Kontrol yang ada belum menjadikan YAZA production-ready.

Kontrol yang sudah ada dengan cakupan terbatas

• HTTP input dan resource berbatas. Parser, header/body, buffer, koneksi, dan deadline memiliki batas yang diuji pada jalur macOS yang tercatat.
• Validasi request dan serialisasi bertipe. Beberapa tipe dan batas field ditolak sebelum handler; cakupan validator dan codec belum menyeluruh.
• Auth API awal. Shared Bearer token dan kebijakan route JWT HS256 tersedia pada slice API, dengan konfigurasi dan pembatasan tertentu.
• PostgreSQL parameterized query. Nilai dipisahkan dari SQL pada jalur parameterized yang didukung; ini tidak berarti seluruh database surface memiliki typed mapping penuh.
• Pengujian native tertentu. ASan/UBSan dan fuzz/mutation harness tersedia untuk parser terpilih. Cakupan ini tidak membuktikan keamanan seluruh compiler/runtime.
• Security audit heuristik. CLI dapat menghasilkan JSON atau SARIF untuk pola terbatas; ia tidak melakukan taint analysis, dependency advisories, atau verifikasi perilaku.

Testing / development Bukti saat ini berfokus pada macOS Apple Silicon. Linux end-to-end, remote TLS interoperability, dan hosted CI masih memiliki gap.

Gap keamanan utama yang masih terbuka

• Runtime memuat kode native C; belum ada bukti memory-safe compiler/runtime atau pemeriksaan ownership di source YAZA.
• API belum menyediakan TLS inbound bawaan yang terverifikasi. Handler berjalan pada bounded worker pool, tetapi bahasa belum menyediakan async/await.
• Role/ownership authorization, identity untuk multi-tenant, dan kebijakan otorisasi objek belum lengkap.
• Compiler dan test runner tidak memberi OS sandbox untuk menjalankan source yang tidak tepercaya.
• Beberapa kontrol TLS outbound, platform Linux, dan target paket belum melalui integrasi independen dan lintas-platform yang memadai.
• Security audit tidak menginventaris dependency advisory, melakukan analisis aliran data, atau menjamin temuan heuristik lengkap.

Untuk daftar kendali dan status terperinci, gunakan Appendix H dan pemetaan OWASP di source proyek. Proposal atau RFC menggambarkan target desain; proposal bukan bukti bahwa implementasi sudah tersedia.

Header keamanan website

Website dokumentasi ini adalah aplikasi statis terpisah dari YAZA runtime. File public/_headers memasang Content Security Policy same-origin, menonaktifkan object/embed, membatasi framing, dan memberi header browser dasar. Periksa ulang kebijakan tersebut jika menambahkan analitik, font eksternal, form, atau skrip pihak ketiga.