---
name: security-go-live
description: Единый go-live security-gate Лидерры перед публикацией в интернете — один воспроизводимый прогон всех проверок безопасности и вердикт «можно/нельзя в прод». Оркеструет ZAP (#68), Nuclei (#69), Ward (#70), pdn-152fz-audit (#71), threat-model (#72) + Semgrep #25 / Trivy #26 / gitleaks #8 / Trail of Bits #39. Используй при «прогон безопасности перед релизом», «можно ли выкатывать», «go-live security check», «финальная проверка безопасности». НЕ для полного 14-фазного аудита портала (audit-portal), отдельной проверки ПДн (pdn-152fz-audit #71) или угроз (threat-model #72).
---

# Security Go-Live — единый gate безопасности перед публикацией

Проектный скил раздела A8 карты «Информационная безопасность». Запускает
**один воспроизводимый прогон всех security-проверок** и выдаёт вердикт
**GO / NO-GO** перед тем, как портал Лидерры становится доступным из интернета.

## Когда использовать

- «Прогони все проверки безопасности перед релизом»
- «Можно ли выкатывать портал в прод по безопасности?»
- «Go-live security check» / «финальная проверка безопасности»
- «Готов ли портал к публикации со стороны ИБ?»

## Что это и чем НЕ является

**Это:** операционный gate — воспроизводимый чек-лист, который прогоняется
каждый раз перед go-live и выдаёт конкретный вердикт с перечнем блокеров.

**Это НЕ:**

- ≠ `audit-portal` — тот 14-фазный сквозной аудит качества всего портала
  (статанализ, тесты, схема БД, UI-smoke, a11y, coverage, bundle и пр.);
  security-go-live — security-only срез, занимает часть дня, не несколько дней.
- ≠ `pdn-152fz-audit` #71 — тот глубокий аудит персональных данных и 152-ФЗ;
  security-go-live вызывает его как один шаг, не заменяет.
- ≠ `threat-model` #72 — тот строит модель угроз как документ (STRIDE, карта
  точек входа); security-go-live проверяет, что выявленные угрозы ЗАКРЫТЫ.

## Порядок прогона

Полная процедура — `references/gate.md`. Кратко:

1. **Статика** — gitleaks, Semgrep, Ward (config/env/deps/code), Trail of Bits.
2. **ПДн / 152-ФЗ** — вызвать `pdn-152fz-audit` #71.
3. **Угрозы** — вызвать `threat-model` #72, убедиться что топ-угрозы закрыты.
4. **Динамика (локальная цель по умолчанию)** — Nuclei (`bin/nuclei.exe`),
   затем ZAP (spider + active scan). Боевой сервер — только по явной команде.
5. **Вердикт** — GO / NO-GO с явным списком блокеров.

## Выход

```
=== SECURITY GO-LIVE REPORT ===
Дата: YYYY-MM-DD
Версия схемы: <schema-version>
Commit: <HEAD>

[ШАГИ 1-4 — результаты по каждому инструменту]

=== ВЕРДИКТ: GO ✅ / NO-GO ❌ ===
Блокеры (critical/high): <список или "нет">
Предупреждения (medium): <список или "нет">
=== END ===
```

## Связано

- `references/gate.md` — подробная процедура прогона + формат вердикта.
- `pdn-152fz-audit` #71, `threat-model` #72 — вызываются как подшаги.
- ZAP #68 (OWASP, DAST), Nuclei #69 (CLI `bin/nuclei.exe`), Ward #70 (Go CLI).
- gitleaks #8, Semgrep #25, Trivy #26, Trail of Bits #39 — статика.
- ADR-013 (infosec-tooling A8), `docs/security/nuclei-setup.md`,
  `docs/security/infosec-vet.md`.
