Introducción
Esta guía te muestra cómo configurar las características de seguridad para un repositorio. Debes ser un administrador de repositorio o propietario de organización para configurar las caracteristicas de seguridad de un repositorio.
Tus necesidades de seguridad son únicas de tu repositorio, así que puede que no necesites habilitar todas las características de seguridad para este. Para obtener más información, vea «Características de seguridad de GitHub».
Algunas características están disponibles para todos los repositorios. Las características adicionales se encuentran disponibles para las empresas que utilizan la GitHub Advanced Security. Para obtener más información, vea «Acerca de GitHub Advanced Security».
Administrar el acceso a tu repositorio
El primer paso para asegurar un repositorio es establecer quién puede ver y modificar tu código. Para obtener más información, vea «Administrar la configuración y características de tu repositorio».
Desde la página principal del repositorio, haz clic en Configuración y, después, desplázate hasta "Zona de peligro".
- Para cambiar quién puede ver el repositorio, haga clic en Change visibility. Para obtener más información, vea «Configurar la visibilidad de un repositorio».
- Para cambiar quién puede acceder al repositorio y ajustar los permisos, haga clic en Manage access. Para obtener más información, consulta "Administración de equipos y personas con acceso al repositorio".
Administrar la gráfica de dependencias
Los propietarios de la empresa pueden configurar Dependabot alerts para una empresa. Para más información, consulta "Habilitación de Dependabot para la empresa".
Para obtener más información, vea «Explorar las dependencias de un repositorio».
Administrar las Dependabot alerts
Las Dependabot alerts se generan cuando GitHub identifica una dependencia que presenta una vulnerabilidad en la gráfica de dependencias.
Nota: Dependabot alerts se encuentra actualmente en versión beta y está sujeto a cambios
Los propietarios de la empresa pueden configurar Dependabot alerts para una empresa. Para más información, consulta "Habilitación de Dependabot para la empresa".
Para obtener más información, consulta "Acerca de las alertas Dependabot".
Administrar la revisión de dependencias
La revisión de dependencias te permite visualizar los cambios a las dependencias en las solicitudes de cambios antes de que se fusionen con tus repositorios. Para obtener más información, vea «Acerca de la revisión de dependencias».
La revisión de dependencias es una característica de la GitHub Advanced Security. Para habilitar la revisión de dependencias para un repositorio , asegúrate de que la gráfica de dependencias se encuentre habilitada y habilita la GitHub Advanced Security.
- Desde la página principal del repositorio, haga clic en Settings.
- Haga clic en Security & analysis.
- Compruebe que su empresa tenga configurado el gráfico de dependencias.
- If GitHub Advanced Security aún no está habilitado, haga clic en Enable.
Configuración de code scanning
Puedes configurar el code scanning para identificar automáticamente vulnerabilidades y errores en el código almacenado en el repositorio usando un Flujo de trabajo de análisis de CodeQL o una herramienta de terceros.Para obtener más información, consulta "Establecimiento del examen de código con CodeQL".
El Code scanning se encuentra disponible para repositorios que pertenezcan a organizaciones si tu empresa utilizaGitHub Advanced Security.
Configurar el secret scanning
Secret scanning está disponible para repositorios que son propiedad de una organización en GitHub AE. Esta es una característica de la GitHub Advanced Security (gratuita durante el lanzamiento beta).
-
Desde la página principal del repositorio, haga clic en Settings.
-
Haz clic en Seguridad y análisis del código.
-
Si GitHub Advanced Security todavía no está habilitado, haz clic en Habilitar.
-
Haga clic en Enable junto a Secret scanning.
Configurar una política de seguridad
Si eres un mantenedor de repositorios, se recomienda especificar una directiva de seguridad para el repositorio mediante la creación de un archivo denominado SECURITY.md en el repositorio. Este archivo indica a los usuarios la mejor forma de ponerse en contacto y colaborar contigo cuando quieran notificar vulnerabilidades de seguridad en el repositorio. Puedes ver la directiva de seguridad de un repositorio en la pestaña Seguridad del repositorio.
- Desde la página principal del repositorio, haga clic en Security.
- Haga clic en Security policy.
- Haga clic en Iniciar configuración.
- Agrega información sobre las versiones compatibles con tu proyecto y de cómo reportar las vulnerabilidades.
Para obtener más información, vea «Agregar una política de seguridad a tu repositorio».
Pasos siguientes
Puedes ver y administrar las alertas de las características de seguridad para abordar dependencias y vulnerabilidades en tu código. Para obtener más información, consulta "Administración de alertas de examen de código para el repositorio" y "Administración de alertas del examen de secretos".
También puedes usar las herramientas de GitHub para auditar las respuestas a las alertas de seguridad. Para más información, consulta "Auditoría de alertas de seguridad".