Словник

вбудоване очікування готовності (Playwright)

не вживатиавто-очікуванняавточеканняавтоперечікування

LLM у циклі з інструментами

цикл «план → дія → спостереження → корекція» з умовами зупинки

функція, що згортає набір рядків в одне значення

інтерфейс у застосунку або на сервері застосунку, який «allow certain users to undertake privileged activities on the site» (WSTG-CONF-05)

у Screenplay і сценарному стилі — той, хто виконує дії над системою

альтернативне імʼя того самого обʼєкта: типу, шляху імпорту або моделі

не вживатипсевдонім типупсевдонім шляхупсевдонім моделі

оцінка, що зачепить зміна (для регресії)

процедура від симптому в метриках до названого ресурсу й далі до коду

знайдене відхилення, яке ще не класифіковане як дефект (ISTQB)

явне зазначення типу після імені

шари контролів, що підіймають вартість зловживання автоматизацією, не зачіпаючи легітимних користувачів і ботів (OWASP)

пошук рядків без пари через зовнішнє зʼєднання й IS NULL

файл, збережений із прогону, бо машина прогону не переживає джобу

не вживатиартифакт

перевірка очікуваного результату в тесті

не вживатиасершнассертасершенбібліотека тверджень

алгоритм на парі ключів: публічний може знати будь-хто, приватний контролює лише власник пари (OWASP)

спроба дістати неавторизований доступ до компонента, системи, ресурсів чи інформації або порушити цілісність системи (ISTQB)

атака, у якій посередник змушує сторони узгодити слабшу версію або слабший набір шифрів; TLS 1.3 має вбудований маркер у Random сервера (RFC 8446; RFC 6176)

атака, у якій наявне значення підпису переграється під інший алгоритм так, ніби підписувач підписав те, чого не підписував (RFC 7515 §10.7)

особа або процес, що намагається дістати доступ до даних, функцій чи закритих зон системи без авторизації (ISTQB)

властивість тесту перевіряти рівно одну умову

модель, у якій кожна інструкція бачить знімок даних, тож читання не блокує запис

вимога подати більш ніж один тип доказу для автентифікації; кілька екземплярів одного фактора багатофакторністю не є (OWASP)

набір метрик для порівняння поточних і раніше досягнутих вимірів продуктивності

інтервал значень, у який гістограма зараховує вимір

зважене середнє балів лабораторних метрик за розподілом HTTP Archive

інструмент, що збирає модулі й ресурси в бандли для браузера (Vite, webpack)

безпеку не тестують і не латають у вже збудований застосунок — її досягають дизайном і верифікацією протягом усього процесу побудови (ISTQB CT-SEC)

сигнал спостережуваності, що показує витрати ресурсів із роздільністю до рядка коду

функція завантаження, побудована так, щоб застосунок сам відбивав підроблені й шкідливі файли, тримаючи в безпеці себе й користувачів (OWASP)

ціле в діапазоні точного представлення IEEE 754 binary64

HTTP-метод без побічних ефектів (GET)

сінк, який трактує значення як текст і ніколи його не виконує (OWASP)

властивість HTTP: сервер не тримає стан між запитами, кожен запит самодостатній

не вживатистейтлес

упорядкований список роботи продукту або команди

не вживатибэклог

пауза перед повторною спробою, що зростає з кожною невдачею

не вживатиекспоненційний відступнарощування паузи

результат складання коду в артефакт, готовий до запуску чи деплою; у CI — один прогін збирання

не вживатиперескладання

перелік поширених, очікуваних або скомпрометованих значень, з яким верифікатор звіряє цілий новий пароль, а не підрядки (NIST SP 800-63B)

механізм, що не дає двом транзакціям одночасно чіпати те саме

не вживатидедлок

механізм помʼякшення брутфорсу через закриття акаунта після N невдалих спроб; компроміс між захистом акаунта й відмовою в доступі своєму ж користувачеві (WSTG-ATHN-03)

диспетчер підсистем браузера між UI, рендерингом і мережею

не вживатишар браузераоболонка браузера

набір віддалених браузерів, доступних тесту по мережі: власний Selenium Grid або хмарний сервіс

не вживатиСітка Selenium

у CSS — ширина, на якій розкладка перемикається на іншу; у дебагері — місце, де виконання спиняється

перебір заздалегідь заданих значень: атакувальник шле запити з цими значеннями й аналізує відповідь сервера (OWASP)

дозволена частота невиконання цілі рівня сервісу за період

набір обмежень на метрики, що впливають на продуктивність, із трьома діями при перевищенні

метадані ресурсу, придатні для передумови умовного запиту: дата зміни або entity tag (Last-Modified, ETag)

інструмент, що перевіряє дані проти схеми (ajv, zod)

перевірка, чи система відповідає потребам користувачів і стейкхолдерів в операційному середовищі (ISTQB)

перевірка, що в обробку потрапляють лише коректно сформовані дані, виконувана якомога раніше — одразу на прийомі від зовнішньої сторони (OWASP)

перевірка вмісту відповіді в перф-сценарії, без якої тест міряє швидкість помилки

третій варіант захисту від SQL-інʼєкції — там, де привʼязати змінну неможливо: імена таблиць і стовпців, напрям сортування (OWASP)

клас еквівалентності зі значеннями, які система має обробити

шлях або засіб, яким атакувальник дістає доступ до системи зі зловмисною метою (ISTQB)

мовна модель із дуже великою кількістю параметрів; неформально — будь-яка модель на базі Transformer

перевірка, чи система відповідає заданим вимогам (ISTQB)

доступ до ресурсів, наданих привілейованішим акаунтам, — напр. здобуття адміністративних прав у застосунку (WSTG-ATHZ-03)

режим, у якому клієнт і сервер автентифікують один одного (OWASP TLS)

команда читання рядків із таблиць

хвороба RBAC: система визначає забагато ролей (OWASP)

автоматичне визначення типу компілятором

група активностей, привʼязана до характеристик якості (ISTQB)

налаштування того, кому видно кандидата та його кар'єрні наміри

формальний опис стану інкремента, коли він відповідає вимогам якості (Scrum)

критерії входу, які історія має виконати, щоб узятися в роботу (ISTQB; у Scrum Guide відсутній)

звернення клієнта до ендпоінта API

не вживатидзвінок в APIдзвінки в APIдернути API

вимірювана вимога до часу, ресурсів або ємності з умовами виміру

кинуте значення, що перериває звичайний потік виконання

дефекти на рівні обробки помилок розкривають дані про ціль і дають визначити точки інʼєкції в її функціях (OWASP Error Handling)

перебір усіх входів і комбінацій; за принципом ISTQB неможливе

порівняння прогонів між собою заради відповіді «чи стало гірше, ніж було»

XSS, у якому ввід негайно повертається у відповіді (помилка, результат пошуку) без безпечного рендерингу і без збереження на сервері (OWASP)

визначення конкретної СУБД за тим, коли запит повертає True, а коли False (OWASP)

версія проєкту, розміщена в іншому місці (не обовʼязково на іншій машині)

не вживатиремоут

модель, у якій нові ітерації стартують незалежно від завершення попередніх

перенаправлення запиту на URL із недовіреного вводу, через що фішингове посилання несе імʼя довіреного сервера (OWASP)

зовнішній прояв: система робить не те, що має, або не робить того, що має (ISTQB)

альтернативний спосіб автентифікації, який не має бути слабшим за звичайний (OWASP)

модель, де початковий звіт приватний, а повні деталі публікуються після виходу патча, іноді із затримкою на встановлення (OWASP)

порівняння знімка інтерфейсу з раніше затвердженим еталоном

час від старту айтема до поточної дати (Kanban)

час від заведення дефекту до його закриття або до поточного моменту

не вживатичас життя дефекту

проміжок часу, у межах якого невдалі спроби рахуються до порога блокування (OWASP)

функція, що рахує по повʼязаних рядках, не згортаючи їх

заміна недоступної частини системи стабом заради ізоляції системи під тестом

симуляція активностей, що виконуються згідно з операційним профілем користувача

загроза безпеці, що походить зсередини організації, часто від авторизованого користувача системи (ISTQB)

процес або потік, що виконує частину сюїти паралельно

не вживативокер

конфігурований автоматичний процес із однієї чи більше джоб (GitHub Actions)

не вживатиробочий процес

етапи відсіву кандидатів у наймі

друга, незалежна від серйозності шкала оцінки знахідки сканера: менш надійна техніка виявлення (наприклад сліпа SQL-інʼєкція) знижує саме її (PortSwigger)

передача залежностей ззовні замість створення всередині

не вживативпорскування залежностей

залежність із «відомою вразливістю» — публічно повідомленим дефектом пакета, який без виправлення може дозволити зловмиснику непередбачені дії (pip-audit, Security Model)

слабке місце в компоненті, системі або в її використанні, яке можна задіяти й дістати шкоду (ISTQB)

дефект у тому, як застосунок реалізує задуманий процес: код робить те, що йому сказали, але сказане не збігається з потребою бізнесу (OWASP Business Logic Security)

падіння реакції на сповіщення через їхню кількість і шум

аномалія конкурентного запису

збережений запит, який поводиться як таблиця

впевнене але хибне твердження LLM

механіка, якою знахідка безпеки стає червоним кроком або заблокованим мерджем: набір тестів як required check і «If an authorization test fails, the Pull Request cannot be merged» (OWASP)

блокуюча умова просування: без неї не пройти стадію пайплайна й не влити зміну в захищену гілку

не вживативорота якості

інструмент, що створює навантаження для системи під тестом

симуляція визначеного набору активностей на заданому навантаженні, поданих системі під тестом

параметр типу, що зберігає звʼязок входу й виходу

не вживатидженерик

форма співпраці, доступна лише резидентам Дія.City

легкий рухомий вказівник на коміт (файл із 40-символьною SHA-1)

робота в паралельних гілках

не вживатибранчинг

принцип: кілька незалежних шарів контролю, щоб пробій одного не давав доступу

не вживатизахист углибзахист у глибинушар глибокого захисту

канонічний англомовний словник термінів тестування

модель, у якій документи колекції не мусять мати однакові поля

баг від недетермінованого порядку подій

доступ до ресурсів, наданих акаунту з такою самою конфігурацією прав, — напр. чужа інформація в онлайн-банку (WSTG-ATHZ-03)

зникнення співрозмовника без відповіді

перевірки на межах діапазонів

не вживатикрайові данікрайові значеннякрайові датимежові значеннямежові кейсимежові перевірки

орієнтований граф компонентів, що показує відношення залежності (OWASP Dependency Graph SBOM)

людина, яку використовують для переказу здобутих злочинно коштів

зведення рядків з однаковими значеннями в один груповий рядок

коротке значення фіксованої довжини, отримане хеш-функцією з входу змінної довжини (MDN SubtleCrypto.digest)

наступний за напрямом руху даних сервіс або крок обробки

не вживатинижче за течією

дані, що передаються; захист для них — інший набір алгоритмів і транспортний рівень (OWASP)

дані, що зберігаються; захист для них вибирається окремим набором алгоритмів (OWASP Key Management)

пошук, аналіз і усунення причин відмови; окрема від тестування активність (ISTQB)

падіння точності й повноти пригадування в міру заповнення контекстного вікна

сценарій, що описує намір; «як саме» живе у визначенні кроку

доставка збірки в середовище

не вживативикат

облікові дані, що постачаються разом із системою й лишаються незміненими: середовище перевіряють на те, що воно «not susceptible to known vulnerabilities due to unmaintained software or default settings and credentials» (WSTG-CONF-01)

форма інʼєкції промпту, що змушує модель знехтувати власними політиками безпеки

набір кроків, що виконуються на тому самому ранері

пара «імʼя — значення» в політиці, кожна з яких керує однією конкретною поведінкою (W3C CSP3)

union, у якому спільне поле-дискримінант визначає, який саме варіант у значенні

не вживатирозмічені union

практика працювати на спільних стендах лише вибірками

реалізація мови в конкретній СУБД із розширеннями понад стандарт

подія, у якій безпеку системи атакують, тобто реалізація загрози (RFC 4949)

найдовша неподільна одиниця роботи, під яку підлаштовується прогін (наша назва, dec-0210)

задача головного потоку тривалістю понад 50 мс

не вживатидовгий таскдовге завдання

правила того, які дії агент виконує без запиту

дозволена різниця між еталоном і фактом, за якої порівняння ще вважається успішним

не вживатитолерувати

набір аспектів якості сторінки, які враховує ранжування Google

одночасне вивчення й тестування без скриптів

ступінь відповідності стенда продакшену; продуктивність є нелінійною функцією середовища

окрема програма поза процесом браузера, що приймає команди wire-протоколом і виконує їх у браузері

втрата агентом початкової задачі

розходження між обіцяним контрактом і фактичною поведінкою

автоматизована оцінка якості LLM-виходу

загальне емпіричне правило інтеракційного дизайну, не конкретний гайдлайн (Nielsen)

не вживатиправило Нільсена

те, що техніка вимагає зачепити для 100 % покриття

масив чисел із рухомою комою, що представляє текст так, що близькість чисел означає близькість змісту

URL-адреса ресурсу/операції API

не вживатиендпойнт

енергія, яку споживають навчання й робота LLM; за CT-GenAI §3.3 на неї впливають складність задачі та задіяні обчислювальні ресурси

не вживативуглецевий слід

нульова точка відліку часу: 1 січня 1970 року UTC

доступ до більшого обсягу ресурсів чи функцій, ніж користувачеві належить, який застосунок мав був заблокувати (WSTG-ATHZ-03)

не вживатипідвищення привілеїв

збережений знімок, з яким порівнюються наступні прогони

не вживатизолотий скріншот

тестувальник безпеки, який дотримується кодексу етики своєї організації (ISTQB)

приріст довготривалої памʼяті від пригадування замість перечитування

вибір наступного токена завжди найімовірнішим, без семплінгу

не вживатижадібний вибір

сценарії, що є одночасно описом поведінки й виконуваним тестом

чотири стадії скрипта — ініціалізація, підготовка, код віртуального користувача, прибирання

послідовність HTTP-запитів і відповідей, повʼязаних з одним користувачем, від створення ідентифікатора до завершення (OWASP)

фіксована пауза на N мс (антипатерн)

не вживатихардкод-паузахардкодна пауза

процесно-орієнтований, превентивний підхід; відповідальність усіх на проєкті (ISTQB)

конфігурація, за якої застосунок відмовляє в доступі, якщо жодне правило не збіглося (OWASP)

частина життєвого циклу сесії: ручний вихід в UI, таймаут за бездіяльністю і належна інвалідація серверного стану (WSTG-SESS-06)

метадані HTTP-запиту/відповіді

заголовки відповіді, які вмикають браузерні механізми захисту від XSS, клікджекінгу й розкриття інформації (OWASP)

потенційна можливість порушення безпеки: сутність, обставина, дія чи подія, здатна завдати шкоди (RFC 4949)

одиниця роботи з черги задач подієвого циклу (setTimeout, події DOM, XHR); мікрозадача формально теж є задачею

проміжний шар, що додає крок виклику, не даючи нової користі

не вживатинепрямування

прискорення обмежене непаралелізованою часткою роботи

коли міра стає ціллю, вона перестає бути хорошою мірою

не вживатиефект ҐудгартаГудгарт

модель, у якій наступна ітерація віртуального користувача починається лише після завершення попередньої

рівень ризику, що лишився після мітигації

функція, що памʼятає свою область визначення

агрегована статистика зарплат за самозвітами респондентів

оголошення, що ресурс застарів або застаріє

не вживатидепрекація

формальне переведення версії протоколу в статус Historic із забороною її узгоджувати (RFC 8996; RFC 7568; RFC 6176)

мережевий час проходження даних між точками (міряють як RTT)

правило, що визначає, чи можна гілку видаляти, force push-ити й що має пройти

не вживатибранч-протекшн

вразливість, успішна експлуатація якої «allows an adversary to claim and take control of the victim's subdomain» (WSTG-CONF-10)

атака, у якій атакувальник повністю видає себе за жертву, здобувши ідентифікатор її сесії (OWASP)

іменований блок коду в базі, який викликають командою CALL

файл із кукі та сховищем автентифікованого браузера, який тести завантажують замість логіну

XSS, у якому ввід осідає на сервері (база, форум, лог відвідувань, поле коментаря) і потім віддається жертві без безпечного рендерингу (OWASP)

форма зберігання, стійка до офлайн-атак: сіль плюс придатна схема повільного хешування (NIST SP 800-63B; OWASP)

рядки з однаковим значенням ключа сортування, порядок між якими СУБД не гарантує; при першій згадці — з оригіналом (ties)

не вживатирядки-нічиї

стан, коли атакувальник здатен змусити систему визнати невалідного користувача легітимним (A07:2025)

поламки чи компрометації процесу збирання, дистрибуції або оновлення ПЗ (A03:2025)

відсутність логування, моніторингу й сповіщень, без яких атаку не виявити й не відреагувати (A09:2025)

код та інфраструктура, які не захищають від трактування недовірених коду чи даних як довірених і валідних (A08:2025)

уточнення типу за перевірками (TS)

у Screenplay — тонка обгортка навколо інтеграційної бібліотеки

стартове значення генератора псевдовипадкових чисел

збій виконання політики, за якою користувач не може діяти поза межами наданих йому дозволів (A01:2025)

завантаження файлу із захищеного контексту по незахищеному зʼєднанню (MDN)

HTTPS-сторінка тягне HTTP-ресурси

техніки підготовки персональних даних до запису, коли ідентичність особи не потрібна або ризик завеликий: видалення, перемішування (scrambling) чи псевдонімізація прямих і непрямих ідентифікаторів (OWASP Logging)

незмінний стан даних на момент часу; у Git — стан усіх файлів проєкту на момент коміту (не діфи)

посилання на PK іншої таблиці

раннє залучення тестування в SDLC

ступінь взаємозалежності модулів: що вища, то більше ламається від однієї зміни

операція, що поєднує рядки двох таблиць за умовою

HTTP-метод, безпечний до повтору

повтор операції не змінює результат

порядок накладання інструкцій від політик організації до промпта задачі

набір незалежних рівнів таймауту ранера (тест, асерт, хук, дія, навігація, глобальний)

незалежність тесту від інших і зовн. стану

вимога, щоб у відповіді на широкий читальний запит не було жодного запису чужого тенанта: «Even a single leaked record identifier constitutes a critical failure» (OWASP)

відокремлення даних прогону від чужих

сценарій, що описує кроки інтерфейсу замість наміру

окрема структура, що пришвидшує пошук рядків

кількісна міра конкретного аспекту наданого рівня сервісу

вбудований дебагер Node.js на порту 9229

найформальніший тип рев'ю; автор не може бути ні review leader, ні scribe (ISTQB)

функція, яку модель може викликати

не вживатитул-виклик

інструмент, що поєднує три ролі — генератор навантаження, консоль керування й засіб моніторингу

інструменти, що автоматизують оцінювання захисних механізмів і виявляють відомі типи вразливостей (ISTQB CT-SEC)

не вживатинизько висячі плоди

додавання лічильників у код для збору покриття

додавання метрик у код сервісу, щоб його поведінка була видимою ззовні

тест взаємодії кількох частин; означення різняться між джерелами (dec-0146)

проєктування й розробка, що уможливлює легку локалізацію (W3C)

запит схеми в самої служби в рантаймі

захист інформації та інформаційних систем від неавторизованого доступу, використання, розкриття, порушення роботи, зміни чи знищення, щоб забезпечити конфіденційність, цілісність і доступність (FIPS 199)

дефект, що виникає, коли застосунок надсилає недовірені дані інтерпретаторові (OWASP)

дефект, що дозволяє недовіреному вводу дійти до інтерпретатора й виконатися як команда (A05:2025)

не вживатиупорснутий

атака, у якій ввід користувача передається як аргумент команди, що виконується; кожна командна інʼєкція є водночас інʼєкцією аргументів (OWASP)

атака, якій запобігає санітизація даних події перед записом — CR, LF і символів-розділювачів (OWASP Logging; машинний ід — CWE-117 за A09)

атака, у якій укладений у дані текст змінює поведінку LLM-застосунку

не вживатиупровадження промптуупровадження в промптнепряме упровадженняінʼєкція в промптпромпт-інʼєкція

метод масиву з колбеком на кожен елемент

повільна розкатка на малу підмножину користувачів як раннє попередження

не вживатиканарейковий

виведення нестабільного тесту з критичного шляху із заведенням багу

JSON-відповідність між згенерованим і вихідним кодом

відмова, що поширюється системою, бо навантаження впалої частини лягає на решту

власний заголовок, який клієнт додає до запитів, що потребують CSRF-захисту; токен при цьому не потрібен, а захід тримається на CORS-preflight (OWASP)

група, у яку тріаж зводить схожі падіння прогону за правилом

не вживатикорзина

віддавання дешевших або гірших відповідей замість відмови, коли навантаження перевищило ємність

правила й практики поводження з криптографічним ключем усередині застосунку: життєвий цикл (генерація, розподіл, знищення), сховище, ротація, підзвітність (OWASP)

моніторинг і керування продуктивністю та доступністю застосунку (термін не канонічний — див. сторінку)

реактивний патерн: кеш наповнюють після промаху на читанні

проміжне зберігання відповідей за правилами сервера

повторне використання вже обробленого префікса промпта задля ціни й латентності

дані збігаються не миттєво, а згодом

підмножина даних, які обʼєкт тестування має обробляти однаково

розбиття входів на рівноцінні групи

продуктивність з боку браузера: коли користувач бачить вміст і може з ним взаємодіяти

варіант CSRF, у якому запит формує власний JavaScript застосунку; обходить і токени, і SameSite-кукі (OWASP)

випадок, коли недовірені дані оновлюють DOM через небезпечний JS-виклик — небезпечний той, яким можна внести в DOM валідний JavaScript (OWASP)

атака, у якій користувача обманом змушують взаємодіяти з цільовим сайтом не так, як він намірявся (MDN)

унікальне значення від клієнта, за яким сервер впізнає повтор запиту

ключ, яким шифруються самі дані (OWASP)

ключ, яким шифрують інші ключі; зберігається окремо від DEK і не слабший за нього (OWASP)

криптографічна контрольна сума, що підтверджує незмінність даних і те, що її порахував очікуваний субʼєкт (OWASP)

16-бітний елемент рядка в кодуванні UTF-16

перетворення недовіреного вводу в безпечну форму, у якій він показується користувачеві як дані й не виконується як код у браузері (OWASP)

функція, передана для виклику пізніше

не вживатифункція-обробник

Map або Set: ключ (Map) чи саме значення (Set) унікальні за SameValueZero, а ітерація йде в порядку вставки

різновид інʼєкції, коли програма будує системну команду із зовні впливаного вводу й не нейтралізує спецелементи, здатні змінити задуману команду (OWASP)

покриття t-way комбінацій параметрів; попарне — випадок t=2

зафіксована одиниця змін

не вживатикомміт

page object на частину сторінки (модалка, віджет, список)

не вживатипанель-об'єкт

обгортка повідомлення з фіксованою структурою (SOAP, GraphQL)

кількість одночасних паралельних потоків виконання або користувачів під навантаженням

API виводу для дебагу з рівнями логування

запускний екземпляр образу в слабко ізольованому середовищі

ізольований профіль усередині запущеного браузера, у якому живуть свої кукі й сховище

частина сторінки (тіло HTML, значення атрибута, вбудований JS, CSS, URL), яку браузер розбирає за власними правилами і від якої залежить метод кодування (OWASP; MDN)

ліміт токенів, видимих моделі

узгоджена форма обміну між сервісами

перевірка сумісності провайдера й споживача

елемент плану JMeter, що керує порядком і умовами виконання семплерів

не вживатикерівний вузолкерівні вузли

продукто-орієнтований, коригувальний підхід; тестування — його форма (ISTQB)

явне обмеження кількості айтемів у роботі; наслідок — pull-система (Kanban)

більше не прийнятний фактор автентифікації за NIST SP 800-63; пароль плюс питання багатофакторності не дають (OWASP)

робочий продукт під ідентифікацією, контролем версій і відслідковуванням змін (ISTQB)

не вживатиконфіг-айтем

конфігурація елементів середовища застосунку (ПЗ вебсервера, бекенд-БД, сервери автентифікації) як окремий предмет перевірки: «It takes only a single vulnerability to undermine the security of the entire infrastructure» (WSTG-CONF-01)

конфігурація окремих елементів архітектури застосунку, узагальнена за походженням: «many different systems will be usually provided with generic configurations that might not be suited to the task they will perform on the specific site they're installed on» (WSTG-CONF-02)

підзапит, що посилається на таблицю зовнішнього запиту

заміна записаних ідентифікаторів на змінні, значення яких дістають із відповідей на попередні запити

фіча, цінна для користувача або покупця системи (ISTQB)

не вживатиюзер-сторі

фундаментальна причина виникнення проблеми (ISTQB)

не вживатирут-кауз

бот, що обходить сайт за посиланнями: індексатор пошуковика або павук сканера

не вживатироботи-збирачіобхідники

брак криптографії, недостатньо сильна криптографія, витік ключів і повʼязані помилки (A04:2025)

що має бути досягнуто, щоб оголосити активність завершеною (ISTQB)

передумови для початку активності (ISTQB)

критерії тимчасової зупинки всіх або частини тестових активностей (ISO/IEC/IEEE 29119-1:2022, 3.81)

умови, які реалізація має виконати, щоб стейкхолдери її прийняли (ISTQB)

не вживатиприймальні критерії

безпечна на вигляд зміна бази ламає нащадків непередбачувано

тест, що ламається від змін, не пов'язаних із його предметом

файл, що «specifies the permissions that a web client … use to access data across different domains»; майстер-файл лежить у корені домену й перевіряється першим (WSTG-CONF-08)

прикм.: між різними походженнями — схема, хост або порт не збігаються

не вживатикрос-оригіннийкрос-походженнєвийкрос-походження

формат співбесіди, у якому кандидат пише код у реальному часі при інтервʼюері

не вживатиживе кодування

зміна, після якої наявний клієнт падає або поводиться неправильно

не вживатибрейкінг-чейндж

розбиття задачі на послідовність промптів із перевіркою результату кожного кроку

послідовність проміжних кроків міркування перед відповіддю

серія запитів, кожен з яких стартує лише після відповіді на попередній

не вживативодоспад запитів

завантаження ресурсу відкладається до моменту, коли він потрібен (loading="lazy")

не вживативідкладене завантаження

віддача сервером переліку вмісту каталогу — «the most obvious way in which a misconfigured server may disclose unreferenced pages» (WSTG-CONF-04)

порядок, у якому СУБД обробляє клози запиту

запис подій безпеки, який сам є активом під захистом: логи можуть містити персональні й чутливі дані та відомості про код і логіку застосунку (OWASP Logging)

адаптація продукту під мовні, культурні та інші вимоги конкретної локалі (W3C)

здатність червоного тесту показати, що саме зламалося

стратегія пошуку елемента на сторінці

підтвердження людиною окремих дій агента перед виконанням

майданчик публікації вакансій і пошуку кандидатів

підміна ціни, підсумку, кількості чи знижки в запиті клієнта там, де сервер не перераховує їх із власної бази (OWASP Business Logic Security)

файл package.json з описом пакета й залежностей

накопичувач того, що інструмент зібрав під час дослідження застосунку: результати сканування плюс адреси, відкриті вручну (PortSwigger)

випадок маскування коли перший невалідний вхід не дає перевірити другий

ситуація коли один дефект приховує виявлення іншого

таблиця «фіча × роль», у якій перелічено два виміри кожної авторизації (OWASP Authorization Testing Automation)

звʼязок вимог із тестами

межа ресурсів машини, що створює навантаження, за якою вимір починає відображати генератор, а не систему

дата, до якої модель має дані

обʼєднання гілок (глоса: злиття)

не вживатимерж

залежність, вразлива не сама по собі, а через залежність від вразливих версій вразливого пакета (npm Docs)

три метрики на кожен сервіс: частота запитів, частота помилок і розподіл тривалості

каркас відповіді на поведінкове питання: ситуація, задача, дія, результат

версійований скрипт зміни бази, що їде разом із кодом

тип, що зберігає момент часу в UTC

спосіб, у який тестовий код дістається до браузера: wire-протокол поза процесом, власний протокол інструмента або виконання всередині браузера

не вживатидротяний протокол

набір характеристик і звʼязків між ними — рамка для формулювання вимог до якості та її оцінювання (ISO/IEC 25000:2014, 4.27)

структурований повторюваний процес: модель системи з погляду безпеки, ідентифікація застосовних загроз і визначення відповідей на них (OWASP)

окремий файл із власною областю видимості та явними експортами

тест окремого модуля в ізоляції

не вживатиюніт-тестюніти

дублер із заданими очікуваннями на виклики

окремий HTTP-сервер, що вдає залежність

деформація набору: багато E2E, мало інтеграційних і модульних (перевернута піраміда)

прапорець замість фізичного DELETE

узгоджуваний у TLS набір криптоалгоритмів; різні набори дають різний рівень захисту (OWASP TLS)

тип перф-тестування: поведінка під очікуваними навантаженнями від низького до пікового

не вживатилоуд-тестування

мова, у якій валідне все валідне з базової (TypeScript над JavaScript)

принцип призначення користувачам лише мінімуму привілеїв, потрібних для виконання їхньої роботи (OWASP)

техніка збільшення навантаження вимірюваним і контрольованим способом

не вживатирамп-ап

ступінь, до якого ресурс має роботу, якої не може обслужити, — зазвичай черга

не вживатисатурація

тест повного сценарію крізь усі шари

відбудова обʼєкта з недовірених даних рідним механізмом мови, чиї можливості обертаються на відмову в обслуговуванні, обхід контролю доступу або віддалене виконання коду (OWASP)

відсутній або неефективний дизайн контролю безпеки (A06:2025)

позиція вставки, у якій кодування виводу XSS не запобігає, тож змінних туди не підставляють узагалі (OWASP)

стан контейнера з коробки, що знижує рівень безпеки, поки його не змінили явно: root усередині, увімкнений icc, публікація порту повз правила фаєрвола (OWASP Docker Security)

готовий набір рядків з високою ймовірністю зламати обробку вводу

клас еквівалентності зі значеннями, які система має відкинути

властивість AI-системи давати різний вихід на той самий вхід

шкала з чотирьох ступенів: автор → колеги → інша команда → інша організація (ISTQB)

здатність системи протистояти загрозам заперечення дії (Microsoft)

JWS, що не дає жодного захисту цілісності; розпізнається за значенням alg = none (RFC 7515 §2)

JWT, чиї claims не захищені ні цілісністю, ні шифруванням: alg = none і порожній рядок на місці підпису (RFC 7519 §2)

стан файлу з конфліктом: Git не завершив злиття, поки конфлікт не розвʼязано

не вживатиневзгоджений

відхилений проміс без обробника в межах одного проходу циклу подій

програма не запобігає нештатній ситуації, не виявляє її і не реагує на неї (A10:2025)

файли на вебсервері, на які застосунок не посилається, але сервер їх віддає: «it isn't uncommon to find unreferenced or forgotten files that can be used to obtain important information about the infrastructure or the credentials» (WSTG-CONF-04)

приведення типів, яке СУБД робить сама при порівнянні

розкладання таблиць так, щоб прибрати аномалії оновлення

порушення норми, що з часом стає нормою в команді

сутність системи, що виконує дію-реалізацію загрози, або подія, яка до неї призводить (RFC 4949)

видима частина сторінки у вікні браузера

не вживативʼюпортв'юпорт

статус, який NIST SP 800-63B-4 дає SMS- і PSTN-кодам через перехоплення SS7, SIM-swap і перенесення номера

обмеження, що забороняє однакові значення в стовпці

правило, яке перевіряє сама СУБД при зміні даних

шаблон лише для читання з інструкціями створення контейнера

не вживатиіміджтільки-для-читання шаблон

межі того, що тестуємо/робимо

тестування продуктивності на заданому обсязі даних у базі або у файлі обміну (термін не канонічний — див. сторінку)

не вживативолюм-тестування

зловживання застосунком у спосіб, що дозволяє обійти задуману послідовність кроків процесу (WSTG 4.10.6)

артефакт, який тестують

не вживатитест-обʼєкт

секрет автентифікації з коротким TTL і одноразовим використанням, який поводять як пароль (OWASP; RFC 4226/6238)

фактичний або передбачений патерн використання компонента чи системи

UNION, INTERSECT або EXCEPT над результатами запитів

контроль версій без утримання лока

блок налаштувань TypeScript у tsconfig.json

оператор доступу з коротким замиканням на nullish

джерело очікуваного результату, з яким звіряють фактичний

патерн: координатор роздає підзадачі

скоординована робота кількох агентів зі спеціалізованими ролями над спільною задачею

пропозиція роботи

не вживатиофер

додаткова умова переходу в нотації «event [guard] / action»

імʼя, яке клієнт вважає прийнятним для сервера (RFC 9525)

пауза до готовності умови/елемента

віддача результату частинами через LIMIT і OFFSET

описана як код послідовність стадій і джоб, що виконується на ранерах

не вживатипаплайн

надсилання наступного запиту, не чекаючи відповіді на попередній, у межах одного зʼєднання (HTTP/1.1)

не вживатиконвеєризаціяконвеєризувати

панель DevTools із троттлінгом мережі, вимкненням кешу й підміною User-Agent

не вживатишухляда

панель Chrome DevTools для інспектування сторонніх cookie й перевірки захисту HTTPS

одночасний запуск кількох асинхронних операцій

заміна фіксованих даних значеннями зі списку, щоб кожен віртуальний користувач мав свій набір

запит, у якому розробник зобовʼязаний спершу визначити весь код SQL, а кожен параметр передати пізніше (OWASP)

один тест прогнаний на наборі даних або конфігурацій

проєкт-набір інструментів і бібліотек під спільною назвою

не вживатипарасольковий термін

частина розподіленої системи чи даних; у мережі — розрив, що ділить кластер на групи, які не бачать одна одну

не вживатирозділення мережі

режим ZAP, у якому окремий додаток пасивно перевіряє повідомлення (HTTP, WebSocket), пропущені крізь ZAP або надіслані ним (ZAP)

повторюваний спосіб отримати вигоду з логіки процесу без порушення валідності окремих полів — стекінг купонів, накрутка балів, повторне погашення одноразового ваучера (OWASP)

стовпець або група стовпців, що однозначно ідентифікує рядок

машина, якій роздано більше віртуальних ресурсів, ніж вона має фізично

не вживатиперепідписана машинаперепідписаний сусід

повторне вживання наявного коду, даних чи артефакту замість створення нового

не вживатипереиспользуванняпереиспользуваний

збір перевірних фактів про компанію до офферу

перевірка, що ланцюг від якоря довіри підтверджує звʼязок імені з відкритим ключем (RFC 5280 §6)

досвідна техніка: передбачити типові помилки й спроєктувати тести на них

стан, потрібний до запуску кроку/тесту

збирання переліку валідних логінів через різницю у відповідях механізму автентифікації (WSTG-IDNT-04)

витік факту існування акаунта через різні відповіді системи

характеристика якості ISO 25010: наскільки легко перенести систему в інше середовище

не вживатипортативність

тип, що вимагає задовольняти всі складники одночасно

підміна/спостереження мережевих запитів у тесті

секрет, який не є публічним, не зберігається поруч із хешем і живе окремо від бази паролів; сам собою властивостей безпеки не додає (OWASP)

значення, нижче за яке лежить задана частка вимірів (p90, p95, p99)

не вживатипроцентиль

форма параметризації, що не дає атакувальнику змінити намір запиту, навіть якщо SQL-команди вставлено у ввід (OWASP)

SELECT усередині іншої команди

керування годинником сторінки з тесту замість очікування реального часу

видимість оголошення вище за рядок, у якому воно записане

подання другого фактора саме на чутливу операцію, щоб система перевірила право користувача її виконати (OWASP Transaction Authorization)

модель співвідношення рівнів автотестів

деформація набору: багато unit і багато E2E, мало інтеграційних

ізольоване середовище, у якому дія не зачіпає бойові дані й системи

YAML-файл із job-ами, який ZAP виконує згори вниз: запускається ключем -autorun, у headless-режимі віддає код виходу, а політику «що вважати падінням» задає exitStatus job-а (ZAP)

дерево вузлів, за яким СУБД виконує запит

межа, якої SQL реально не проводить: команди вставляють у ввід площини даних, щоб вплинути на виконання заздалегідь визначених команд (OWASP)

публікація в публічному реєстрі пакета з іменем вашого внутрішнього приватного, але з вищим номером версії (OWASP NPM Security)

клоза, що віддає значення зі щойно змінених рядків

копія лише верхнього рівня зі спільними вкладеними посиланнями

усі точки, якими атакувальник міг би потрапити в систему і якими міг би винести дані назовні (OWASP)

публікація повних деталей (іноді разом з експлойтом) одразу після виявлення, зазвичай до появи патча (OWASP)

схема кодування, у якій %2e%2e%2f і ..%2f дають той самий ../ і обходять фільтр, що декодує ввід один раз (WSTG)

механізм черг задач у JS-рушії

імʼя, яке сервер показує у своєму сертифікаті (RFC 9525)

частка коду/вимог, охоплена тестами

не вживатикаверідж

частка переходів керування зачеплених тестами

частка виконуваних інструкцій коду зачеплених тестами

не вживатипокриття операторів

пейлоад, що виконується одразу в кількох контекстах — HTML, рядок у скрипті, JavaScript і URL (OWASP)

періодичне опитування стану до готовності

обмеження доступу між різними origin

не вживатиполітика одного джерела…однакового походження

вимоги до довжини, складу, повторного використання й строку дії пароля; перевіряється тест-айтемом WSTG-ATHN-07

незмінне визначене застосунком правило перетворення рядка на обʼєкт Trusted Type; лише політики можуть створювати такі значення (W3C)

виміри від реальних користувачів сайту, вони ж RUM

людська дія, що породжує дефект (ISTQB)

хибне тлумачення моделлю логічної структури — причинності чи умовної логіки — попри правдоподібний вигляд відповіді

комбінаторика вхідних пар для скорочення набору

машинний критерій pass/fail на метрику прогону

не вживатитрешолд

кількість невдалих спроб, після якої акаунт блокується (OWASP)

вузол у ланцюзі зʼєднань між користувацьким агентом і origin-сервером

заборона «висячих» посилань між таблицями

сторона, що надає API

вираз, що породжує таблицю в межах клози FROM

схема+хост+порт як межа безпеки

текст після коду в стартовому рядку HTTP-відповіді (OK, Not Found)

не вживатисловесна фразатекстова фраза

налаштування доступу до ресурсу: «When a resource is given a permissions setting that provides access to a wider range of actors than required, it could lead to the exposure of sensitive information, or the modification of that resource by unintended parties» (WSTG-CONF-09, CWE-732)

один стовпець таблиці рішень: унікальна комбінація умов і дій

іменований параметр командного рядка (--headed, -v)

не вживатиключ командного рядка

сфера знань і діяльності, у якій працює продукт (фінтех, медтех)

не вживатидоменна область

код під можливість, ще не віддану в користування

завчасне завантаження ресурсу, який знадобиться на наступному кроці

скидання стану/ресурсів після тесту

не вживатиклінаптірдаун

член класу з префіксом решітки, недоступний ззовні

модель, у якій вразливість повідомляється приватно, а рішення про публікацію належить організації, не досліднику; її вимагає більшість bug bounty-програм (OWASP)

автоматичне перетворення значення до типу, якого очікує операція

звʼязок імені зі значенням у певній області видимості

не вживатизвʼязок іменізв'язок імені

значення this, визначене способом виклику функції

ендпоінт, який ловить вхідний виклик (вебхук) і зберігає його

незмінне значення будь-якого типу мови, крім обʼєкта

одиниця того, що сервер або клієнт MCP пропонує іншій стороні (tools, resources, prompts)

перевірка того, що значення має належний тип, перш ніж воно дійде до сінка (W3C)

нефункціональна характеристика ISO 25010: виконання функцій з ефективним використанням ресурсів за заданих умов, пропускної здатності й часу

логічна група тестів, що виконуються з однаковою конфігурацією

посередник, якого обирає клієнт (RFC 9110 §3.7)

таблиця з двох зовнішніх ключів, що реалізує звʼязок M:N

обʼєкт майбутнього результату async-операції

вхідна інструкція для моделі

багаторазовий шаблон промпта задля стабільного й передбачуваного виводу

скільки інформації проходить крізь зʼєднання за заданий час (bps, Mbps)

кількість транзакцій заданого типу, які система обробляє за одиницю часу (CT-PT §4.2.5; глосарій ISTQB дає інше означення — dec-1875)

генерація навантаження запитами без браузера: JavaScript не виконується, HTML не рендериться

обʼєкт, від якого інший обʼєкт успадковує властивості

задана кількість віртуальних користувачів, які виконують операційні профілі за визначений період

властивість ефемерних ключів: компрометація довгострокового ключа сервера не розкриває конфіденційності минулих сесій (OWASP)

обробка, після якої дані не привʼязуються до особи без окремо збереженої додаткової інформації (GDPR)

частина домену, підконтрольна публічному реєстрові — com, co.uk, pvt.k12.wy.us (rfc6265bis §2.3)

набір готових зʼєднань, які код бере й повертає

не вживатиконекшенпул конекшенів

запит на злиття з ревʼю

інструмент, що запускає тести й збирає результат

не вживатираннер

повторна перевірка, що старе не зламалось

прогін фіксованого набору входів на кожну зміну промпта чи версії моделі

шаблон пошуку й заміни в тексті

список ризиків з ймовірністю, впливом і планом мітигації (ISTQB)

не вживатиризик-реєстр

публічний суфікс домену плюс мітка ліворуч від нього (rfc6265bis §2.3)

клас прояву проблеми продуктивності за формою кривої «навантаження → час відповіді»

обмеження кількості запитів від клієнта за одиницю часу

не вживатиліміт частоти

модель даних, у якій дані живуть у таблицях-відношеннях

повторна спроба невдалої операції

не вживатиперезапуск

потенційна подія, загроза чи ситуація, настання якої дає негативний ефект (ISTQB)

ризик якості, повʼязаний із безпекою (ISTQB)

ризик якості продукту в термінах часової поведінки, утилізації ресурсів і ємності

налаштування того, які аномалії конкурентності дозволені

позиція повідомлення на шкалі 0–7 (менше число = вища серйозність)

налаштування того, скільки вузлів мають підтвердити запис

міра ризику, що виражає ймовірність та вплив разом (ISTQB)

не вживативага ризику

група тестових активностей, керована разом; екземпляр тестового процесу (ISTQB)

ступінь видимості незакомічених змін

не вживатиписьменник

чутливі персональні дані й деякі форми PII (здоровʼя, державні ідентифікатори, вразливі особи), які не пишуть у лог напряму, а прибирають, маскують, санітизують, хешують або шифрують (OWASP Logging)

збільшення кількості рядків після зʼєднання на звʼязку 1:N

повторення матеріалу через інтервали, що зростають

навантаження, створюване кількома машинами під керуванням одного вузла

основний спосіб зберігання імен в LDAP; іноді вживається для доступу до ресурсів на кшталт логіна (OWASP)

стан системи, у якій співіснують несумісні версії коду, даних чи конфігурації

те, за чим вебсервер визначає, що задіяти для виконання запиту: «File extensions are commonly used in web servers to easily determine which technologies, languages and plugins must be used to fulfill the web request» (WSTG-CONF-03)

узгодження параметрів зʼєднання перед обміном даними

не вживатихендшейк

інша назва рушія рендерингу: MDN уживає browser engine, rendering engine і layout engine як синоніми (dec-0300)

не вживатирушій

підсистема, що парсить HTML/CSS, будує дерева й малює сторінку (Blink, Gecko, WebKit)

не вживатирушій

делегований агент під оркестратором

не вживатисубагент

механізм, що після невдалого пошуку елемента шукає «схожий» і продовжує прогін

не вживатисамолікування

вирізання небезпечного HTML із рядка з поверненням безпечного HTML — зокрема видалення тегів script і вбудованих обробників подій (OWASP; MDN)

вузька перевірка конкретної фічі після зміни

чутливе значення, що маскується в логах джоб і не передається у форк-воркфлоу

роль на рев'ю: фіксує знайдені дефекти, рішення й пропозиції; автор ним бути не може (ISTQB)

не вживатискрайб

перевірка сенсу відповіді замість дослівного збігу тексту

MAJOR.MINOR.PATCH, де розряд кодує тип зміни публічного API

перевірка прав, що виконується на сервері, шлюзі або в serverless-функції, бо покладатися на клієнтські перевірки заборонено (OWASP)

випадок, коли недовірені дані потрапляють у згенеровану сервером HTTP-відповідь; буває і відбитим, і збереженим (OWASP)

хмарний ендпоінт інстансу, з якого SSRF типово краде облікові дані й токени доступу (OWASP)

host-система, що доукомплектовує мову вводом-виводом і власними обʼєктами

алгоритм, у якому той самий ключ виконує операцію та обернену до неї (OWASP Key Management)

рядок без валідного батьківського запису

не вживатисиротаосиротілий запис

програма, що зберігає дані, віддає їх і захищає

наперед визначений набір інструкцій, що задає поведінку й межі моделі на всю сесію

значення/набір даних для сідінгу

наповнення БД/стану тестовими даними

не вживатипересівзасівсідувати

унікальний випадковий рядок, який додається до кожного пароля при хешуванні й змушує ламати хеші поодинці (OWASP)

потужна функція вебплатформи, яку можна викликати лише з довіреним, перевіреним або належно санітизованим значенням (W3C)

шахрайська схема під виглядом працевлаштування

функція, якою аналізують код у репозиторії GitHub, щоб знайти вразливості безпеки й помилки кодування (GitHub Docs)

автоматичне виявлення захардкоджених облікових даних в усій історії git і на всіх гілках репозиторія — до того, як ними скористаються (GitHub Docs)

пакет інструкцій/інструментів для агента

не вживатинавичка

ключ із кількох колонок

межа видимості змінної/токена/дозволів (глоса: область видимості)

час життя фікстури: тест, файл, воркер чи весь прогін

не вживатиобласть життя фікстуриобласть життяобласть воркераобласть видимості воркера

звуження пошуку до контейнера: локатор шукається в межах іншого локатора, а не по всій сторінці

не вживатискоупитискоуповані

первинна співбесіда з рекрутером

знімок екрана сторінки/застосунку

не вживатискриншот

різновид SQL-інʼєкції, що ставить базі питання «істина чи хиба» й визначає відповідь із реакції застосунку (OWASP)

випадок XXE, який відкриває дозволене завантаження зовнішніх DTD і результату якого у видимій відповіді немає (OWASP)

вектор, що експлуатує AI-асистентів: модель галюцинує неіснуючу назву пакета, а зловмисник публікує під нею шкідливий (OWASP NPM Security)

демозастосунки, документація й тестові сторінки типової інсталяції сервера, які «should be removed before deployment to avoid post-install exploitation» (WSTG-CONF-02)

збіг приватних даних, недовіреного контенту й каналу назовні в одного агента

швидка перевірка базової працездатності

не вживатидимовий тест

упорядкування рядків результату за виразами

техніка зменшення навантаження вимірюваним і контрольованим способом

не вживатирамп-даун

стаб, що ще й записує виклики

не вживатишпигун

виконання одного кроку/запиту в межах трейсу

машиночитний опис інтерфейсу API (OpenAPI, WSDL, .proto)

підписаний CA список із міткою часу, що перелічує відкликані сертифікати й публікується у відкритому репозиторії (RFC 5280)

сховище кукі клієнта, спільне для всіх запитів у межах контексту

не вживатибанка кукі

тестування здатності відновитися після раптових сплесків пікового навантаження й повернутися до усталеного стану

не вживатиспайк-тестуванняспайк

сторона, що викликає API

здатність зрозуміти стан системи за телеметрією (трейси, метрики, логи)

не вживатиобсервабіліті

дублер, що віддає задані відповіді

не вживатиконсервована відповідь

стандартизована специфікація мови JavaScript (ECMA-262)

оцінювання робочого продукту без виконання коду (ISTQB)

інструментальна перевірка структурованого артефакта без виконання (ISTQB)

числовий код результату HTTP-відповіді

передпродове середовище

нестандартний рядок із ланцюгом викликів на момент помилки

метод із виразом, що звʼязує його з кроками Gherkin

не вживативизначення степу

відкладений стан робочого дерева й індексу з поверненням до HEAD

не вживатисташ

код вендора, який хост-сторінка містить або підтягує й виконує, надаючи третій стороні «the exact same privileges that were granted to the user» (OWASP)

набір тестів, що ловить регресію до релізу й дає впевненість міняти код

не вживатисітка безпеки

тип перф-тестування на межах і поза межами очікуваних навантажень або зі зменшеними ресурсами

функційний вираз без власних this та arguments

не вживатистрілкова функція

порівняння без приведення типів (оператор ===)

родина прапорців суворої перевірки типів

політика на nonce або хешах замість списку дозволених джерел; чинна провідна практика (MDN; OWASP)

вивід моделі у формі, заданій схемою

штучний технічний ідентифікатор рядка

формальний опис структури даних

набір тестів, обʼєднаних логічно

не вживатисьютсюїт

модель «умови × дії»: рядки — умови й дії, стовпці — правила

не вживатиматриця рішень

модель «стани × події»; порожня клітинка = невалідний перехід

не вживатитаблиця переходів

ліміт часу очікування до переривання операції

не вживатитайм-аут

мітки часу подій навігації документа й типу навігації

не вживатитайминг навігації

мітки часу фаз завантаження кожного ресурсу сторінки

не вживатитайминг ресурсів

публікація шкідливих модулів у реєстрі під іменами, дуже схожими на популярні пакети (OWASP NPM Security)

прогресивне сповільнення відповідей виявленому боту замість 403, щоб не повідомляти йому про виявлення (OWASP)

пауза після завершення транзакції заради утримання заданої частоти (термін не канонічний — див. сторінку)

не вживатипейсинг

агентний інструмент кодування, що працює в теці проєкту й виконує команди

явний атрибут (data-testid, data-cy) як контракт між кодом і тестами

не вживатитест-айді

упорядкований набір кейсів для виконання; продукт фази імплементації (ISTQB)

джерело, з якого виводять тести: вимоги, історії, код, досвід (ISTQB)

не вживатитест-базистестовий базис

те, що має бути перевірене; результат аналізу (ISTQB)

етап найму, на якому кандидат виконує роботу поза співбесідою

обʼєкт-замінник реальної залежності в тесті

не вживатидвійник

сім груп активностей від планування до завершення (ISTQB; STLC силабус не вживає — dec-0196)

дані, підготовлені для виконання тесту

модель Марика: business/technology facing × support the team/critique the product

не вживатиквадранти Кріспін

наскільки система придатна до тестування

тип тестування, що встановлює безпеку компонента чи системи (ISTQB)

визначення, скільки користувачів або транзакцій система підтримає з дотриманням заявлених цілей продуктивності

друга група тестів WSTG усередині «Web Application Security Testing» — одинадцять тестів 4.2.1–4.2.11 (WSTG 4.2)

тестування здатності системи рости під майбутні вимоги без порушення чинних

тестування стабільності під значним навантаженням протягом значного часу в операційному контексті системи

не вживатисоак-тестування

вид динамічного тестування безпеки застосунку: оцінювання слабкостей і вразливостей без заподіяння шкоди, з імітацією атакувальника (ISTQB)

техніка виведення кейсів із моделі станів і переходів

тестування змін у системі, що вже в експлуатації (ISTQB)

парасольковий тип тестування, що визначає продуктивність компонента або системи

систематичний спосіб вивести невеликий достатній набір кейсів

контракт значень стовпця, який перевіряє СУБД

класифікація роботодавця: сервіс, аутстаф, продукт, стартап, R&D-центр

чотири типи метрик інструментування: лічильник, датчик, гістограма, зведення

корисне навантаження запиту/відповіді

обліковий секрет доступу: JWT, Bearer, CSRF-токен

одиниця тексту для LLM

клієнт, що бере лише потрібні поля й ігнорує решту

логічна роль, від імені якої виконують перевірку авторизації (OWASP)

точка кривої, де вигода перестає зростати швидко (термін не канонічний — див. сторінку)

не вживатиперегин кривої

група команд, що застосовується як одна операція «все або нічого»

режим запуску TypeScript зі стиранням типів без перевірки

простежуваність звʼязку вимога↔тест: базис ↔ testware ↔ результати ↔ дефекти (ISTQB)

не вживатитрейсабілітітрасовність

запис ходу виконання: дії, знімки й мережа за один прогін тесту (Playwright), стек або розподілений трейс

не вживатитрасування

зустріч бізнесу, розробника й тестувальника навколо конкретної історії

час, на який акаунт лишається заблокованим; альтернатива фіксованій — експоненційна (OWASP)

процедура, яку СУБД запускає на подію зміни даних

логіка SQL із третім станом UNKNOWN поруч з істиною й хибою

три цілі безпеки — конфіденційність, цілісність і доступність (FIPS 199); сама назва є індустріальним ужитком, у джерелах її немає

розбір червоного прогону: баг продукту, баг тесту чи оточення — і з яким пріоритетом

не вживатитріажування

штучне обмеження швидкості мережі/запитів

не вживатитроттлінг

сліпий ретранслятор між двома зʼєднаннями, який повідомлень не змінює

контракт із користувачами, що включає наслідки виконання або невиконання цілей

іменований підзапит у клозі WITH

CASE, COALESCE, NULLIF — вирази, що обирають значення за умовою

схильність довіряти пропозиції системи більше, ніж власній перевірці

схильність тримати першу гіпотезу чи побачене число попри нові дані

не вживатиприякоренняприякорюєтьсяприякорюватисяприякорилася

системний перекіс оцінки LLM-судді (позиція, багатослівність, самовподобання)

швидке видалення всіх рядків без сканування таблиці

механізм ООП: похідний клас переймає члени базового

не вживатиспадкуваннянаслідування

середній час, протягом якого ресурс був зайнятий обслуговуванням роботи

вбудований генерик, що будує новий тип з наявного

автоматична подача програмі несподіваного, спотвореного або напівспотвореного вводу заради виявлення дефектів, вразливостей і неочікуваної поведінки (OWASP Fuzzing); WSTG уживає той самий термін як підхід «усе підряд» до маніпуляції параметрами, а CWE-89 — як динамічну техніку виявлення

не вживатифаззинг

файл із типами без реалізації

файл проєктних інструкцій, який агент читає на старті сесії (CLAUDE.md)

кількість ітерацій хешування на кожен пароль, зазвичай записана в самому виводі хеша (OWASP)

вимір фільтра в пошуку: набір значень, за якими звужують видачу

не вживатигрань фільтра

робоча спрощена реалізація залежності

приймач, що вдає SMTP-сервер і віддає перехоплені листи через API замість доставки адресатам; ужитковий термін без канонічного першоджерела — домашній канон за рішенням власника dec-0781

атака, у якій ідентифікатор сесії підсаджують жертві до її входу й далі користуються вже автентифікованою сесією (OWASP)

керований setup/teardown-ресурс для тесту

не вживатифіксчер

вираз пошуку в LDAP, записаний польською, тобто префіксною, нотацією (OWASP)

відбір рядків за умовою до групування

перемикач, що дозволяє відділити реліз фічі від розгортання коду

не вживатитумблерфіче-флагфіч-флагпрапорець фічіпрапорці функціональності

ім.: нестабільність/недетермінізм тестів (джерело флаку)

не вживатифлейкіфлаки

прикм.: недетермінований, нестабільний (про тест)

не вживатифлейкіфлаки

тест, що падає недетерміновано без зміни коду

не вживатифлейкіфлаки

запасний шлях, на який система переходить, коли основний недоступний

те саме, що компонентний об'єкт, у термінах CodeceptJS

категорія атрибутів якості, що впливає на якість продукту (ISO/IEC 25002:2024, 3.17)

приведення конфігурації до безпечного стану: вимкнути зайве, змінити дефолти, закрити доступи

не вживатизагартуваннягартуванняужорсточення

бекенд, що виконує кроки сценарію в CodeceptJS (Playwright, WebDriver, Puppeteer, Appium)

не вживатихелпер-функція

функція, що з входу змінної довжини дає вихід фіксованої довжини (дайджест) і має бути стійкою до колізій (MDN)

не вживатигешгешуваннягешфункція

перетворення пароля незворотним алгоритмом замість оборотного шифрування (OWASP Cryptographic Storage; RFC 9106)

небезпечне налаштування системи, застосунку чи хмарного сервісу, що створює вразливість (A02:2025)

неправильна конфігурація контролю доступу до сервісу сховища: «Improper access control configuration, however, may result in sensitive information exposure, data being tampered, or unauthorized access» (WSTG-CONF-11)

значення, що в булевому контексті вважається false

програма, що спрацьовує в певній точці виконання Git (обходиться --no-verify)

механізм, що дає автентифікацію, цілісність і незаперечність разом (OWASP)

відповідність даних інваріантам схеми

конфіденційність, цілісність або доступність (FIPS 199, Appendix A)

цільове значення або діапазон для рівня сервісу, який міряє індикатор

час транзакції від ініціації до завершення оброблення, без часу на роздуми

пауза між діями всередині сценарію, що імітує реального користувача

не вживатитінк-тайм

час від старту айтема до його завершення (Kanban)

сліпа інʼєкція, у якій ознакою виконання запиту є пауза бази на задану кількість часу перед відповіддю (OWASP)

частка невдалих запитів від усіх виконаних за прогін

відповідь, у якій частина полів заповнена, а частина впала

вимога автентифікації у відповіді 401: схема й параметри в заголовку WWW-Authenticate

черга для повідомлень, які не вдалося обробити

не вживатидед-леттер

структура тесту: підготовка → дія → перевірка → прибирання

результат однієї інструкції Dockerfile (перебудовуються лише змінені)

не вживатилейер

розбиття сюїти на частини, що виконуються на різних машинах

не вживатишардинг

як швидко інтерфейс реагує на дію користувача

опис охоплення смоуку: багато перевірок, і кожна неглибока

не вживатимілкий

посередник, що назовні поводиться як origin-сервер; він же reverse proxy

CA, з чийого сертифіката починається дійсний ланцюг; вибір якоря — питання політики, а не протоколу (RFC 5280)

модель, де запити субʼєкта на операції над обʼєктами дозволяються чи забороняються за атрибутами субʼєкта, атрибутами обʼєкта, умовами середовища й політиками, сформульованими в цих атрибутах і умовах (NIST SP 800-162 с. 7, наведено OWASP)

випадок використання, у якому актори зі злим наміром шкодять системі або іншим акторам (ISTQB)

автентифіковане шифрування, що дає конфіденційність разом із цілісністю й автентичністю; до TLS 1.2 не підтримувалося (OWASP; RFC 8996)

валідація, що описує рівно те, що дозволено, і за визначенням забороняє все інше (OWASP)

не вживатибілі списки

хешований тег-обʼєкт із автором, датою, повідомленням і можливим підписом

основний варіант Argon2: перша половина першого проходу як Argon2i, решта як Argon2d; реалізація MUST його підтримувати (RFC 9106)

стандарт вимог безпеки до вебзастосунків і сервісів від OWASP: три рівні перевірки (L1/L2/L3), кожна вимога перевірна з вердиктом pass/fail

функція, що завжди повертає проміс

схема кодування «двійкове → текст», що подає двійкові дані ASCII-рядком у 64-ковій системі числення (MDN)

скрипт із Docker-образів ZAP, що пускає павука по цілі (типово 1 хвилина) і чекає на пасивне сканування, не виконуючи реальних атак (ZAP)

змінна, якою базі повідомляють, що входи цього динамічного SQL — «дані», а не можливий код (OWASP)

тест-дизайн за зовнішньою поведінкою без доступу до коду

не вживатичорна/чорноскриньк-блек-боксчорний ящик

форма персистентного XSS: пейлоад зберігається на сервері й повертається жертві вже з бекенд-застосунку (OWASP)

два максимально ідентичні продакшен-середовища з перемиканням роутера

прямокутник, що описує положення й розміри елемента на сторінці

не вживатиобмежувальна рамка

програма винагород, що мотивує дослідників знаходити й повідомляти вразливості; посередником зазвичай є стороння платформа (OWASP)

набір для ручного й автоматизованого тестування безпеки вебзастосунку (PortSwigger)

елемент HTML, на якому скрипт малює растрову графіку

контроль глибини захисту проти автоматизованих спроб входу: робить перебір дорожчим і довшим, але запобіжником не є і блокування не заміняє (OWASP; WSTG-ATHN-03)

не вживатикапча

git-команда перемикання робочого дерева на інший коміт, гілку або стан файлу (сучасний розподіл — switch і restore)

не вживатичек-аут

накладання зміни наявного коміту з записом нового коміту

не вживатичеррі-пік

оцінка найбільшої серії несподіваних зсувів розкладки за життя сторінки

фундація, під якою живе OpenTelemetry (не перекладається)

перевірка, що конкретний дефект справді виправлено (термін ISTQB замість re-testing)

набір із трьох польових метрик користувацького досвіду: LCP, INP, CLS

не вживатиосновні веб-показники

заголовок, яким власник ресурсу вказує, кому дозволено його підключати; блокує крос-оріджин запити режиму no-cors (MDN)

автоматизоване підставляння вкрадених пар «логін+пароль» у форми входу заради доступу до чужих облікових записів (OWASP)

публічний датасет польових вимірів реальних користувачів Chrome

генератор псевдовипадкових чисел із більшою ентропією, придатний для безпекових потреб на відміну від звичайного PRNG (OWASP)

непередбачуване значення, яке сервер вбудовує у видану сторінку; легітимна сторінка додає його до стано-змінного запиту, і сервер виконує запит лише при збігу (MDN)

каталог публічно розкритих вразливостей у випущених пакетах ПЗ (ISTQB)

відкритий фреймворк для передавання характеристик і серйозності вразливостей ПЗ (FIRST v4.0)

розроблюваний спільнотою список слабкостей ПЗ та апаратури, які можуть стати вразливостями (MITRE)

щорічний зріз найпоширеніших і найвпливовіших слабкостей, зібраний зі статистики записів CVE

автоматичні сканери, що перевіряють запущений застосунок «normally from the outside»: XSS, інʼєкції, обхід шляху, небезпечна конфігурація сервера (OWASP Vulnerability Scanning Tools)

політика з іменем default, яку user agent викликає неявно щоразу, коли в сінк передали звичайний рядок; її відсутність або null дає порушення CSP (W3C)

спільне явне розуміння потоку; шість обовʼязкових елементів (Kanban)

не вживатиопис воркфлоу

перелік відомих небезпечних шаблонів, який працює лише як додатковий шар і доповнює, а не заміщає allow-list (OWASP)

не вживатиденойлистденайлістблок-листчорні списки

механізм GitHub, що сповіщає про вразливі залежності й піднімає PR двох різних типів: security-апдейти на відому вразливість і version-апдейти як гігієну (GitHub Docs)

стан, коли HEAD указує на коміт, а не на гілку

набір реальних пристроїв — свій або хмарний, — на яких ганяють тести

додавання кроків безпеки до наявного пайплайна розробки заради мети «detect security issues (by design or application vulnerability) as fast as possible» і культури shift-left (OWASP DevSecOps Guideline; формального означення самого терміна джерела не дають)

сінк, що обчислює вхідний рядок так, що недовірене значення дає DOM XSS; у специфікації їх понад 60 (W3C)

атака, у якій пейлоад виконується через зміну DOM-оточення власного клієнтського скрипта сторінки; сама HTTP-відповідь при цьому не змінюється (OWASP)

PR, позначений як чернетка: ревʼю не запитується, мердж заблоковано

не вживатичернетковий PR

кожен фрагмент знання має єдине авторитетне представлення в системі

навмисно вразливий вебзастосунок на PHP/MariaDB — легальний майданчик, щоб перевіряти навички й інструменти та навчати (README)

нетиповий вхід або стан на межі очікуваного, який легко пропустити; канон — латиниця, множина edge cases

не вживатикрайовий випадоккрайові випадкикрайовий кейскрайові сценаріїкрайові форматикрайові перевірки

вузол CDN, найближчий до користувача, який віддає закешований контент

не вживатикрайовий вузолкрайові вузли

конструкція TypeScript, що існує в рантаймі як обʼєкт

схема сутностей і звʼязків між ними

баги, що просочилися у прод попри зелену сюїту (наша назва, dec-0210)

техніка розмови: story → rules → examples → questions

пастка агрегації: зʼєднання 1:N розмножує рядки, і сума рахує їх повторно

не вживатипастка віяла

злиття пересуванням вказівника гілки, коли зливана історія вже є нащадком поточної

не вживатишвидке перемотування

час до появи на екрані першої частини вмісту сторінки

окремий випадок off-by-one: скільки стовпів треба на N прольотів огорожі

не вживатипроблема стовпів і прольотів

промпт із кількома прикладами «вхід → вихід» без донавчання ваг

візуалізація профілю: ширина смуги — частка часу, вкладеність — стек викликів

не вживатиполумʼяний графполум'яний граф

push, що вимикає перевірку «віддалений реф є предком локального»

атака на перебір і доступ до ресурсів, на які застосунок не посилається, але які лишаються досяжними (OWASP)

клієнтський скрипт у самій сторінці, який не дає завантажити її у фреймі (OWASP; WSTG)

директива CSP, що перелічує дозволених батьків, які можуть вбудувати сторінку (MDN)

«known-to-be-dangerous values» під кожен тип даних, які фазер підставляє або комбінує (OWASP)

усталена назва книги «Design Patterns» (1994, 23 патерни) і четвірки її авторів

обʼєкт із надто багатьма незвʼязаними методами й типами (антипатерн)

курований набір входів з еталоном або критерієм для evals

часткове знання структури + перевірка зовнішньої поведінки

не вживатисіра/сіроскриньк-грей-бокссірий ящик

привʼязка відповіді моделі до наданих джерел замість памʼяті ваг

не вживатизаземлення

основний успішний сценарій без помилок і edge case

не вживатищасливий шлях

вказівник на локальну гілку, на якій ти зараз (не перекладається)

неінтерактивний прогін агента без людини в контурі

область памʼяті JVM під обʼєкти; її межу задають ключами -Xmx і -Xms

затримка всієї черги через перший елемент, який не вдається доставити або обробити

приховане поле форми, яке заповнюють лише боти; заповнене поле означає відхилення запиту (OWASP)

алгоритм генерації одноразових паролів на основі HMAC, де рухомий фактор — лічильник (RFC 4226)

заголовок, що зобовʼязує браузер звертатися до хоста лише через HTTPS і сам підвищувати HTTP-спроби (MDN; RFC 6797)

інструмент Mozilla для автоматичної оцінки HTTP-заголовків і налаштувань безпеки сайту (MDN)

вразливість, коли атакувальник дістає або змінює обʼєкти, маніпулюючи ідентифікаторами в URL чи параметрах застосунку, через відсутню перевірку доступу (OWASP)

затримка від взаємодії користувача до наступного намальованого кадру

середовище виконання JS (V8 тощо)

не вживатирушій

вразливий стенд, який піднімають у себе, щоб атакувати легально — активні атаки дозволені лише проти цілі, на тестування якої є дозвіл

простота як мета дизайну: найпростіше рішення, що працює

час рендерингу найбільшого зображення, тексту чи відео у видимій області

наслідок недостатньої санітизації й валідації вводу, що дозволяє зловмисникам вичитувати з каталогу закриту інформацію (OWASP)

елемент плану JMeter, що збирає й показує результати семплів

оцінювання виводу однієї моделі іншою за рубрикою

файл, що обмежує залежності застосунку конкретною попередньо перевіреною версією й дає детерміновану інсталяцію в різних середовищах (OWASP NPM Security; Software Supply Chain Security)

не вживатилок-файл

CSRF проти форми входу; помʼякшується пре-сесіями й токеном у самій формі логіна (OWASP)

запит, який сервер тримає відкритим до появи даних, замість частих опитувань

не вживатидовгий полінг

відкритий стандарт зʼєднання AI-застосунків із зовнішніми системами поверх JSON-RPC 2.0

функція, що навмисно вимагає багато памʼяті, щоб атакувальнику не допомагало нарощування обчислювальних блоків (RFC 9106)

черга, що перевіряє PR проти актуальної цілі й уже наявних у черзі PR

не вживатимерж-черга

коміт із більш ніж одним батьком, результат три-стороннього злиття

та сама частина того самого файлу змінена по-різному у двох зливаних гілках

не вживатиконфлікт злиття

випадкове значення, яке сервер генерує на кожну відповідь і за яким браузер упізнає дозволений скрипт (MDN)

єдине значення заголовка, що забороняє браузеру вгадувати MIME-тип і блокує невідповідні типи для script і style (MDN)

небезпечна побудова обʼєктів запиту або рядків запиту з недовіреного вводу (OWASP)

клас-фабрика стандартних наборів тестових даних

помилка на межі: діапазон або цикл зачіпає на один елемент більше чи менше

не вживатипомилка на одиницю

простий шар ідентичності над OAuth 2.0, що дає клієнту перевірити особу користувача за автентифікацією, виконаною сервером авторизації (OIDC Core 1.0)

канал поза основним обміном: сигнал спрацювання йде окремим протоколом (DNS-запит, HTTP-колбек)

не вживатипозасмуговий

проєкт, що міряє дієвість інструментів виявлення вразливостей; його бал названо критерієм точності при виборі SAST (OWASP)

документ-орієнтир, що фіксує широкий консенсус про найкритичніші ризики безпеки вебзастосунків

клас, що інкапсулює локатори й дії однієї сторінки застосунку; канон — латиниця

не вживатисторінковий обʼєктсторінковий об'єкт

форма MFA, що поєднує фактор володіння з фактором знання або біометрією; стійка до фішингу й без тертя для користувача (OWASP)

перевірка одного слабкого пароля проти великої кількості різних акаунтів, щоб не спрацювало блокування (OWASP)

слабкість, за якої шлях будується із зовнішнього вводу, а спецелементи в ньому не нейтралізовано, тож шлях резолвиться поза дозволеною директорією (CWE-22)

група веб-стандартів і таймлайн для вимірювання продуктивності сторінки

не вживатиAPI вимірювання продуктивності

заголовок, що дозволяє й забороняє можливості браузера в документі та в його iframe (MDN)

пошук в історії коміту, де фрагмент коду зʼявився чи зник (пошук у діфі)

не вживатикайло

механізм захисту публічного клієнта від перехоплення коду авторизації: крадений код без code_verifier на token endpoint не обміняти (RFC 7636)

GUI для покрокового дебагу тестів Playwright

розбір уже завершеного прогону за збереженими артефактами, без повторного запуску

не вживатипосмертнийпіслясмертний

згода власника на включення домену в список попереднього завантаження; вимагає max-age не менше року й includeSubDomains (MDN; OWASP)

перевірка інваріанта на згенерованих даних замість фіксованого набору

перевірна інформація про програмний артефакт — де, коли і як його вироблено (означення SLSA 1.0, цитоване OWASP); генерує його платформа збірки, а не локальна машина