Cartero

Cartero est désormais un CLI Go avec une base de données d'espace de travail intégrée et sans configuration, remplaçant l'ancien runtime dépendant de MongoDB.

L'implémentation actuelle fournit :

• une expérience terminale soignée propulsée par Cobra et Lip Gloss
• une interface web d'administration locale et des pages de test sécurisées via cartero serve
• des commandes de validation et de prévisualisation de campagnes sécurisées par défaut
• un magasin d'espace de travail SQLite intégré dans .cartero/cartero.sqlite
• des plugins propriétaires pour l'amorçage de modèles, l'importation de clones, la synchronisation d'audience, l'exportation d'analyses et l'enregistrement d'engagement
• import normalisé de résultats depuis CSV, JSON, SARIF et JSONL
• migration à sens unique des exportations MongoDB héritées vers l'espace de travail actuel
• tests unitaires, CLI et de conformité avec un workflow de test de fumée
• empaquetage reproductible avec GoReleaser, Docker et GitHub Actions

Modèle d'espace de travail

Cartero conserve l'état local dans l'espace de travail actif :

• .cartero/cartero.sqlite : magasin d'état SQLite intégré
• plugins/ : manifests de plugins synchronisés
• drafts/ : brouillons de campagnes générés à partir de messages examinés
• exports/ : exportations d'analyses

Il n'y a aucune base de données externe à installer ou à gérer. Les espaces de travail existants basés sur Bolt sont migrés automatiquement vers SQLite lors de la première ouverture.

Démarrage rapide

make bootstrap
make build

./dist/cartero --plain workspace init
./dist/cartero init campaign.yaml
./dist/cartero --plain validate -f campaign.yaml
./dist/cartero --plain preview -f campaign.yaml
./dist/cartero serve --addr 127.0.0.1:8080
./dist/cartero --plain template list
./dist/cartero --plain finding list
./dist/cartero --plain plugin list

Exécutez depuis un répertoire imbriqué ou une session shell externe avec --root /path/to/workspace pour forcer la résolution de l'espace de travail.

Commandes

cartero workspace init       Bootstrap the embedded workspace
cartero workspace status     Show database and workspace counts
cartero init                 Write a starter campaign file
cartero preview              Render a styled readiness overview and persist a snapshot
cartero validate             Lint a campaign definition and persist a snapshot
cartero serve                Run the local admin UI and safe testing pages
cartero template list        Browse the seeded template library
cartero template show        Inspect a template in detail
cartero audience import      Import a CSV segment into the workspace
cartero audience list        List stored audience members
cartero import clone         Convert a reviewed message into a safe draft campaign
cartero finding import       Normalize external findings into the workspace
cartero finding list         List imported findings
cartero migrate mongo-export Import legacy Mongo export files into SQLite
cartero event record         Record engagement telemetry
cartero event list           List stored engagement events
cartero report export        Export workspace analytics to JSON or CSV
cartero plugin list          Show installed plugin manifests
cartero plugin sync          Sync built-in plugin manifests and template seed data
cartero doctor               Inspect local workspace health
cartero version              Print build metadata

Plugins intégrés

Le dépôt est livré avec ces plugins propriétaires :

• local-preview
• template-library
• clone-importer
• analytics-export
• audience-sync
• engagement-recorder

Leurs manifestes se trouvent dans plugins/ et leur contrat est documenté dans PLUGIN.md.

Modèle de campagne

Les campagnes sont des fichiers YAML décrivant un plan d'exercice de sensibilisation. Cartero valide la structure et applique des contrôles de sécurité locaux :

• capture_credentials doit rester false
• allow_external_links doit rester false
• l'approbation du gestionnaire est requise pour les exercices marqués comme high risque

Commencez par configs/campaign.example.yaml.

Résultats et migration

Cartero peut corréler les sorties de scanners externes avec le même espace de travail local utilisé pour les campagnes et les événements :

./dist/cartero --plain finding import --file scans/nuclei.jsonl --source nightly-nuclei
./dist/cartero --plain finding list --tool nuclei
./dist/cartero --plain migrate mongo-export --path legacy-export

Le chemin de migration héritée importe les anciens fichiers d'exportation Mongo pour les personnes et les résultats, et convertit les artefacts d'identifiants hérités en résultats expurgés au lieu de transmettre les valeurs brutes soumises.

Développement

make fmt
make vet
make test
make smoke

Le CI s'exécute sur push et pull request via ci.yml. Les versions étiquetées sont empaquetées par release.yml à l'aide de .goreleaser.yaml.