Habilitación de Dependabot para la empresa

Acerca de Dependabot para GitHub Enterprise Server

Dependabot ayuda a que los usuarios de tu instancia de GitHub Enterprise Server busquen y corrijan vulnerabilidades en sus dependencias.. Primero puedes habilitar Dependabot alerts para informar a los usuarios de las dependencias vulnerables y Dependabot updates para corregir las vulnerabilidades y mantener actualizadas las dependencias en la versión más reciente.

Dependabot es solo una de las numerosas características disponibles para proteger la seguridad de la cadena de suministro de tu instancia de GitHub Enterprise Server. Para obtener más información sobre las otras características, consulta "Acerca de la seguridad de la cadena de suministro para la empresa".

Acerca de Dependabot alerts

Con Dependabot alerts, GitHub identifica las dependencias no seguras en los repositorios y crea alertas sobre tu instancia de GitHub Enterprise Server usando datos de GitHub Advisory Database y el servicio de gráfico de dependencias.

Agregamos asesorías a la GitHub Advisory Database desde los siguientes orígenes:

• Asesorías de seguridad que se reportan en GitHub
• La base de datos de vulnerabilidades nacional
• La base de datos de advertencias de seguridad de npm
• La base de datos FriendsOfPHP
• La base de datos Go Vulncheck
• La base de datos de asesoramiento de empaquetado de Python
• La base de datos de asesoramiento de Ruby
• La base de datos de asesoramiento de RustSec
• Aportaciones de la comunidad. Para más información, vea https://github.com/github/advisory-database/pulls.

Si conoce otra base de datos de la que deberíamos importar avisos, háganoslo saber si abre un problema en https://github.com/github/advisory-database.

Después de que habilite Dependabot alerts para tu empresa, los datos de vulnerabilidad se sincronizan desde GitHub Advisory Database a tu instancia una vez cada hora. Únicamente se sincronizan las asesorías que revisa GitHub. Para obtener más información, vea «Exploración de los avisos de seguridad en GitHub Advisory Database».

También puedes elegir sincronizar manualmente los datos de vulnerabilidad en cualquier momento. Para obtener más información, vea «Visualización de los datos de vulnerabilidad de la empresa».

Cuando tu instancia de GitHub Enterprise Server recibe información sobre una vulnerabilidad, identifica los repositorios de tu instancia de GitHub Enterprise Server en los que se usa la versión afectada de la dependencia y genera Dependabot alerts. Puedes elegir si quieres notificar a los usuarios automáticamente acerca de las Dependabot alerts nuevas o no.

Para los repositorios que cuenten con las Dependabot alerts habilitadas, el escaneo se activa en cualquier subida a la rama predeterminada. Además, cuando se agrega un nuevo registro de vulnerabilidad a tu instancia de GitHub Enterprise Server, GitHub Enterprise Server examina todos los repositorios existentes en tu instancia de GitHub Enterprise Server y genera alertas relativas a cualquier repositorio vulnerable. Para obtener más información, vea «Acerca de las alertas Dependabot».

Acerca de Dependabot updates

Después de habilitar Dependabot alerts, puede habilitar Dependabot updates. Cuando se habilitan Dependabot updates para tu instancia de GitHub Enterprise Server, los usuarios pueden configurar los repositorios para que sus dependencias se actualicen y se mantengan seguras de forma automática.

De forma predeterminada, los ejecutores de GitHub Actions que usa Dependabot necesitan acceso a Internet para descargar paquetes actualizados de administradores de paquetes ascendentes. Para Dependabot updates con tecnología de GitHub Connect, el acceso a Internet proporciona a los ejecutores un token que permite el acceso a dependencias y avisos hospedados en GitHub.com.

Puedes habilitar las Dependabot updates de registros privados específicos en instancias de GitHub Enterprise Server que tienen acceso limitado a Internet (o directamente no tienen). Para obtener más información, vea «Configuración de Dependabot para funcionar con un acceso limitado a Internet».

Con Dependabot updates, GitHub crea automáticamente solicitudes de incorporación de cambios para actualizar las dependencias de dos maneras.

• Dependabot version updates : los usuarios agregan un archivo de configuración de Dependabot al repositorio a fin de habilitar Dependabot para crear solicitudes de incorporación de cambios cuando se publique una versión nueva de una dependencia de la que se realiza el seguimiento. Para obtener más información, vea «Acerca de las actualizaciones a la versión del Dependabot».
• Dependabot security updates : los usuarios pueden alternar un valor del repositorio a fin de habilitar Dependabot para crear solicitudes de incorporación de cambios cuando GitHub detecte una vulnerabilidad en una de las dependencias del gráfico de dependencias del repositorio. Para obtener más información, vea «Acerca de las alertas Dependabot» y «Sobre las actualizaciones de seguridad de Dependabot».

Habilitación de Dependabot alerts

Antes de habilitar Dependabot alerts:

• Debe habilitar GitHub Connect. Para más información, consulta "Administrar GitHub Connect".
• Debes conectar la gráfica de dependencias. Para más información, consulta "Habilitación del gráfico de dependencias para la empresa".

1. En la esquina superior derecha de GitHub Enterprise Server, haz clic en la foto de perfil y luego en Configuración de empresa.

   

2. En la barra lateral de la cuenta empresarial, haz clic en GitHub Connect .

3. En "Dependabot", a la derecha de "Los usuarios pueden recibir alertas de vulnerabilidad para dependencias de código abierto", selecciona el menú desplegable y haz clic en Habilitado sin notificaciones. Opcionalmente, para habilitar las alertas con notificaciones, haga clic en Habilitado con notificaciones.

Habilitación de Dependabot updates

Después de habilitar Dependabot alerts para la empresa, puede habilitar Dependabot updates.

Antes de habilitar Dependabot updates, debes configurar tu instancia de GitHub Enterprise Server para que use GitHub Actions con ejecutores autohospedados. Para más información, consulta "Iniciar con GitHub Actions para GitHub Enterprise Server".

Dependabot updates no se admiten en los datos GitHub Enterprise Server si en la empresa se usa la agrupación en clústeres.

1. Inicia sesión en tu instancia de GitHub Enterprise Server en http(s)://HOSTNAME/login.

2. Desde una cuenta administrativa de GitHub Enterprise Server, en la esquina superior derecha de cualquier página, haga clic en .

3. Si todavía no está en la página "Administrador del sitio", en la esquina superior izquierda, haga clic en Administrador del sitio.

4. En la barra lateral " Administrador del sitio", haz clic en Consola de administración .

5. En la barra lateral Settings, haga clic en Seguridad.

6. En "Seguridad", seleccione Dependabot security updates .

7. En la barra lateral "Configuración" , haga clic en Guardar configuración.

   Nota: Al guardar la configuración en la Consola de administración se restablecen los servicios de sistema, lo que podría generar un tiempo de inactividad visible para el usuario.

8. Espera que se complete la fase de configuración.

9. Haga clic en Visitar la instancia.

10. Configura ejecutores autohospedados dedicados para crear las solicitudes de incorporación de cambios que van a actualizar las dependencias. Esto debes hacerlo porque los flujos de trabajo usan una etiqueta de ejecutor específica. Para obtener más información, vea «Administrar ejecutores autohospedados para actualizaciones del Dependabot en su empresa».

11. En la esquina superior derecha de GitHub Enterprise Server, haz clic en la foto de perfil y luego en Configuración de empresa.

    

12. En la barra lateral de la cuenta empresarial, haz clic en GitHub Connect .

13. En "Dependabot", a la derecha de "Los usuarios pueden actualizar fácilmente a dependencias de código abierto no vulnerables", haga clic en Habilitar.

Cuando habilitas las Dependabot alerts, deberías considerar también configurar las GitHub Actions para Dependabot security updates. Esta característica permite que los desarrolladores arreglen las vulnerabilidades en sus dependencias. Para obtener más información, vea «Administrar ejecutores autohospedados para actualizaciones del Dependabot en su empresa».

Si necesitas una seguridad mejorada, te recomendamos que configures Dependabot para usar registros privados. Para obtener más información, vea «Configuración del acceso a registros privados para Dependabot».