À propos des notifications pour les Dependabot alerts.
Quand Dependabot détecte des dépendances vulnérables dans vos dépôts, nous générons une alerte Dependabot et l’affichons sous l’onglet Sécurité du dépôt. GitHub Enterprise Server informe les chargés de maintenance des dépôts affectés sur la nouvelle alerte en fonction de leurs préférences de notification.
Dependabot ne génère pas de Dependabot alerts pour les programmes malveillants. Pour plus d’informations, consultez « À propos de la base de données GitHub Advisory ».
Quelles que soient vos préférences de notification, quand Dependabot est activé pour la première fois, GitHub Enterprise Server n’envoie pas de notifications pour toutes les dépendances vulnérables trouvées dans votre dépôt. Au lieu de cela, vous recevrez des notifications pour les nouvelles dépendances vulnérables identifiées après l’activation de Dependabot, si vos préférences de notification l’autorisent.
Par défaut, si le propriétaire de votre entreprise a configuré un e-mail pour les notifications sur votre entreprise, vous recevez les Dependabot alerts par e-mail.
Les propriétaires d’entreprise peuvent également activer les Dependabot alerts sans notifications. Pour plus d’informations, consultez « Activation de Dependabot pour votre entreprise ».
Configuration des notifications pour les Dependabot alerts
Quand une nouvelle alerte Dependabot est détectée, GitHub Enterprise Server avertit tous les utilisateurs ayant accès aux Dependabot alerts pour le dépôt en fonction de leurs préférences de notification. Vous recevez des alertes si vous consultez le dépôt, avez activé les notifications pour les alertes de sécurité ou pour toute activité sur le dépôt et n’ignorez pas le dépôt. Pour plus d’informations, consultez « Configuration des notifications ».
Vous pouvez configurer les paramètres de notification pour vous-même ou votre organisation à partir de la liste déroulante Gérer les notifications affichée en haut de chaque page. Pour plus d’informations, consultez « Configuration des notifications ».
Vous pouvez choisir la méthode de remise des notifications, ainsi que la fréquence à laquelle elles sont envoyées. Par défaut, si le propriétaire de votre entreprise a configuré l’e-mail pour les notifications sur votre instance, vous recevez des Dependabot alerts:
- Dans votre boîte de réception : sous forme de notifications web. Une notification web est envoyée lorsque Dependabot est activé pour un dépôt, lorsqu’un nouveau fichier manifeste est commité dans le dépôt et lorsqu’une nouvelle vulnérabilité avec un niveau de gravité critique ou élevé est détectée (option Sur GitHub ).
- Par courrier électronique. Un e-mail est envoyé lorsque Dependabot est activé pour un référentiel, lorsqu’un nouveau fichier manifeste est engagé dans le référentiel et lorsqu’une nouvelle vulnérabilité avec un niveau de gravité critique ou élevé est détectée (option E-mail).
- Sur la ligne de commande. Des avertissements s’affichent sous forme de rappels lorsque vous effectuez un envoi vers des référentiels ayant des dépendances non sécurisées (option CLI).
- Sur GitHub Mobile, comme notifications Web. Pour plus d’informations, consultez « Configuration des notifications ».
Remarque : les notifications/GitHub Mobile par e-mail et web sont les suivantes :
-
Par référentiel lorsque Dependabot est activé sur le référentiel ou lorsqu’un nouveau fichier manifeste est validé dans le référentiel.
-
Par organisation lorsqu’une nouvelle vulnérabilité est découverte.
-
Envoyé lorsqu’une nouvelle vulnérabilité est découverte. GitHub n’envoie pas de notifications lorsque les vulnérabilités sont mises à jour.
Vous pouvez personnaliser la façon dont vous êtes averti concernant les Dependabot alerts. Par exemple, vous pouvez recevoir un e-mail de synthèse hebdomadaire récapitulant les alertes concernant jusqu’à 10 de vos dépôts à l’aide des options Envoyer par e-mail un résumé des vulnérabilités et Synthèse hebdomadaire des e-mails de sécurité.
Remarque : Vous pouvez filtrer vos notifications sur GitHub pour afficher les Dependabot alerts. Pour plus d’informations, consultez « Gestion des notifications à partir de votre boîte de réception ».
Les notifications par e-mail des Dependabot alerts qui affectent un ou plusieurs dépôts incluent le champ d’en-tête X-GitHub-Severity. Vous pouvez utiliser la valeur du champ d’en-tête X-GitHub-Severity pour filtrer les notifications par e-mail des Dependabot alerts. Pour plus d’informations, consultez « Configuration des notifications ».
Comment réduire le bruit des notifications pour Dependabot alerts
Si vous vous inquiétez de recevoir trop de notifications pour les Dependabot alerts, nous vous recommandons d’opter pour la synthèse hebdomadaire des e-mails ou de désactiver les notifications tout en gardant les Dependabot alerts activées. Vous pouvez toujours accéder à vos Dependabot alerts sous l’onglet Sécurité de votre dépôt. Pour plus d’informations, consultez « Affichage et mise à jour des alertes Dependabot ».