Skip to main content

Cette version de GitHub Enterprise Server ne sera plus disponible le 2024-03-07. Aucune publication de correctifs n’est effectuée, même pour les problèmes de sécurité critiques. Pour de meilleures performances, une sécurité améliorée et de nouvelles fonctionnalités, effectuez une mise à niveau vers la dernière version de GitHub Enterprise. Pour obtenir de l’aide sur la mise à niveau, contactez le support GitHub Enterprise.

Activation de Dependabot pour votre entreprise

Vous pouvez aussi autoriser les utilisateurs de votre instance GitHub Enterprise Server à rechercher et corriger les vulnérabilités dans leurs dépendances de code en activant des Dependabot alerts et des Dependabot updates.

Qui peut utiliser cette fonctionnalité ?

Enterprise owners can enable Dependabot.

À propos de Dependabot pour GitHub Enterprise Server

Dependabot permet aux utilisateurs de votre instance GitHub Enterprise Server de rechercher et corriger les vulnérabilités dans leurs dépendances. Vous pouvez activer les Dependabot alerts pour notifier les utilisateurs à propos des dépendances vulnérables ainsi que les Dependabot updates pour corriger les vulnérabilités et tenir à jour les dépendances avec la dernière version.

Dependabot n’est qu’une des nombreuses fonctionnalités disponibles pour durcir la sécurité de la chaîne d’approvisionnement pour votre instance GitHub Enterprise Server. Pour plus d’informations sur les autres fonctionnalités, consultez « À propos de la sécurité de la chaîne d’approvisionnement de votre entreprise ».

À propos des Dependabot alerts

Avec Dependabot alerts, GitHub identifie les dépendances vulnérables dans les dépôts et crée des alertes sur votre instance GitHub Enterprise Server, en utilisant les données de GitHub Advisory Database et du service de graphe des dépendances.

Nous ajoutons des conseils à la GitHub Advisory Database à partir des sources suivantes :

Si vous connaissez une autre base de données à partir de laquelle nous devrions importer des avis, dites-le nous en ouvrant un problème dans https://github.com/github/advisory-database.

Une fois que vous avez activé les Dependabot alerts pour votre entreprise, les données de vulnérabilité sont synchronisées entre la GitHub Advisory Database et votre instance toutes les heures. Seuls les avis examinés par GitHub sont synchronisés. Pour plus d’informations, consultez « Exploration des avis de sécurité dans la base de données GitHub Advisory ».

Vous pouvez aussi choisir de synchroniser manuellement les données de vulnérabilité à n’importe quel moment. Pour plus d’informations, consultez « Consultation des données de vulnérabilité de votre entreprise ».

Remarque : Quand vous activez les Dependabot alerts, aucun code ni aucune information sur le code de votre instance GitHub Enterprise Server ne sont chargés sur GitHub.com.

Quand votre instance GitHub Enterprise Server reçoit des informations sur une vulnérabilité, elle identifie les dépôts de votre instance GitHub Enterprise Server qui utilisent la version affectée de la dépendance et génère des Dependabot alerts. Vous pouvez choisir de notifier automatiquement les utilisateurs à propos des nouvelles Dependabot alerts.

Dans le cas des dépôts où les Dependabot alerts sont activées, l’analyse est déclenchée pour tout envoi (push) vers la branche par défaut qui contient un fichier manifeste ou un fichier de verrouillage. De plus, quand un nouvel enregistrement de vulnérabilité est ajouté à votre instance GitHub Enterprise Server, GitHub Enterprise Server analyse tous les dépôts existants de votre instance GitHub Enterprise Server et génère des alertes les dépôts vulnérables. Pour plus d’informations, consultez « À propos des alertes Dependabot ».

À propos des Dependabot updates

Après avoir activé les Dependabot alerts, vous pouvez choisir d’activer les Dependabot updates. Quand les Dependabot updates sont activés pour votre instance GitHub Enterprise Server, les utilisateurs peuvent configurer des dépôts de telle sorte que leurs dépendances soient automatiquement mises à jour et maintenues en sécurité.

Remarque : Les Dependabot updates sur GitHub Enterprise Server ont besoin de GitHub Actions avec des exécuteurs auto-hébergés.

Par défaut, les exécuteurs GitHub Actions utilisés par Dependabot ont besoin d’accéder à Internet pour télécharger des packages mis à jour à partir de gestionnaires de packages en amont. Pour Dependabot updates alimenté par GitHub Connect, l’accès Internet fournit à vos exécuteurs un jeton qui permet d’accéder aux dépendances et aux avis hébergés sur GitHub.com.

Vous pouvez activer les Dependabot updates pour des registres privés spécifiques sur des instances GitHub Enterprise Server avec un accès Internet limité ou sans accès. Pour plus d’informations, consultez « Configuration de Dependabot pour fonctionner avec un accès Internet limité ».

Avec les Dependabot updates, GitHub crée automatiquement des demandes de tirage (pull request) pour mettre à jour les dépendances de deux façons.

  • Dependabot version updates  : Les utilisateurs ajoutent un fichier de configuration Dependabot au dépôt pour permettre à Dependabot de créer des demandes de tirage quand une nouvelle version d’une dépendance suivie est publiée. Pour plus d’informations, consultez « À propos des mises à jour de version Dependabot ».
  • Dependabot security updates  : Les utilisateurs activent un paramètre de dépôt pour permettre à Dependabot de créer des demandes de tirage quand GitHub détecte une vulnérabilité dans l’une des dépendances du graphe de dépendances du dépôt. Pour plus d’informations, consultez « À propos des alertes Dependabot » et « À propos des mises à jour de sécurité Dependabot ».

Activation des Dependabot alerts

Avant de pouvoir activer les Dependabot alerts :

  1. Dans le coin supérieur droit de GitHub Enterprise Server, cliquez sur votre photo de profil, puis sur Paramètres d’entreprise.

    Capture d’écran du menu déroulant qui s’affiche lorsque vous cliquez sur la photo de profil sur GitHub Enterprise Server. L’option « Paramètres d’entreprise » est mise en évidence avec un contour orange foncé.

  2. Dans la barre latérale du compte d’entreprise, cliquez sur GitHub Connect .

  3. Sous « Dependabot », à droite de « Les utilisateurs peuvent recevoir des alertes de vulnérabilité pour les dépendances de code open source », sélectionnez le menu déroulant et cliquez sur Activé sans notifications. Si vous le souhaitez, vous pouvez activer les alertes avec des notifications en cliquant sur Activé avec notifications.

Capture d’écran du menu déroulant « Activer » pour les Dependabot alerts, montrant les options disponibles.

Conseil : Nous vous recommandons de configurer les Dependabot alerts sans notifications pour les premiers jours afin d’éviter d’être surchargé d’e-mails. Après quelques jours, activez les notifications pour recevoir normalement les Dependabot alerts.

Activation des Dependabot updates

Après avoir activé les Dependabot alerts pour votre entreprise, vous pouvez activer les Dependabot updates.

Avant d’activer les Dependabot updates, vous devez configurer votre instance GitHub Enterprise Server pour utiliser GitHub Actions avec des exécuteurs autohébergés. Pour plus d’informations, consultez « Bien démarrer avec GitHub Actions pour GitHub Enterprise Server ».

Les Dependabot updates ne sont pas prises en charge sur GitHub Enterprise Server si votre entreprise utilise le clustering.

Remarque : Après avoir activé le graphe de dépendances, vous pouvez utiliser l’action Dependabot. L’action génère une erreur si des vulnérabilités ou des licences non valides sont introduites. Pour plus d’informations sur l’action et pour obtenir des instructions sur le téléchargement de la version la plus récente, consultez « Utilisation de la dernière version des actions groupées officielles ».

  1. Connectez-vous à votre instance GitHub Enterprise Server à l’adresse http(s)://HOSTNAME/login.

  2. À partir d’un compte d’administration sur GitHub Enterprise Server, cliquez sur en haut à droite de n’importe quelle page.

  3. Si vous ne figurez pas déjà sur la page « Administrateur du site », dans le coin supérieur gauche, cliquez sur Administrateur du site.

  4. Dans la barre latérale «  Administrateur de site », cliquez sur Management Console .

  5. Dans la barre latérale « Paramètres », cliquez sur Sécurité.

  6. Sous « Sécurité », sélectionnez Dependabot security updates .

  7. Sous la barre latérale « Paramètres », cliquez sur Enregistrer les paramètres.

    Remarque : l’enregistrement des paramètres dans la Management Console redémarre les services système, ce qui peut entraîner un temps d’arrêt visible pour l’utilisateur.

  8. Attendez la fin de l’exécution de la configuration.

  9. Cliquez sur Accéder à votre instance.

  10. Configurez des exécuteurs auto-hébergés dédiés de façon à créer les demandes de tirage destinées à mettre à jour les dépendances. C’est obligatoire parce que les workflows utilisent une étiquette d’exécuteur spécifique. Pour plus d’informations, consultez « Gestion des exécuteurs auto-hébergés pour les mises à jour Dependabot dans votre entreprise ».

  11. Dans le coin supérieur droit de GitHub Enterprise Server, cliquez sur votre photo de profil, puis sur Paramètres d’entreprise.

    Capture d’écran du menu déroulant qui s’affiche lorsque vous cliquez sur la photo de profil sur GitHub Enterprise Server. L’option « Paramètres d’entreprise » est mise en évidence avec un contour orange foncé.

  12. Dans la barre latérale du compte d’entreprise, cliquez sur GitHub Connect .

  13. Sous « Dependabot », à droite de « Les utilisateurs peuvent facilement effectuer une mise à niveau vers des dépendances de code open source non vulnérables », cliquez sur Activer.

Quand vous activez Dependabot alerts, envisagez également de configurer GitHub Actions pour Dependabot security updates. Cette fonctionnalité permet aux développeurs de corriger les vulnérabilités dans leurs dépendances. Pour plus d’informations, consultez « Gestion des exécuteurs auto-hébergés pour les mises à jour Dependabot dans votre entreprise ».

Si vous avez besoin d’une sécurité renforcée, nous vous recommandons de configurer Dependabot pour utiliser des registres privés. Pour plus d’informations, consultez « Configuration de l’accès aux registres privés pour Dependabot ».