger depuis https://github.com/gitleaks/gitleaks/releases
-```
-
-### Configuration QA360
-
-```yaml
-# pack.yml
-security:
-  secrets:
-    max_findings: 0  # Zero tolerance
-```
-
-### Utilisation
-
-```bash
-# Scan répertoire courant
-qa360 run --gates secrets
-
-# Avec exclusions
-qa360 run --gates secrets \
-  --exclude-paths "node_modules/**,dist/**,.qa360/**"
-```
-
-### Configuration Custom
-
-```toml
-# .gitleaks.toml
-title = "QA360 Gitleaks Config"
-
-[extend]
-useDefault = true
-
-[allowlist]
-description = "QA360 allowlist"
-paths = [
-  ".qa360/**",
-  "node_modules/**",
-  "**/*.min.js"
-]
-regexes = [
-  "example",
-  "test.*key",
-  "dummy.*secret"
-]
-
-[[rules]]
-id = "jwt-token"
-description = "JWT Token"
-regex = '''eyJ[A-Za-z0-9_/+-]*\.eyJ[A-Za-z0-9_/+-]*\.[A-Za-z0-9_/+-]*'''
-keywords = ["jwt", "token"]
-```
-
-## 📦 OSV Scanner (Dependencies)
-
-### Installation
-
-```bash
-# Go install
-go install github.com/google/osv-scanner/cmd/osv-scanner@latest
-
-# Binaire direct
-curl -sSfL https://github.com/google/osv-scanner/releases/latest/download/osv-scanner_linux_amd64 -o osv-scanner
-chmod +x osv-scanner
-```
-
-### Configuration QA360
-
-```yaml
-# pack.yml
-security:
-  deps:
-    max_high: 0
-    max_critical: 0
-    max_medium: 2
-```
-
-### Utilisation
-
-```bash
-# Scan package-lock.json
-qa360 run --gates deps
-
-# Scan fichiers spécifiques
-qa360 run --gates deps \
-  --lock-files "package-lock.json,yarn.lock,pnpm-lock.yaml"
-```
-
-### Formats Supportés
-
-- **Node.js**: package-lock.json, yarn.lock, pnpm-lock.yaml
-- **Python**: Pipfile.lock, poetry.lock, requirements.txt
-- **Go**: go.sum, go.mod
-- **Rust**: Cargo.lock
-- **Ruby**: Gemfile.lock
-- **Java**: pom.xml, gradle.lockfile
-
-## 🔬 Semgrep (SAST)
-
-### Installation
-
-```bash
-# Python pip
-pip install semgrep
-
-# Homebrew
-brew install semgrep
-
-# Docker
-docker pull returntocorp/semgrep
-```
-
-### Configuration QA360
-
-```yaml
-# pack.yml  
-security:
-  sast:
-    max_high: 0
-    max_critical: 0
-    max_medium: 3
-```
-
-### Utilisation
-
-```bash
-# Scan avec règles par défaut
-qa360 run --gates sast
-
-# Règles spécifiques
-qa360 run --gates sast \
-  --rules "p/ci,p/security,p/owasp-top-10"
-
-# Chemins personnalisés
-qa360 run --gates sast \
-  --paths "src/,lib/,api/" \
-  --exclude-paths "test/,spec/"
-```
-
-### Règles Recommandées
-
-```yaml
-# Règles par langage
-javascript:
-  - "p/javascript"
-  - "p/react" 
-  - "p/nodejs"
-
-python:
-  - "p/python"
-  - "p/flask"
-  - "p/django"
-
-java:
-  - "p/java"
-  - "p/spring"
-
-go:
-  - "p/golang"
-  - "p/gosec"
-```
-
-## 🚀 Intégration CI/CD
-
-### GitHub Actions
-
-```yaml
-name: Security Scan
-on: [push, pull_request]
-
-jobs:
-  security:
-    runs-on: ubuntu-latest
-    steps:
-      - uses: actions/checkout@v3
-      
-      - name: Setup QA360
-        run: npm install -g qa360
-        
-      - name: Install Security Tools
-        run: |
-          # ZAP via Docker (déjà disponible)
-          # Gitleaks
-          curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/master/scripts/install.sh | sh
-          # OSV Scanner
-          go install github.com/google/osv-scanner/cmd/osv-scanner@latest
-          # Semgrep
-          pip install semgrep
-          
-      - name: Security Gates
-        run: |
-          qa360 run --url ${{ env.STAGING_URL }} \
-            --gates "sast,deps,secrets,dast" \
-            --mode strict \
-            --report-format json
-            
-      - name: Upload Security Report
-        uses: actions/upload-artifact@v3
-        with:
-          name: security-report
-          path: qa360-security-report.json
-```
-
-### GitLab CI
-
-```yaml
-security_scan:
-  stage: security
-  image: node:18
-  before_script:
-    - npm install -g qa360
-    - apt-get update && apt-get install -y python3-pip golang-go
-    - pip3 install semgrep
-    - go install github.com/google/osv-scanner/cmd/osv-scanner@latest
-    - curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/master/scripts/install.sh | sh
-  script:
-    - qa360 run --url $STAGING_URL --gates "sast,deps,secrets,dast"
-  artifacts:
-    reports:
-      junit: qa360-junit.xml
-    paths:
-      - qa360-security-report.json
-```
-
-## 🔧 Configuration Entreprise
-
-### Proxy/Firewall
-
-```bash
-# Configuration proxy pour outils
-export HTTP_PROXY=http://proxy.company.com:8080
-export HTTPS_PROXY=http://proxy.company.com:8080
-
-# ZAP avec proxy
-qa360 run --url https://internal-app.company.com \
-  --zap-proxy "http://proxy.company.com:8080" \
-  --gates dast
-```
-
-### Règles Custom Semgrep
-
-```yaml
-# custom-rules.yml
-rules:
-  - id: company-api-key
-    pattern: |
-      "COMPANY_API_KEY_$X"
-    message: Company API key detected
-    severity: ERROR
-    languages: [javascript, python, go]
-    
-  - id: internal-url
-    pattern: |
-      "https://internal.$DOMAIN.company.com"
-    message: Internal URL in code
-    severity: WARNING
-    languages: [javascript, python, go, java]
-```
-
-### Baseline ZAP Custom
-
-```xml
-<!-- zap-baseline-config.xml -->
-<configuration>
-  <contexts>
-    <context>
-      <name>Company App</name>
-      <urls>
-        <url>https://app.company.com/.*</url>
-      </urls>
-      <authentication>
-        <method>form</method>
-        <loginUrl>https://app.company.com/login</loginUrl>
-        <usernameField>email</usernameField>
-        <passwordField>password</passwordField>
-      </authentication>
-    </context>
-  </contexts>
-</configuration>
-```
-
-## 📊 Rapports & Métriques
-
-### Format Unifié
-
-```json
-{
-  "security": {
-    "sast": {
-      "tool": "semgrep",
-      "findings": 3,
-      "high": 0,
-      "medium": 2,
-      "low": 1,
-      "passed": true
-    },
-    "dast": {
-      "tool": "zap",
-      "alerts": 1,
-      "high": 0,
-      "medium": 1,
-      "passed": true
-    },
-    "deps": {
-      "tool": "osv-scanner", 
-      "vulnerabilities": 0,
-      "passed": true
-    },
-    "secrets": {
-      "tool": "gitleaks",
-      "findings": 0,
-      "passed": true
-    }
-  },
-  "trustScore": {
-    "security": 95,
-    "overall": 87
-  }
-}
-```
-
-### Dashboard Sécurité
-
-```bash
-# Génération dashboard sécurité
-qa360 security-dashboard \
-  --input "./reports/**/qa360-security-*.json" \
-  --output security-dashboard.html \
-  --trend-days 30
-```
-
-## ⚠️ Troubleshooting
-
-### Erreurs Communes
-
-#### ZAP Timeout
-```bash
-# Augmenter timeout
-qa360 run --url <url> --zap-timeout 600000  # 10 minutes
-```
-
-#### Gitleaks False Positives
-```toml
-# .gitleaks.toml - Ajouter à allowlist
-regexes = [
-  "test.*password.*123",
-  "example.*secret"
-]
-```
-
-#### OSV Scanner Offline
-```bash
-# Mode offline avec base locale
-osv-scanner --db-path ./osv-db scan ./
-```
-
-#### Semgrep Règles Manquantes
-```bash
-# Mise à jour règles
-semgrep --update
-semgrep --config=auto ./
-```
-
-### Performance
-
-#### Optimisation ZAP
-- Utiliser `--quick` pour scans rapides
-- Limiter scope avec `--include-urls`
-- Exclure ressources statiques
-
-#### Optimisation Semgrep
-- Utiliser règles spécifiques au langage
-- Exclure dossiers volumineux (node_modules)
-- Parallélisation avec `--jobs`
-
-## 🎯 Bonnes Pratiques
-
-### 1. Intégration Progressive
-- Commencer mode `soft` 
-- Durcir budgets progressivement
-- Former équipes aux outils
-
-### 2. Maintenance Règles
-- Révision trimestrielle
-- Mise à jour bases vulnérabilités
-- Ajustement false positives
-
-### 3. Monitoring Continu
-- Métriques sécurité dans CI/CD
-- Alertes sur nouvelles vulnérabilités
-- Rapports réguliers RSSI
-
-### 4. Culture Sécurité
-- Formation développeurs
-- Revues code sécurisé
-- Partage bonnes pratiques
-
-Cette intégration sécurité réelle transforme QA360 en plateforme DevSecOps complète avec couverture 360° des risques.