Skip to main content
Publicamos atualizações frequentes em nossa documentação, e a tradução desta página ainda pode estar em andamento. Para obter as informações mais atualizadas, acesse a documentação em inglês.

Proteger o repositório

Você pode usar uma série de funcionalidades de GitHub para ajudar a manter seu repositório protegido.

Quem pode usar esse recurso

Repository administrators and organization owners can configure repository security settings.

Introdução

Este guia mostra como configurar as funcionalidades de segurança para um repositório. Você deve ser um administrador ou proprietário da organização do repositório para definir as configurações de segurança para um repositório.

As suas necessidades de segurança são únicas para o seu repositório. Portanto, talvez não seja necessário habilitar todos os recursos para o seu repositório. Para obter mais informações, confira "Recursos de segurança do GitHub".

Alguns recursos estão disponíveis para os repositórios em todos os planos. Há recursos adicionais disponíveis para as empresas que usam o GitHub Advanced Security. Os recursos do GitHub Advanced Security também estão habilitados para todos os repositórios públicos no GitHub.com. Para obter mais informações, confira "Sobre o GitHub Advanced Security".

Fixar um problema no repositório

O primeiro passo para proteger um repositório é definir quem pode ver e modificar o seu código. Para obter mais informações, confira "Como gerenciar as configurações do repositório".

Na página principal do repositório, clique em Configurações e role a página para baixo até a "Zona de Perigo".

Gerenciar o gráfico de dependências

O grafo de dependência é gerado automaticamente para todos os repositórios públicos. Você pode optar por habilitá-lo para forks e repositórios privados. O grafo de dependência interpreta arquivos de manifesto e de bloqueio em um repositório para identificar dependências.

  1. Na página principal do repositório, clique em Configurações.
  2. Clique em Segurança e análise.
  3. Ao lado de Grafo de dependência, clique em Habilitar ou Desabilitar.

Para obter mais informações, confira "Como explorar as dependências de um repositório".

Gerenciar Dependabot alerts

Dependabot alerts são gerados quando GitHub identifica uma dependência no gráfico de dependências com uma vulnerabilidade. Você pode habilitar Dependabot alerts para qualquer repositório.

  1. Clique na foto do seu perfil e em Configurações.
  2. Clique em Segurança e análise.
  3. Clique em Habilitar tudo ao lado dos Dependabot alerts.

Para obter mais informações, confira "Sobre os Dependabot alerts" e "Como gerenciar as configurações de segurança e análise para sua conta pessoal".

Gerenciando revisão de dependências

A revisão de dependências permite visualizar alterações de dependência em pull requests antes de serem mescladas nos seus repositórios. Para obter mais informações, confira "Sobre a revisão de dependência".

A revisão de dependência é um recurso de GitHub Advanced Security. A revisão de Dependência já está habilitada para todos os repositórios públicos. Para habilitar a revisão de dependências para um repositório privado ou interno , assegure que o gráfico de dependências esteja habilitado e habilite GitHub Advanced Security.

  1. Na página principal do repositório, clique em Configurações.
  2. Clique em Segurança e análise.
  3. Se o grafo de dependência ainda não estiver habilitado, clique em Habilitar.
  4. Se o GitHub Advanced Security ainda não estiver habilitado, clique em Habilitar.

Gerenciar Dependabot security updates

Para qualquer repositório que usar Dependabot alerts, você pode habilitar Dependabot security updates para abrir pull requests com atualizações de segurança quando forem detectadas vulnerabilidades.

  1. Na página principal do repositório, clique em Configurações.
  2. Clique em Segurança e análise.
  3. Ao lado das Dependabot security updates, clique em Habilitar.

Para obter mais informações, confira "Sobre as Dependabot security updates" e "Como configurar os Dependabot security updates".

Gerenciar Dependabot version updates

Você pode habilitar Dependabot para aumentar automaticamente os pull requests para manter suas dependências atualizadas. Para obter mais informações, confira "Sobre as Dependabot version updates".

  1. Na página principal do repositório, clique em Configurações.
  2. Clique em Segurança e análise.
  3. Ao lado de Dependabot version updates, clique em Habilitar para criar um arquivo de configuração dependabot.yml básico.
  4. Especifique as dependências para atualizar o arquivo e fazer commit no repositório. Para obter mais informações, confira "Como configurar as atualizações de versão do Dependabot".

Como configurar a code scanning

Você pode configurar o code scanning para identificar automaticamente vulnerabilidades e erros no código armazenado em seu repositório usando um CodeQL analysis workflow ou uma ferramenta de terceiros. Dependendo das linguagens de programação em seu repositório, você pode configurar code scanning com CodeQL usando as definições padrão, em que GitHub determina automaticamente os idiomas que serão verificados, os conjuntos de consultas que serão executados e os eventos que acionarão uma nova verificação.

  1. Na página principal do repositório, clique em Configurações.
  2. Na seção "Segurança" da barra lateral, clique em Segurança e análise de código.
  3. Na seção "Code scanning", selecione Configurar e clique em Padrão.
  4. Na janela pop-up exibida, examine as configurações padrão do repositório e clique em Habilitar o CodeQL .

Como alternativa, você pode usar a configuração avançada, que gera um arquivo de fluxo de trabalho que pode ser editado para personalizar a sua code scanning com o CodeQL. Para obter mais informações, confira "Como configurar code scanning para um repositório".

Code scanning está disponível para todos os repositórios públicos e para os repositórios privados pertencentes a organizações que fazem parte de uma empresa com uma licença para GitHub Advanced Security.

Configurar o secret scanning

Os Secret scanning são habilitados para todos os repositórios públicos e está disponível para repositórios privados pertencentes a organizações que fazem parte de uma empresa com uma licença para GitHub Advanced Security. A Secret scanning já pode estar habilitada no seu repositório, dependendo das configurações da sua organização.

  1. Na página principal do repositório, clique em Configurações.
  2. Clique em Segurança e análise.
  3. Se o GitHub Advanced Security ainda não estiver habilitado, clique em Habilitar.
  4. Ao lado da Secret scanning, clique em Habilitar.

Definir uma política de segurança

Se você é um mantenedor de repositório, é uma boa prática especificar uma política de segurança para o repositório criando um arquivo chamado SECURITY.md nele. Este arquivo instrui os usuários sobre a melhor forma de contatar e colaborar com você quando quiserem relatar vulnerabilidades de segurança em seu repositório. Você pode exibir a política de segurança de um repositório na guia Segurança dele.

  1. Na página principal do repositório, clique em Segurança.
  2. Clique em Política de segurança.
  3. Clique em Iniciar instalação.
  4. Adicione informações sobre versões compatíveis do seu projeto e como relatar vulnerabilidades.

Para obter mais informações, confira "Como adicionar uma política de segurança ao seu repositório".

Próximas etapas

Você pode visualizar e gerenciar alertas de funcionalidades de segurança para resolver dependências e vulnerabilidades no seu código. Para saber mais, confira "Como exibir e atualizar Dependabot alerts," "Como gerenciar solicitações de pull para atualizações de dependência", "Como gerenciar a code scanning do repositório" e "Como gerenciar os alertas da secret scanning".

Se você tiver uma vulnerabilidade de segurança, você poderá criar uma consultoria de segurança para discutir em privado e corrigir a vulnerabilidade. Para obter mais informações, confira "Sobre os avisos de segurança do repositório" e "Criar um consultor de segurança".