Inicio rápido para proteger el repositorio

Introducción

Esta guía te muestra cómo configurar las características de seguridad para un repositorio. Debes ser un administrador de repositorio o propietario de organización para configurar las caracteristicas de seguridad de un repositorio.

Tus necesidades de seguridad son únicas de tu repositorio, así que puede que no necesites habilitar todas las características de seguridad para este. Para más información, consulta Características de seguridad de GitHub.

Algunas características están disponibles para todos los repositorios. Las características adicionales se encuentran disponibles para las empresas que utilizan la GitHub Advanced Security. Para obtener más información, vea «Acerca de GitHub Advanced Security».

Administrar el acceso a tu repositorio

El primer paso para asegurar un repositorio es establecer quién puede ver y modificar tu código. Para más información, consulta Administrar la configuración y características de tu repositorio.

Desde la página principal del repositorio, haz clic en Settings y, después, desplázate hasta "Danger Zone".

• Para cambiar quién puede ver el repositorio, haga clic en Change visibility. Para más información, consulta Configurar la visibilidad de un repositorio.
• Para cambiar quién puede acceder al repositorio y ajustar los permisos, haga clic en Manage access. Para obtener más información, consulta Administración de equipos y personas con acceso al repositorio.

Administrar la gráfica de dependencias

Los propietarios de la empresa pueden configurar el gráfico de dependencias y Dependabot alerts para una empresa. Para más información, consulta "Habilitación del gráfico de dependencias para la empresa" y "Habilitación de Dependabot para la empresa".

Para más información, consulta Explorar las dependencias de un repositorio.

Administrar las Dependabot alerts

Las Dependabot alerts se generan cuando GitHub identifica una dependencia que presenta una vulnerabilidad en la gráfica de dependencias.

Además, puedes usar las reglas de alerta de Dependabot para evaluar automáticamente las alertas, por lo que puede ignorar automáticamente las alertas y especificar para qué alertas quieres que Dependabot abra solicitudes de cambios. Para obtener información sobre los distintos tipos de reglas de evaluación de prioridades automáticas y si los repositorios son aptos, consulte "Acerca de Evaluación de prioridades automática de Dependabot".

Para obtener información general sobre las diferentes características que ofrece Dependabot e instrucciones sobre cómo empezar, consulta «Guía de inicio rápido de Dependabot».

Los propietarios de la empresa deben configurar el gráfico de dependencias y las Dependabot alerts para una empresa.

Una vez configuradas las Dependabot alerts, los administradores de repositorios y los propietarios de organizaciones pueden habilitar Dependabot alerts para repositorios privados e internos en su página de configuración "Code security and analysis". Los repositorios públicos están habilitados de forma predeterminada. Para obtener más información, consulta "Habilitación del gráfico de dependencias para la empresa", "Habilitación de Dependabot para la empresa" y "Configuración de alertas de Dependabot".

Para más información, consulta Acerca de las alertas Dependabot.

Administrar la revisión de dependencias

La revisión de dependencias te permite visualizar los cambios a las dependencias en las solicitudes de cambios antes de que se fusionen con tus repositorios. Para más información, consulta Acerca de la revisión de dependencias.

La revisión de dependencias es una característica de la GitHub Advanced Security. Para habilitar la revisión de dependencias para un repositorio , asegúrese de que la gráfica de dependencias se encuentre habilitada y habilite la GitHub Advanced Security.

1. Desde la página principal del repositorio, haz clic en Configuración.
2. Haz clic en Code security and analysis.
3. Comprueba que tu empresa tenga configurado el gráfico de dependencias.
4. If GitHub Advanced Security aún no está habilitado, haga clic en Enable.

Administrar las Dependabot security updates

En el caso de cualquier repositorio que utilice las Dependabot alerts, puedes habilitar las Dependabot security updates para levantar solicitudes de cambio con actualizaciones de seguridad cuando se detectan las vulnerabilidades.

1. Desde la página principal del repositorio, haz clic en Configuración.
2. Haz clic en Code security and analysis.
3. Junto a Dependabot security updates, haga clic en Enable.

Para más información, consulta Sobre las actualizaciones de seguridad de Dependabot y Configuración de actualizaciones de seguridad de Dependabot.

Administrar las Dependabot version updates

Puedes habilitar el Dependabot para levantar automáticamente las solicitudes de cambios para mantener tus dependencias actualizadas. Para más información, consulta Acerca de las actualizaciones a la versión del Dependabot.

Para habilitar Dependabot version updates, debes crear un archivo de configuración dependabot.yml. Para más información, consulta Configuración de las actualizaciones de versiones de Dependabot.

Configuración de code scanning

Puedes configurar el code scanning para que identifique automáticamente las vulnerabilidades y los errores en el código que se almacena en tu repositorio si utilizas un Flujo de trabajo de análisis de CodeQL o una herramienta de terceros. En función de los lenguajes de programación del repositorio, puede configurar code scanning con CodeQL mediante la configuración predeterminada, en la que GitHub determina automáticamente los idiomas que se van a examinar, los conjuntos de consultas que se van a ejecutar y los eventos que desencadenarán un nueva digitalización. Para más información, consulta Establecimiento de la configuración predeterminada para el examen del código.

1. Desde la página principal del repositorio, haz clic en Configuración.
2. En la sección "Security" de la barra lateral, haz clic en Code security and analysis.
3. En la sección "Code scanning", selecciona Configurar y, después, haz clic en Predeterminado.
4. En la ventana emergente que aparece, revisa los valores de configuración predeterminados del repositorio y, después, haz clic en Habilitar CodeQL .

Como alternativa, puedes usar la configuración avanzada, que genera un archivo de flujo de trabajo que puedes editar para personalizar el code scanning con CodeQL. Para más información, consulta Establecimiento de la configuración avanzada para el examen del código.

Configurar el secret scanning

Secret scanning está disponible para los repositorios siguientes:

• Repositorios propiedad de la organización con GitHub Advanced Security habilitado
• Repositorios propiedad del usuario para una empresa con GitHub Advanced Security habilitado

1. Desde la página principal del repositorio, haz clic en Configuración.

2. Haz clic en Code security and analysis.

3. Si GitHub Advanced Security todavía no está habilitado, haz clic en Habilitar.

4. Haga clic en Enable junto a Secret scanning.

Configurar una política de seguridad

Si eres un mantenedor de repositorios, se recomienda especificar una directiva de seguridad para el repositorio mediante la creación de un archivo denominado SECURITY.md en el repositorio. Este archivo indica a los usuarios la mejor forma de ponerse en contacto y colaborar contigo cuando quieran notificar vulnerabilidades de seguridad en el repositorio. Puedes ver la directiva de seguridad de un repositorio en la pestaña Seguridad del repositorio.

1. Desde la página principal del repositorio, haz clic en Security.
2. Haga clic en Security policy.
3. Haga clic en Iniciar configuración.
4. Agrega información sobre las versiones compatibles con tu proyecto y de cómo reportar las vulnerabilidades.

Para más información, consulta Agregar una política de seguridad a tu repositorio.

Pasos siguientes

Puedes ver y administrar las alertas de las características de seguridad para abordar dependencias y vulnerabilidades en tu código. Para más información, consulta Visualización y actualización de alertas de Dependabot, Administrar las solicitudes de extracción para las actualizaciones de dependencia, Evaluación de alertas de análisis de código para el repositorio y Administración de alertas del examen de secretos.

También puedes usar las herramientas de GitHub para auditar las respuestas a las alertas de seguridad. Para más información, consulta Auditoría de alertas de seguridad.

Si usa GitHub Actions, puede usar las características de seguridad de GitHub que puede usar para aumentar la seguridad de los flujos de trabajo. Para obtener más información, vea «Uso de las características de seguridad de GitHub para proteger el uso de Acciones de GitHub».