À propos des stratégies de sécurité
Pour indiquer aux utilisateurs comment signaler des vulnérabilités de sécurité dans votre projet, vous pouvez ajouter un fichier SECURITY.md à la racine de votre dépôt, au dossier docs ou au dossier .github. Quand un utilisateur crée un problème dans votre dépôt, il voit un lien vers la stratégie de sécurité de votre projet.
Vous pouvez créer une stratégie de sécurité par défaut pour votre organisation ou votre compte personnel. Pour plus d’informations, consultez « Création d’un fichier d’intégrité de la communauté par défaut ».
Conseil : Pour aider les utilisateurs à trouver votre stratégie de sécurité, vous pouvez créer un lien vers votre fichier SECURITY.md à partir d’autres emplacements dans le dépôt, par exemple le fichier README. Pour plus d’informations, consultez « À propos des README ».
Une fois qu’un utilisateur a signalé une vulnérabilité de sécurité dans votre projet, vous pouvez utiliser GitHub Security Advisories pour divulguer, corriger et publier les informations sur la vulnérabilité. Pour plus d’informations sur le processus de signalement et de divulgation de vulnérabilités dans GitHub, consultez « À propos de la divulgation coordonnée des vulnérabilités de sécurité ». Pour plus d’informations sur les avis de sécurité des référentiels, consultez « À propos des avis de sécurité des référentiels. »
Vous pouvez également rejoindre GitHub Security Lab pour parcourir les rubriques liées à la sécurité et contribuer aux outils et projets de sécurité.
Ajout d’une stratégie de sécurité à votre dépôt
- Dans GitHub.com, accédez à la page principale du dépôt. 1. Sous le nom du dépôt, cliquez sur Sécurité.
- Dans le volet gauche, cliquez sur Stratégie de sécurité.
- Cliquez sur Démarrer la configuration.
- Dans le nouveau fichier SECURITY.md, ajoutez des informations sur les versions prises en charge de votre projet et sur la façon de signaler une vulnérabilité.
- En bas de la page, tapez un message de validation court et explicite décrivant la modification que vous avez apportée au fichier. Vous pouvez attribuer la validation à plusieurs auteurs dans le message de validation. Pour plus d’informations, consultez « Création d’une validation avec plusieurs auteurs ».
- Si vous avez plusieurs adresses e-mail associées à votre compte sur GitHub.com, cliquez sur le menu déroulant d’adresses e-mail et sélectionnez l’adresse e-mail à utiliser comme adresse e-mail de l’auteur Git. Seules les adresses e-mail vérifiées apparaissent dans ce menu déroulant. Si vous avez activé la confidentialité de l’adresse e-mail,
<username>@users.noreply.github.comest l’adresse e-mail par défaut de l’auteur de commit. Pour plus d’informations, consultez « Définition de votre adresse e-mail de commit ».
