Skip to main content

Esta versión de GitHub Enterprise Server se discontinuará el 2024-08-29. No se realizarán lanzamientos de patch, ni siquiera para problemas de seguridad críticos. Para obtener rendimiento mejorado, seguridad mejorada y nuevas características, actualice a la versión más reciente de GitHub Enterprise Server. Para obtener ayuda con la actualización, póngase en contacto con el soporte técnico de GitHub Enterprise.

Evaluación de la configuración predeterminada para el examen de código

Información sobre cómo evaluar cómo funciona el análisis de código y cómo se puede personalizar la configuración para satisfacer mejor las necesidades de seguridad de código.

¿Quién puede utilizar esta característica?

Code scanning está disponible para repositorios que son propiedad de una organización en GitHub Enterprise Server. Esta característica requiere una licencia para la GitHub Advanced Security. Para obtener más información, vea «Acerca de GitHub Advanced Security».

Cuando empieces a usar code scanning, es probable que uses la configuración predeterminada. En esta guía se describe cómo evaluar cómo funciona la configuración predeterminada de code scanning y qué pasos deben realizarse si algo no funciona según lo previsto. En esta guía también se describe cómo puede personalizarse code scanning si se encuentra un caso de uso específico que no se ajusta a la nueva configuración.

Personalización de code scanning

Al establecer por primera vez la configuración predeterminada, o después de un análisis inicial del código, puede editarse el conjunto de consultas que se ejecutará durante el análisis. El conjunto de consultas default contiene un conjunto de consultas diseñadas cuidadosamente para buscar los problemas de seguridad más relevantes, a la vez que minimiza los resultados falsos positivos. Sin embargo, se puede usar el conjunto security-extended para ejecutar consultas adicionales, que tienen una precisión ligeramente inferior. Para obtener más información sobre los conjuntos de consultas disponibles, consulta "Conjuntos de consultas codeQL".

Para obtener más información sobre cómo personalizar la configuración predeterminada, consulta "Editar la configuración predeterminada".

Uso de la configuración avanzada

Si se considera que todavía es necesario un control más granular sobre code scanning, se puede usar la configuración avanzada. La configuración avanzada requiere mucho más esfuerzo para configurar, personalizar y mantener, por lo que se recomienda habilitar primero la configuración predeterminada. Para obtener más información sobre la configuración avanzada, consulta "Establecimiento de la configuración avanzada para el examen del código" y "Personalización de la configuración avanzada para el examen de código".

Evaluación de code scanning con página de estado de la herramienta

La página de estado de la herramienta muestra información útil sobre todas las herramientas de code scanning. Se puede usar para investigar si las herramientas individuales funcionan para un repositorio, cuando los archivos del repositorio se examinaron por primera vez y más recientemente, y cuando se programan los próximos exámenes. También es un punto de partida útil para los problemas de depuración.

Mediante página de estado de la herramienta, se puede descargar la lista de reglas con las que code scanning está realizando la verificación, en formato CSV. Para herramientas integradas, como CodeQL, también se puede ver información más detallada, incluido un porcentaje de archivos examinados y mensajes de error específicos.

Si se considera que la configuración predeterminada no examina todos los archivos, es posible que se tenga que personalizar code scanning. Para obtener más información, consulta "Personalización del examen de código" en este artículo. Como alternativa, o si algo más no funciona según lo previsto, se puede buscar en nuestra documentación de solución de problemas dedicada útil. Para obtener más información, consulta "Solucionar problemas del escaneo de código".

Para obtener más información sobre página de estado de la herramienta, consulta "Acerca de la página de estado de la herramienta para el examen de código".