Acerca de las Dependabot alerts para dependencias vulnerables
Una vulnerabilidad es un problema en el código de un proyecto que se puede aprovechar para dañar la confidencialidad, la integridad o la disponibilidad del proyecto o de otros proyectos que usan su código. Las vulnerabilidades varían en tipo, severidad y método de ataque.
Dependabot examina el código cuando se agrega una nueva auditoría a GitHub Advisory Database o el grafo de dependencias de los cambios en un repositorio. Cuando se detectan dependencias vulnerables, se generan Dependabot alerts. Para más información, consulta Acerca de las alertas Dependabot.
En los repositorios donde Dependabot security updates están habilitadas, la alerta también puede contener un vínculo a una solicitud de incorporación de cambios para actualizar el manifiesto o el archivo de bloqueo a la versión mínima que resuelve la vulnerabilidad. Para obtener más información, vea «Sobre las actualizaciones de seguridad de Dependabot».
Puedes habilitar o deshabilitar las Dependabot alerts para:
- Tu cuenta personal
- Tu repositorio
- Tu organización
- Tu empresa
Además, puedes usar las reglas de alerta de Dependabot para evaluar automáticamente las alertas, por lo que puede ignorar automáticamente las alertas y especificar para qué alertas quieres que Dependabot abra solicitudes de cambios. Para obtener información sobre los distintos tipos de reglas de evaluación de prioridades automáticas y si los repositorios son aptos, consulte "Acerca de Evaluación de prioridades automática de Dependabot".
Administración de las Dependabot alerts para la cuenta personal
El propietario de la empresa puede habilitar o deshabilitar las Dependabot alerts para los repositorios. Para más información, consulta Habilitación de Dependabot para la empresa.
Administración de las Dependabot alerts para el repositorio
Puede administrar las Dependabot alerts para el repositorio público, privado o interno.
Predeterminadamente, notificamos a las personas con permisos administrativos, de mantenimiento o de escritura en los repositorios afectados sobre las Dependabot alerts nuevas. GitHub Enterprise Server nunca divulga públicamente las dependencias no seguras de un repositorio. También puedes hacer que las Dependabot alerts sean visibles para más personas o equipos que trabajen en los repositorios que te pertenecen o para los cuales tienes permisos administrativos.
Un propietario de la empresa debe configurar primero Dependabot para su empresa antes de poder administrar Dependabot alerts para el repositorio. Para más información, consulta Habilitación de Dependabot para la empresa.
Habilitación o deshabilitación de las Dependabot alerts para un repositorio
-
En GitHub, navegue hasta la página principal del repositorio.
-
En el nombre del repositorio, haz clic en Configuración. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.
-
En la sección "Security" de la barra lateral, haz clic en Code security and analysis.
-
En "Code security and analysis", a la derecha de Dependabot alerts, haz clic en Enable para habilitar las alertas o en Disable para deshabilitarlas.
Administración de Dependabot alerts para la organización
Puedes habilitar Dependabot alerts para todos los repositorios aptos de la organización. Para más información, consulta Habilitación de características de seguridad a gran escala.
Administración de Dependabot alerts para la empresa
Puedes deshabilitar las Dependabot alerts para todos los repositorios, actuales y futuros, que pertenezcan a organizaciones de la empresa. Los cambios afectan a todos los repositorios.
-
En la esquina superior derecha de GitHub Enterprise Server, haz clic en la foto de perfil y luego en Configuración de empresa.
-
En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.
-
En la barra lateral izquierda, haz clic en Seguridad del código.
-
En la sección "Dependabot", a la derecha de Dependabot alerts, haz clic en Deshabilitar todo o Habilitar todo.
-
Opcionalmente, selecciona Habilitar automáticamente para los nuevos repositorios a fin de habilitar Dependabot alerts de manera predeterminada para los nuevos repositorios de las organizaciones.
