Gestion des paramètres de sécurité et d'analyse pour votre organisation

Vous pouvez contrôler les fonctionnalités qui sécurisent et analysent le code des projets de votre organisation sur GitHub.

Qui peut utiliser cette fonctionnalité ?

Organization owners can manage security and analysis settings for repositories in the organization.

Dans cet article

À propos de la gestion des paramètres de sécurité et d'analyse

GitHub peut vous aider à sécuriser les dépôts dans votre organisation. Vous pouvez gérer les fonctionnalités de sécurité et d'analyse pour tous les dépôts existants ou nouveaux que les membres créent dans votre organisation. Si vous disposez d'une licence pour GitHub Advanced Security, vous pouvez également gérer l'accès à ces fonctionnalités. Pour plus d’informations, consultez « À propos de GitHub Advanced Security ».

Si votre organisation appartient à une entreprise disposant d’une licence pour GitHub Advanced Security, des options supplémentaires pour la gestion des paramètres de sécurité et d’analyse peuvent être disponibles. Pour plus d’informations, consultez « Gestion des fonctionnalités GitHub Advanced Security pour votre entreprise ».

Remarque : vous ne pouvez pas désactiver certaines fonctionnalités de sécurité et d’analyse activées par défaut pour des dépôts publics.

Vous pouvez rapidement activer des fonctionnalités de sécurité à grande échelle avec la GitHub-recommended security configuration, une collection de paramètres d’activation de sécurité que vous pouvez appliquer aux référentiels d’une organisation. Vous pouvez ensuite personnaliser davantage les fonctionnalités de GitHub Advanced Security au niveau de l’organisation avec les global settings. Consultez « À propos de l'activation des fonctionnalités de sécurité à grande échelle ».

Remarque : Security configurations et global settings sont actuellement en version bêta et susceptibles d’être modifiés.

Si vous activez les fonctionnalités de sécurité et d’analyse, GitHub effectue une analyse en lecture seule sur votre dépôt.

Affichage des paramètres de sécurité et d'analyse

  1. Dans l’angle supérieur droit de GitHub.com, sélectionnez votre photo de profil, puis sur Vos organisations.

    Capture d’écran du menu déroulant sous l’image de profil de @octocat. « Vos organisations » est présenté en orange foncé.

  2. En regard de l’organisation, cliquez sur Paramètres.

  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité et analyse du code.

La page affichée vous permet d'activer ou de désactiver toutes les fonctionnalités de sécurité et d'analyse pour les dépôts de votre organisation.

Si votre organisation appartient à une entreprise avec une licence pour GitHub Advanced Security, la page contient également des options permettant d'activer et de désactiver les fonctionnalités de Advanced Security. Les dépôts qui utilisent GitHub Advanced Security sont listés en bas de la page.

Activation ou désactivation d'une fonctionnalité pour tous les référentiels existants

Vous pouvez activer ou désactiver des fonctionnalités pour tous les dépôts. L'impact de vos modifications sur les dépôts de votre organisation est déterminé par leur visibilité :

  • Rapports de vulnérabilité privés : vos modifications affectent uniquement les dépôts publics.
  • Graphe des dépendances : vos modifications affectent seulement les dépôts privés, car la fonctionnalité est toujours activée pour les dépôts publics.
  • Dependabot alerts  : vos modifications affectent tous les dépôts.
  • Dependabot security updates  : vos modifications affectent tous les dépôts.
  • GitHub Advanced Security  : vos modifications affectent seulement les dépôts privés, car GitHub Advanced Security et les fonctionnalités associées sont toujours activés pour les dépôts publics.
  • Secret scanning  : vos modifications affectent les référentiels publics, ainsi que les référentiels privés ou internes pour lesquels GitHub Advanced Security est activé. Cette option permet de contrôler si les alertes d’analyse des secrets pour les utilisateurs sont activées. Alertes d’analyse des secrets pour les partenaires s'exécute toujours sur tous les dépôts publics.
  • Code scanning - Vos modifications affectent les référentiels publics et les référentiels privés ou internes où GitHub Advanced Security est activé. Pour obtenir des informations sur les référentiels éligibles, consultez « Définition de la configuration par défaut pour l’analyse du code à grande échelle ». Pour les dépôts qui ne sont pas éligibles pour la configuration par défaut, vous pouvez définir une configuration avancée au niveau du dépôt. Pour plus d'informations, consultez « Définition de la configuration avancée pour l’analyse du code ».

Vous pouvez utiliser la vue d'ensemble de la sécurité pour rechercher un ensemble de dépôts et activer ou désactiver les fonctionnalités de sécurité pour tout cet ensemble en même temps. Pour plus d'informations, consultez « Activation des fonctionnalités de sécurité pour plusieurs dépôts ».

Remarque : si vous activez GitHub Advanced Security, les validateurs actifs de ces référentiels utilisent des GitHub Advanced Security licences. Cette option est désactivée si vous avez dépassé la capacité de votre licence. Pour plus d’informations, consultez « À propos de la facturation pour GitHub Advanced Security ».

Remarque : Si vous rencontrez une erreur indiquant « GitHub Advanced Security ne peut pas être activé en raison d'un paramètre de stratégie pour l'organisation », contactez votre administrateur d'entreprise et demandez-lui de modifier la stratégie GitHub Advanced Security pour votre entreprise. Pour plus d'informations, consultez « Application de stratégies de sécurité et d’analyse du code pour votre entreprise ».

Remarque : Lorsque vous activez ou désactivez les Dependabot alerts au niveau de l'entreprise, cela remplace les paramètres au niveau de l'organisation pour les Dependabot alerts. Pour plus d'informations, consultez « Configuration d’alertes Dependabot ».

  1. Accédez aux paramètres de sécurité et d'analyse pour votre organisation. Pour plus d'informations, consultez « Affichage des paramètres de sécurité et d'analyse ».

  2. Sous « Sécurité et analyse du code », à droite de la fonctionnalité, cliquez sur Tout désactiver ou Tout activer pour afficher une boîte de dialogue de confirmation. La commande pour « GitHub Advanced Security » est désactivée si vous n'avez pas de licence disponible pour GitHub Advanced Security.

  3. Passez en revue les informations de la boîte de dialogue.

  4. Si vous choisissez d'activer les rapports de vulnérabilité privés, le graphe des dépendances ou Dependabot, sélectionnez **Activer par défaut pour les nouveaux référentiels privés **.

    Capture d'écran de la boîte de dialogue modale « Activer FONCTIONNALITÉ », avec l'option « Activer par défaut pour les nouveaux dépôts privés » mise en évidence avec un encadré orange foncé.

  5. Lorsque vous êtes prêt à apporter des changements, cliquez sur Désactiver FONCTIONNALITÉ ou Activer FONCTIONNALITÉ pour désactiver ou activer la fonctionnalité pour tous les dépôts de votre organisation.

  6. Vous pouvez également sélectionner des paramètres d'activation supplémentaires dans la section des paramètres de sécurité et d'analyse relative à votre fonctionnalité. Les paramètres d'activation supplémentaires peuvent inclure :

    • Activation automatique pour un type spécifique de référentiel
    • Paramètres spécifiques aux fonctionnalités, comme la recommandation de la suite de requêtes étendue pour code scanning l'installation par défaut dans toute votre organisation, ou la validation automatique du secret pour secret scanning

Remarques :

  • Si vous désactivez CodeQL code scanning pour tous les référentiels, cette modification ne sera pas visible dans les informations de couverture affichées dans la vue d’ensemble de la sécurité de l’organisation. Les dépôts semblent toujours avoir l’code scanning activée dans la vue « Couverture de sécurité ».
  • L'activation de code scanning pour tous les dépôts éligibles d'une organisation ne va pas remplacer les configurations d'code scanning existantes. Pour plus d'informations sur la définition de la configuration par défaut avec des paramètres différents pour des dépôts spécifiques, consultez « Définition de la configuration par défaut pour l’analyse du code » et « Définition de la configuration par défaut pour l’analyse du code à grande échelle ».

Quand vous activez une ou plusieurs fonctionnalités de sécurité et d’analyse pour les dépôts existants, tous les résultats s’affichent sur GitHub en quelques minutes :

  • Tous les dépôts existants reçoivent la configuration sélectionnée.
  • Les nouveaux dépôts suivent la configuration sélectionnée si vous avez coché la case pour les nouveaux dépôts.
  • Nous utilisons les autorisations pour rechercher les fichiers manifeste et appliquer les services appropriés.
  • Si l’option est activée, vous voyez les informations de dépendance dans le graphe des dépendances.
  • Si l’option est activée, GitHub génère des Dependabot alerts s’il existe des dépendances vulnérables ou des programmes malveillants.
  • Si l’option est activée, les mises à jour de sécurité Dependabot créent des demandes de tirage (pull requests) pour changer de niveau les dépendances vulnérables quand des Dependabot alerts sont déclenchées.

Activation ou désactivation automatique d'une fonctionnalité quand de nouveaux dépôts sont ajoutés

  1. Accédez aux paramètres de sécurité et d'analyse pour votre organisation. Pour plus d'informations, consultez « Affichage des paramètres de sécurité et d'analyse ».
  2. Sous « Sécurité et analyse du code », recherchez la fonctionnalité, activez ou désactivez la fonctionnalité par défaut pour les nouveaux référentiels , ou pour tous les nouveaux référentiels privés dans votre organisation.

Autoriser Dependabot à accéder aux dépendances privées ou internes

Dependabot peut vérifier les références de dépendance obsolètes dans un projet et générer automatiquement une demande de tirage pour les mettre à jour. Pour cela, Dependabot doit avoir accès à tous les fichiers de dépendance ciblés. En règle générale, les mises à jour de version échouent si une ou plusieurs dépendances sont inaccessibles. Pour plus d’informations, consultez « À propos des mises à jour de version Dependabot ».

Par défaut, Dependabot ne peut pas mettre à jour les dépendances qui sont situées dans des dépôts privés ou internes, ou des registres de paquets privés ou internes. Cependant, si une dépendance se trouve dans un dépôt privé ou interne GitHub dans la même organisation que le projet qui utilise cette dépendance, vous pouvez permettre à Dependabot de mettre à jour la version avec succès en lui donnant accès au référentiel hôte.

Si votre code dépend de packages dans un registre privé ou interne, vous pouvez autoriser Dependabot à mettre à jour les versions de ces dépendances en configurant cela au niveau du référentiel. Pour cela, ajoutez des détails d'authentification au fichier dependabot.yml pour le dépôt. Pour plus d'informations, consultez « Options de configuration pour le fichier dependabot.yml ».

Remarque : pour que l'option permettant d'accorder à Dependabot l'accès aux référentiels privés ou internes soit disponible, il faut que Dependabot version updates ou Dependabot security updates soit activée sur au moins un référentiel au sein de l'organisation.

Pour autoriser Dependabot à accéder à un dépôt privé ou interne GitHub :

  1. Accédez aux paramètres de sécurité et d'analyse pour votre organisation. Pour plus d'informations, consultez « Affichage des paramètres de sécurité et d'analyse ».

  2. Sous « Accorder Dependabot l'accès au dépôt privé », cliquez sur Ajouter des dépôts internes et privés pour afficher un champ de recherche de dépôt.

    Capture d'écran de la liste déroulante que vous pouvez utiliser pour rechercher des référentiels. À mesure que vous tapez, les référentiels dont le nom correspond à vos critères de recherche s'affichent dans la liste. Le champ de texte de recherche est mis en évidence dans un cadre orange foncé.

  3. Commencez à taper le nom du dépôt auquel vous souhaitez accorder l'accès à Dependabot.

  4. Une liste de dépôts correspondants dans l'organisation s'affiche. Cliquez sur le dépôt auquel vous souhaitez autoriser l'accès, ce qui ajoute le dépôt à la liste d'autorisation.

  5. Si vous le souhaitez, pour supprimer un dépôt de la liste, à la droite du dépôt, cliquez sur .

Autorisation des vérifications de validité pour les modèles partenaires dans une organisation

Remarque : les vérifications de validité pour les modèles de partenaires sont actuellement en version bêta et sujettes à modification.

Les vérifications de validité des modèles partenaires sont disponibles sur tous les types de référentiels sur GitHub.com. Pour utiliser cette caractéristique, vous devez disposer d’une licence pour GitHub Advanced Security.

Vous pouvez autoriser secret scanning à vérifier automatiquement la validité d'un secret en l'envoyant au partenaire concerné. Lorsque vous cochez la case dans les paramètres de l'organisation, la fonctionnalité est activée pour tous les référentiels de l'organisation. Vous pouvez également activer la vérification de validité pour un référentiel unique ou au niveau de l'entreprise. Pour plus d’informations, consultez « Configuration de l’analyse des secrets pour vos dépôts » et « Gestion des fonctionnalités GitHub Advanced Security pour votre entreprise ».

Vous pouvez également utiliser l'API REST pour activer les contrôles de validité des modèles de partenaires pour votre organisation. Pour plus d’informations, consultez « Points de terminaison d’API REST pour les organisations ».

  1. Accédez aux paramètres de sécurité et d'analyse pour votre organisation. Pour plus d'informations, consultez « Affichage des paramètres de sécurité et d'analyse ».
  2. Sous Secret scanning, cochez la case en regard de « Vérifier automatiquement si un secret est valide en l’envoyant au partenaire approprié ».

Suppression de l'accès à GitHub Advanced Security dans des dépôts individuels d'une organisation

Vous pouvez gérer l'accès aux fonctionnalités de GitHub Advanced Security pour un dépôt à partir de son onglet « Paramètres ». Pour plus d'informations, consultez « Gestion des paramètres de sécurité et d’analyse pour votre dépôt ». Cependant, vous pouvez aussi désactiver les fonctionnalités de GitHub Advanced Security pour un dépôt à partir de l'onglet « Paramètres » pour l'organisation.

  1. Accédez aux paramètres de sécurité et d'analyse pour votre organisation. Pour plus d'informations, consultez « Affichage des paramètres de sécurité et d'analyse ».
  2. Pour voir la liste de tous les dépôts de votre organisation avec GitHub Advanced Security activé, faites défiler jusqu'à la section « Dépôts GitHub Advanced Security ».

Le tableau répertorie le nombre de commiteurs uniques pour chaque référentiel. C'est le nombre de licences licences que vous pouvez libérer en supprimant l'accès à GitHub Advanced Security. Pour plus d'informations, consultez « À propos de la facturation pour GitHub Advanced Security ».

  1. Pour supprimer l'accès à GitHub Advanced Security d'un dépôt et libérer des licences utilisées par des commiteurs actifs qui sont uniques dans le dépôt, cliquez sur le adjacent.
  2. Dans la boîte de dialogue de confirmation, cliquez sur Supprimer le dépôt pour supprimer l'accès aux fonctionnalités de GitHub Advanced Security.

Remarque : Si vous supprimez l'accès à GitHub Advanced Security pour un dépôt, vous devez communiquer avec l'équipe de développement concernée afin qu'ils sachent que la modification était intentionnelle. Ceci garantit qu'ils ne perdent pas de temps à déboguer des exécutions d'analyse du code en échec.

Pour aller plus loin