About Dependabot security updates

Dependabot can fix vulnerable dependencies for you by raising pull requests with security updates.

About Atualizações de segurança do Dependabot

Atualizações de segurança do Dependabot make it easier for you to fix vulnerable dependencies in your repository. If you enable this feature, when a Dependabot alert is raised for a vulnerable dependency in the dependency graph of your repository, Dependabot automatically tries to fix it. For more information, see "About alerts for vulnerable dependencies" and "Configuring Atualizações de segurança do Dependabot."

GitHub may send Alertas do Dependabot to repositories affected by a vulnerability disclosed by a recently published GitHub security advisory. Para obter mais informações, consulte "Pesquisar vulnerabilidades de segurança em Banco de Dados Consultivo GitHub" e "Sobre Aviso de Segurança do GitHub."

Dependabot checks whether it's possible to upgrade the vulnerable dependency to a fixed version without disrupting the dependency graph for the repository. Then Dependabot raises a pull request to update the dependency to the minimum version that includes the patch and links the pull request to the Dependabot alert, or reports an error on the alert. For more information, see "Troubleshooting Dependabot errors."

Note

The Atualizações de segurança do Dependabot feature is available for repositories where you have enabled the dependency graph and Alertas do Dependabot. You will see a Dependabot alert for every vulnerable dependency identified in your full dependency graph. However, security updates are triggered only for dependencies that are specified in a manifest or lock file. Dependabot is unable to update an indirect or transitive dependency that is not explicitly defined. For more information, see "About the dependency graph."

You can enable a related feature, Atualizações de versão do Dependabot, so that Dependabot raises pull requests to update the manifest to the latest version of the dependency, whenever it detects an outdated dependency. For more information, see "About Dependabot version updates."

Quando Dependabot abre pull requests, estes podem ser para atualizações de segurança ou versão:

  • Atualizações de segurança do Dependabot are automated pull requests that help you update dependencies with known vulnerabilities.
  • Atualizações de versão do Dependabot are automated pull requests that keep your dependencies updated, even when they don’t have any vulnerabilities. Para verificar o status das atualizações da versão, acesse a aba Insights do seu repositório e, em seguida, gráfico de dependência e Dependabot.

About pull requests for security updates

Each pull request contains everything you need to quickly and safely review and merge a proposed fix into your project. This includes information about the vulnerability like release notes, changelog entries, and commit details. Details of which vulnerability a pull request resolves are hidden from anyone who does not have access to Alertas do Dependabot for the repository.

When you merge a pull request that contains a security update, the corresponding Dependabot alert is marked as resolved for your repository. For more information about Dependabot pull requests, see "Managing pull requests for dependency updates."

Observação: É uma prática recomendada ter testes automatizados e processos de aceitação em vigor para que as verificações sejam realizadas antes do merge do pull request. Isso é especialmente importante se a versão sugerida a ser atualizada contiver funcionalidades adicionais ou se uma mudança que quebrar o código do seu projeto. Para obter mais informações sobre a integração contínua, consulte "Sobre integração contínua".

About compatibility scores

Atualizações de segurança do Dependabot may include compatibility scores to let you know whether updating a dependency could cause breaking changes to your project. These are calculated from CI tests in other public repositories where the same security update has been generated. An update's compatibility score is the percentage of CI runs that passed when updating between specific versions of the dependency.

About notifications for Dependabot security updates

You can filter your notifications on GitHub to show Dependabot security updates. For more information, see "Managing notifications from your inbox."

Esse documento ajudou você?

Política de Privacidade

Ajude-nos a tornar esses documentos ótimos!

Todos os documentos do GitHub são de código aberto. Você percebeu que algo que está errado ou não está claro? Envie um pull request.

Faça uma contribuição

Ou, aprenda como contribuir.