# Guide de démarrage rapide pour sécuriser votre référentiel Gérer l’accès à votre code. Identifiez et corrigez automatiquement les codes et les dépendances vulnérables. ## Présentation Ce guide vous montre comment configurer des fonctionnalités de sécurité pour un dépôt. Vos besoins en matière de sécurité étant propres à votre dépôt, il ne vous est peut-être pas nécessaire d’activer chaque fonctionnalité pour celui-ci. Pour plus d’informations, consultez « [fonctionnalités de sécurité GitHub](/fr/enterprise-server@3.22/code-security/getting-started/github-security-features) ». Certaines fonctionnalités sont disponibles pour tous les dépôts. Des fonctionnalités supplémentaires sont disponibles pour les organisations et les entreprises qui utilisent GitHub Secret Protection, GitHub Code Security, or GitHub Advanced Security. Les fonctionnalités Pour plus d’informations, consultez « [À propos de GitHub Advanced Security](/fr/enterprise-server@3.22/get-started/learning-about-github/about-github-advanced-security) ». ## Gestion de l’accès à votre dépôt La première étape de la sécurisation d’un dépôt consiste à choisir qui peut voir et modifier votre code. Pour plus d’informations, consultez « [Gestion des paramètres et des fonctionnalités de votre référentiel](/fr/enterprise-server@3.22/repositories/managing-your-repositorys-settings-and-features) ». Dans la page principale de votre référentiel, cliquez sur ** Paramètres**, puis faites défiler jusqu’à la zone de danger. * Pour changer qui peut voir votre dépôt, cliquez sur **Changer la visibilité**. Pour plus d’informations, consultez « [Définition de la visibilité du dépôt](/fr/enterprise-server@3.22/repositories/managing-your-repositorys-settings-and-features/managing-repository-settings/setting-repository-visibility) ». * Pour changer qui peut accéder à votre dépôt et ajuster les autorisations, cliquez sur **Gérer l’accès**. Pour plus d’informations, consultez « [Gestion des équipes et des personnes ayant accès à votre dépôt](/fr/enterprise-server@3.22/repositories/managing-your-repositorys-settings-and-features/managing-repository-settings/managing-teams-and-people-with-access-to-your-repository) ». ## Gestion du graphe de dépendances Les propriétaires d’entreprise peuvent configurer le graphique des dépendances et Dependabot alerts pour une entreprise. Pour plus d’informations, consultez [Activation du graphe de dépendances pour votre entreprise](/fr/enterprise-server@3.22/code-security/how-tos/secure-at-scale/configure-enterprise-security/configure-specific-tools/enable-dependency-graph) et [Activation de Dependabot pour votre entreprise](/fr/enterprise-server@3.22/admin/configuring-settings/configuring-github-connect/enabling-dependabot-for-your-enterprise). Pour plus d’informations, consultez « [Activation du graphe de dépendances](/fr/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/enable-dependency-graph#enabling-the-dependency-graph-for-a-repository) ». ## Gestion Dependabot alerts Dependabot alerts sont générés lorsque GitHub identifie une dépendance dans le graphe de dépendance avec une vulnérabilité. De plus, vous pouvez utiliser Règles de triage automatique de Dependabot pour gérer vos alertes à grande échelle, afin d’ignorer automatiquement certaines alertes ou de les mettre en veille, et de préciser pour quelles alertes vous souhaitez que Dependabot ouvre des pull requests. Pour plus d’informations sur les différents types de règles de triage automatique et pour savoir si vos référentiels sont éligibles, consultez [Règles de triage automatique de Dependabot](/fr/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules). Pour obtenir une vue d’ensemble des différentes fonctionnalités proposées par Dependabot et des instructions sur la prise en main, consultez [Guide de démarrage rapide Dependabot](/fr/enterprise-server@3.22/code-security/tutorials/secure-your-dependencies/dependabot-quickstart). Les propriétaires de l’entreprise doivent configurer le graphe de dépendances et Dependabot alerts au sein de l’entreprise. Une fois Dependabot alerts configurés, les administrateurs de référentiels et les propriétaires d’organisations peuvent activer Dependabot alerts les référentiels privés et internes dans leur page de paramètres «Advanced Security ». Les dépôts publics sont activés par défaut. Pour plus d’informations, consultez [Activation du graphe de dépendances pour votre entreprise](/fr/enterprise-server@3.22/code-security/how-tos/secure-at-scale/configure-enterprise-security/configure-specific-tools/enable-dependency-graph), [Activation de Dependabot pour votre entreprise](/fr/enterprise-server@3.22/admin/configuring-settings/configuring-github-connect/enabling-dependabot-for-your-enterprise) et [Configuration d’alertes Dependabot](/fr/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts). Pour plus d’informations, consultez [Alertes Dependabot](/fr/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependabot-alerts). ## Gestion de la révision des dépendances La révision des dépendances vous permet de visualiser les modifications de dépendance dans les demandes de tirage (pull request) avant qu’elles ne soient fusionnées dans vos dépôts. Pour plus d’informations, consultez « [Vérification des dépendances](/fr/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependency-review) ». La révision des dépendances est une GitHub Code Security fonctionnalité. Pour activer la révision des dépendances pour un référentiel, vérifiez que le graphique de dépendances est activé. 1. Dans la page principale de votre référentiel, cliquez sur ** Paramètres**. 2. Cliquez sur **Advanced Security**. 3. Vérifiez que le graphique de dépendances est configuré pour votre entreprise. ## Gestion Dependabot security updates Pour tous les référentiels qui utilisent Dependabot alerts, vous pouvez activer Dependabot security updates pour déclencher des demandes de tirage avec des mises à jour de sécurité lorsque des vulnérabilités sont détectées. 1. Dans la page principale de votre référentiel, cliquez sur ** Paramètres**. 2. Cliquez sur **Advanced Security**. 3. En regard de Dependabot security updates, cliquez sur **Activer**. Pour plus d’informations, consultez « [Mises à jour de sécurité Dependabot](/fr/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependabot-security-updates) » et « [Configuration des mises à jour de sécurité Dependabot](/fr/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates) ». ## Gestion Dependabot version updates Vous pouvez activer Dependabot pour déclencher automatiquement des requêtes de tirage afin de garder vos dépendances à jour. Pour plus d’informations, consultez « [Mises à jour des versions Dependabot](/fr/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependabot-version-updates) ». Pour activer Dependabot version updates, vous devez créer un `dependabot.yml` fichier de configuration. Pour plus d’informations, consultez « [Configuration de mises à jour de version Dependabot](/fr/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates) ». ## Configuration de Code Security GitHub Code Security inclut code scanning, CodeQL CLI et Copilot correction automatique, ainsi que d’autres fonctionnalités qui recherchent et corrigent les vulnérabilités dans votre codebase. Vous pouvez configurer code scanning pour identifier automatiquement les vulnérabilités et les erreurs dans le code stocké dans votre référentiel à l’aide d’un Workflow d’analyse CodeQL ou d’un outil tiers. Selon les langages de programmation de votre référentiel, vous pouvez configurer code scanning avec CodeQL l’installation par défaut, dans laquelle GitHub détermine automatiquement les langages à analyser, les suites de requêtes à exécuter et les événements qui déclenchent une nouvelle analyse. Pour plus d’informations, consultez « [Définition de la configuration par défaut pour l’analyse du code](/fr/enterprise-server@3.22/code-security/how-tos/find-and-fix-code-vulnerabilities/configure-code-scanning/configure-code-scanning) ». 1. Dans la page principale de votre référentiel, cliquez sur ** Paramètres**. 2. Dans la section « Sécurité » de la barre latérale, cliquez sur **Advanced Security**. 3. Si «Code Security » ou «GitHub Advanced Security » n’est pas déjà activé, cliquez sur **Activer**. 4. À droite de « Analyse CodeQL », sélectionnez **Configurer**, puis cliquez sur **Par défaut**. 5. Dans la fenêtre contextuelle qui s’affiche, passez en revue les paramètres de configuration par défaut de votre référentiel, puis cliquez sur **Activer CodeQL**. Comme alternative à la configuration par défaut, vous pouvez utiliser la configuration avancée, qui génère un fichier de workflow que vous pouvez modifier pour personnaliser votre code scanning avec CodeQL. Pour plus d’informations, consultez « [Configuration avancée de l’analyse du code](/fr/enterprise-server@3.22/code-security/how-tos/find-and-fix-code-vulnerabilities/configure-code-scanning/configuring-advanced-setup-for-code-scanning#configuring-advanced-setup-for-code-scanning-with-codeql) ». ## Configuration de Secret Protection GitHub Secret Protection inclut secret scanning et la protection contre les poussées (push protection), ainsi que d'autres fonctionnalités qui vous aident à détecter et à prévenir les fuites de secrets dans votre dépôt. 1. Dans la page principale de votre référentiel, cliquez sur ** Paramètres**. 2. Cliquez sur **Advanced Security**. 3. Si «Secret Protection » ou «GitHub Advanced Security » n’est pas déjà activé, cliquez sur **Activer**. 4. Si l’option «Secret scanning » s’affiche, cliquez sur **Activer**. 5. Choisissez si vous souhaitez activer des fonctionnalités supplémentaires, telles que l’analyse des modèles génériques et la protection push. ## Définition d’une stratégie de sécurité Si vous êtes un mainteneur de dépôt, il est recommandé de spécifier une stratégie de sécurité pour votre dépôt en créant un fichier nommé `SECURITY.md` dans le dépôt. Ce fichier indique aux utilisateurs comment vous contacter et collaborer avec vous lorsqu’ils souhaitent signaler des vulnérabilités de sécurité dans votre dépôt. Vous pouvez afficher la stratégie de sécurité d’un référentiel à partir de l’onglet du ** Security** référentiel. 1. Dans la page principale de votre dépôt, cliquez sur ** Security**. 2. Dans la barre latérale gauche, sous « Création de rapports », cliquez sur ** Stratégie de sécurité**. 3. Cliquez sur **Démarrer la configuration**. 4. Ajoutez des informations sur les versions prises en charge de votre projet et sur la façon de signaler les vulnérabilités. Pour plus d’informations, consultez « [Ajout d’une stratégie de sécurité à votre dépôt](/fr/enterprise-server@3.22/code-security/how-tos/report-and-fix-vulnerabilities/configure-vulnerability-reporting/add-security-policy) ». ## Étapes suivantes Vous pouvez afficher et gérer les alertes à partir des fonctionnalités de sécurité pour résoudre les dépendances et les vulnérabilités dans votre code. Pour plus d’informations, consultez [Affichage et mise à jour des alertes Dependabot](/fr/enterprise-server@3.22/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts), [Gestion des demandes de tirage (pull request) pour les mises à jour des dépendances](/fr/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/manage-dependabot-prs), [Évaluation des alertes d’analyse du code pour votre référentiel](/fr/enterprise-server@3.22/code-security/how-tos/manage-security-alerts/manage-code-scanning-alerts/assess-alerts) et [Gérer les alertes d’analyse des secrets](/fr/enterprise-server@3.22/code-security/how-tos/manage-security-alerts/manage-secret-scanning-alerts). Vous pouvez également utiliser les outils de l’outil GitHubpour auditer les réponses aux alertes de sécurité. Pour plus d’informations, consultez « [Audit des alertes de sécurité](/fr/enterprise-server@3.22/code-security/concepts/security-at-scale/audit-security-alerts) ». Si vous utilisez GitHub Actions, vous pouvez utiliser les fonctionnalités de sécurité de GitHub pour renforcer la sécurité de vos flux de travail. Pour plus d’informations, consultez « [Informations de référence sur l’utilisation sécurisée](/fr/enterprise-server@3.22/actions/reference/security/secure-use) ».