Skip to main content
We publish frequent updates to our documentation, and translation of this page may still be in progress. For the most current information, please visit the English documentation.

Acerca de las alertas de análisis de código

Obtén información sobre los diferentes tipos de alertas de análisis de código y la información que te ayuda a comprender el problema que resalta cada alerta.

Code scanning está disponible para repositorios que son propiedad de una organización en GitHub Enterprise Server. Esta característica requiere una licencia para la GitHub Advanced Security. Para más información, consulte "Acerca de GitHub Advanced Security".

Nota: El administrador del sitio debe habilitar code scanning para your GitHub Enterprise Server instance para puedas utilizar esta característica. Para más información, vea "Configuración de code scanning para el dispositivo".

Acerca de las alertas de code scanning

Puedes configurar el code scanning para comprobar el código en un repositorio utilizando el análisis predeterminado de CodeQL, un análisis de terceros o varios tipos de análisis. Cuando se complete el análisis, las alertas resultantes se mostrarán unas junto a otras en la vista de seguridad del repositorio. Los resultados de las herramientas de terceros o de las consultas personalizadas podrían no incluir todas las propiedades que ves para las alertas que se detectan con el análisis predeterminado del CodeQL de GitHub. Para más información, consulta "Configuración de code scanning para un repositorio".

Predeterminadamente, el code scanning analiza tu código periódicamente en la rama predeterminada y durante las solicitudes de cambios. Para obtener información sobre cómo administrar alertas en una solicitud de incorporación de cambios, vea "Evaluación de prioridades de las alertas de code scanning en las solicitudes de incorporación de cambios".

Acerca de los detalles de la alerta

Cada alerta resalta un problema en el código y el nombre de la herramienta que lo identificó. Puedes ver la línea de código que ha desencadenado la alerta, así como las propiedades de la misma, tales como la gravedad de alerta, la gravedad de seguridad y la naturaleza del problema. Las alertas también te dicen si el problema se introdujo por primera vez. Para las alertas que identificó el análisis de CodeQL, también verás información de cómo arreglar elproblema.

El estado y los detalles de la página de alertas solo reflejan el estado de la alerta en la rama predeterminada del repositorio, incluso si la alerta existe en otras ramas. Puede ver el estado de la alerta en ramas no predeterminadas en la sección Ramas afectadas del lado derecho de la página de alertas. Si una alerta no existe en la rama predeterminada, el estado de la alerta se mostrará como "en la solicitud de incorporación de cambios" o "en la rama", y tendrá un color gris.

Alerta de ejemplo de code scanning

Si configuras code scanning mediante CodeQL, también puede encontrar problemas de flujo de datos en el código. El análisis de flujo de datos encuentra problemas de seguridad potenciales en el código, tales como: utilizar los datos de formas no seguras, pasar argumentos peligrosos a las funciones y tener fugas de información sensible.

Cuando code scanning reporta alertas de flujo de datos, GitHub te muestra como se mueven los datos a través del código. El Code scanning te permite identificar las áreas de tu código que filtran información sensible y que podrían ser el punto de entrada para los ataques que hagan los usuarios malintencionados.

Acerca de los niveles de gravedad

Los niveles de gravedad de la alerta pueden ser Error, Warning o Note.

Si code scanning está habilitado como una comprobación de solicitud de incorporación de cambios, se producirá un error en la comprobación si detecta resultados con una gravedad de error. Puedes especificar qué nivel de gravedad de las alertas de análisis de código provocan un error de comprobación. Para más información, consulta "Personalización de code scanning".

Acerca de los niveles de gravedad

El Code scanning muestra los niveles de gravedad de seguridad para las alertas que generan las consultas de seguridad. Los niveles de gravedad de seguridad pueden ser Critical, High, Medium o Low.

Para calcular la gravedad de seguridad de una alerta, utilizamos los datos del Sistema de Puntuación para Vulnerabilidades Comunes (CVSS). El CVSS es un marco de trabajo de código abierto para comunicar las características y gravedad de las vulnerabilidades de software y otros productos de seguridad lo utilizan habitualmente para puntuar las alertas. Para más información sobre cómo se calculan los niveles de gravedad, vea esta entrada de blog.

De manera predeterminada, cualquier resultado de code scanning con una gravedad de seguridad de Critical o High provocará un error de comprobación. Puede especificar qué nivel de gravedad de seguridad para los resultados de code scanning debe provocar un error de comprobación. Para más información, consulta "Personalización de code scanning".

Acerca de los orígenes de análisis

Puedes ejecutar varias configuraciones de análisis de código en un repositorio mediante distintas herramientas y destinadas a diferentes lenguajes o áreas del código. Cada configuración del análisis de código es el origen del análisis de todas las alertas que genera. Por ejemplo, una alerta generada mediante el análisis de CodeQL predeterminado con Acciones de GitHub tendrá un origen de análisis diferente al de una alerta generada externamente y cargada mediante la API de análisis de código.

Si usa varias configuraciones para analizar un archivo, los problemas detectados por la misma consulta se notifican como alertas con varios orígenes de análisis. Si una alerta tiene más de un origen de análisis, aparecerá un icono junto a cualquier rama pertinente de la sección Ramas afectadas en el lado derecho de la página de alertas. Puede mantener el puntero sobre el icono para ver los nombres de cada origen de análisis y el estado de la alerta para ese origen de análisis. También puede ver el historial de cuándo han aparecido las alertas en cada origen de análisis en la escala de tiempo de la página de alertas. Si una alerta solo tiene un origen de análisis, no se muestra información sobre los orígenes de análisis en la página de alertas.

Alerta de análisis de código con varios orígenes de análisis

Nota: En ocasiones una alerta de análisis de código se muestra como fija para un origen de análisis, pero sigue abierta para un segundo origen de análisis. Para resolverlo, vuelva a ejecutar la segunda configuración de análisis de código para actualizar el estado de alerta de ese origen de análisis.

Acerca de las etiquetas para las alertas que no se encuentran en el código de la aplicación

GitHub Enterprise Server asigna una etiqueta de categoría a las alertas que no se encuentran en el código de aplicación. La etiqueta se relaciona con la ubicación de la alerta.

  • Generada: código generado por el proceso de compilación
  • Prueba: código de prueba
  • Biblioteca: biblioteca o código de terceros
  • Documentación: documentación

El Code scanning categoriza los archivos por sus rutas. No puedes categorizar los archivos de origen manualmente.

Este es un ejemplo de la lista de alertas de code scanning para una alerta marcada como procedente de código de biblioteca.

Alerta de librería del escaneo de código en la lista

En la página de alertas, puede ver si la ruta se marca como código de biblioteca (la etiqueta Library).

Detalles de la alerta de librería del escaneo de código