Что это?
Clevis — это self-hosted дашборд, превращающий GitHub API в аналитику безопасности для ваших репозиториев и организаций — он считает оценку безопасности по шести автоматическим проверкам (принудительная MFA, защита веток, сканирование секретов, оповещения Dependabot, оповещения сканирования кода, защита дефолтной ветки от force-push) и позволяет администраторам запускать привилегированные задачи обслуживания вроде очистки кэшей GitHub Actions.
Clevis — это self-hosted дашборд, превращающий GitHub API в аналитику безопасности для ваших репозиториев и организаций — он считает оценку безопасности по шести автоматическим проверкам (принудительная MFA, защита веток, сканирование секретов, оповещения Dependabot, оповещения сканирования кода, защита дефолтной ветки от force-push) и позволяет администраторам запускать привилегированные задачи обслуживания вроде очистки кэшей GitHub Actions.Это одно приложение или несколько сервисов?Он состоит из трёх независимо развёртываемых сервисов с общей библиотекой проверок: REST-бэкенд на FastAPI (аутентификация, аналитика, RBAC, постановка задач в очередь), Python-воркер, опрашивающий очередь задач на Postgres, и UI дашборда на Next.js/React.
Он состоит из трёх независимо развёртываемых сервисов с общей библиотекой проверок: REST-бэкенд на FastAPI (аутентификация, аналитика, RBAC, постановка задач в очередь), Python-воркер, опрашивающий очередь задач на Postgres, и UI дашборда на Next.js/React.Как это запустить?Запустите с помощью Docker + Docker Compose, затем откройте интерфейс: первый визит ведёт на /setup для создания первого администратора, после чего подключите организацию GitHub через Settings → Connected GitHub accounts → Install GitHub App.
Запустите с помощью Docker + Docker Compose, затем откройте интерфейс: первый визит ведёт на /setup для создания первого администратора, после чего подключите организацию GitHub через Settings → Connected GitHub accounts → Install GitHub App.Нужно GitHub App или можно просто токен?Установка GitHub App — предпочтительный путь, так как она позволяет Clevis выпускать краткоживущие токены установки; классический персональный токен доступа со scope read:org работает лишь как ручной резерв и открывает меньше функций.
Установка GitHub App — предпочтительный путь, так как она позволяет Clevis выпускать краткоживущие токены установки; классический персональный токен доступа со scope read:org работает лишь как ручной резерв и открывает меньше функций.Что будет, если подключиться только персональным токеном доступа?Классический PAT питает только эндпоинт аналитики страницы Overview — Repositories, Activity, Releases, Automation и Collaborators всё ещё требуют подключения GitHub App (или принятого приглашения в организацию для не-админов) и до того показывают ошибку «ещё не подключено к Clevis».
Классический PAT питает только эндпоинт аналитики страницы Overview — Repositories, Activity, Releases, Automation и Collaborators всё ещё требуют подключения GitHub App (или принятого приглашения в организацию для не-админов) и до того показывают ошибку «ещё не подключено к Clevis».Как хранятся токены GitHub?Сохранённые учётные данные GitHub и полезные нагрузки задач шифруются Fernet в покое и расшифровываются воркером только когда он реально обрабатывает задачу.
Сохранённые учётные данные GitHub и полезные нагрузки задач шифруются Fernet в покое и расшифровываются воркером только когда он реально обрабатывает задачу.Какие шесть проверок безопасности он выполняет?Принудительная MFA, защита веток, сканирование секретов, оповещения Dependabot, оповещения сканирования кода и защита дефолтной ветки от force-push — каждая отражается как пройдена, провалена, ошибка или неприменима, с рекомендациями по исправлению.
Принудительная MFA, защита веток, сканирование секретов, оповещения Dependabot, оповещения сканирования кода и защита дефолтной ветки от force-push — каждая отражается как пройдена, провалена, ошибка или неприменима, с рекомендациями по исправлению.Ведёт ли он запись действий администраторов?Да, каждое привилегированное действие (например, запуск очистки кэша Actions) записывается в неизменяемый журнал аудита, а задачи очистки кэша поддерживают режим dry-run.
Да, каждое привилегированное действие (например, запуск очистки кэша Actions) записывается в неизменяемый журнал аудита, а задачи очистки кэша поддерживают режим dry-run.Можно ли масштабировать фонового воркера?Да — он забирает задачи из очереди по паттерну Postgres SELECT ... FOR UPDATE SKIP LOCKED, так что можно безопасно запускать несколько реплик воркера.
Да — он забирает задачи из очереди по паттерну Postgres SELECT ... FOR UPDATE SKIP LOCKED, так что можно безопасно запускать несколько реплик воркера.Где найти полные детали настройки и укрепления для продакшена?docs/self-hosting.md покрывает полный справочник переменных окружения, регистрацию GitHub App и заметки по укреплению для продакшена; AGENTS.md описывает локальный запуск без Docker.
docs/self-hosting.md покрывает полный справочник переменных окружения, регистрацию GitHub App и заметки по укреплению для продакшена; AGENTS.md описывает локальный запуск без Docker.What are similar projects?searchmirror, bisibility, flowsint, NodePilot, casdoor, labtether, claude-relay-service, infisical
searchmirror, bisibility, flowsint, NodePilot, casdoor, labtether, claude-relay-service, infisicalWhich topics is it in?job-queue, security-audit, audit-log, jwt, rbac, fastapi, oauth, github, authentication, nextjs, encryption, postgresql
job-queue, security-audit, audit-log, jwt, rbac, fastapi, oauth, github, authentication, nextjs, encryption, postgresql