Skip to main content

Acerca del examen de código

Puedes utilizar code scanning para encontrar vulnerabilidades de seguridad y errores en el código de tu proyecto en GitHub.

Code scanning está disponible para todos los repositorios públicos en GitHub.com. Para utilizar code scanning en un repositorio privado que pertenece a una organización, debes tener una licencia para GitHub Advanced Security. Para más información, consulte "Acerca de GitHub Advanced Security".

Acerca de code scanning

Code scanning es una característica que utilizas para analizar el código en un repositorio de GitHub para encontrar vulnerabilidades de seguridad y errores de código. Cualquier problema que se identifique con el análisis se muestra en GitHub Enterprise Cloud.

Puedes utilizar code scanning para encontrar, clasificar y priorizar los arreglos a problemas existentes en tu código. Code scanning también previene a los desarrolladores de introducir nuevos problemas. Puede programar los análisis para días y horas concretos, o bien desencadenarlos cuando se produzca un evento específico en el repositorio, como una inserción.

Si code scanning encuentra una vulnerabilidad potencial o un error en tu código, GitHub mostrará una alerta en el repositorio. GitHub cerrará la alerta una vez que arregles el código que la activó. Para más información, vea "Administración de alertas de code scanning para el repositorio".

Para monitorear los resultados del code scanning a lo largo de tus repositorios o de tu organización, puedes utilizar webhooks y la API del code scanning. Para obtener información sobre los webhooks para code scanning, vea "Eventos y cargas de webhook". Para obtener información sobre los puntos de conexión de API, vea "Code scanning".

Para empezar a trabajar con code scanning, vea "Configuración de code scanning para un repositorio".

Acerca de la facturación de code scanning

Code scanning utiliza GitHub Actions, y cada ejecución de un flujo de trabajo de code scanning consume minutos para GitHub Actions. Para más información, vea "Acerca de la facturación de GitHub Actions".

Acerca de las herramientas para el code scanning

Puedes configurar el code scanning para utilizar el producto de CodeQL que mantiene GitHub o una herramienta de code scanning de un tercero.

Acerca del análisis de CodeQL

CodeQL es el motor de análisis de código que desarrolló GitHub para automatizar las verificaciones de seguridad. Puedes analizar tu código utilizando CodeQL y mostrando los resultados como alertas del code scanning. Para más información sobre CodeQL, vea "Acerca del análisis de código con CodeQL".

Acerca de las herramientas del code scanning de terceros

Code scanning es interoperable con herramientas de escaneo de código de terceros que producen datos de Formato de Intercambio de Resultado de Análisis (SARIF). SARIF es un estándar de código abierto. Para más información, vea "Salida SARIF para code scanning".

Puedes ejecutar herramientas de análisis de terceros dentro de GitHub Enterprise Cloud utilizando acciones o dentro de un sistema de IC externo. Para más información, vea "Configuración del análisis de código para un repositorio" o "Carga de un archivo SARIF en GitHub".