Skip to main content

Atualmente o GitHub AE está em versão limitada.

Sobre alertas do Dependabot

O GitHub AE envia Dependabot alerts quando detectamos que o repositório usa uma dependência vulnerável.

Os Dependabot alerts são gratuitos para uso nos repositórios (de propriedade do usuário e da organização) do GitHub AE.

Sobre Dependabot alerts

Os Dependabot alerts informam que o código depende de um pacote que não é seguro.

Quando o código depende de um pacote que tem uma vulnerabilidade de segurança, isso pode causar uma série de problemas para o projeto ou para as pessoas que o usam. Você deve atualizar o pacote para uma versão segura o quanto antes.

Para obter mais informações, confira "Como procurar avisos de segurança no GitHub Advisory Database".

Detecção de dependências não seguras

Observação: atualmente, os Dependabot alerts estão em versão beta e sujeito a alterações.

Dependabot executa uma verificação da ramificação padrão do seu repositório para detectar dependências inseguras e envia Dependabot alerts quando:

  • Os novos dados de aviso são sincronizados do GitHub.com com o sua empresa por hora. Para obter mais informações, confira "Como procurar avisos de segurança no GitHub Advisory Database".

    Observação: apenas as consultorias que foram revisadas pelo GitHub vão disparar Dependabot alerts.

  • Quanto o grafo de dependência de um repositório é alterado. Por exemplo, quando um colaborador efetua push de um commit para alterar os pacotes ou as versões dependentes. Para obter mais informações, confira "Sobre o gráfico de dependências".

Observação: Dependabot não examina repositórios arquivados.

Além disso, GitHub pode revisar todas as dependências adicionadas, atualizadas ou removidas em uma solicitação de pull feita para a ramificação padrão de um repositório e sinalizar quaisquer alterações que introduziriam uma vulnerabilidade no seu projeto. Isso permite identificar e lidar com dependências vulneráveis antes, em vez de depois, que eles cheguem à sua base de código. Para obter mais informações, confira "Revendo alterações de dependência em um pull request".

Como Dependabot alerts depende do gráfico de dependência, os ecossistemas com suporte de Dependabot alerts são os mesmos com suporte do grafo de dependência. Para obter uma lista desses ecossistemas, confira "Sobre o gráfico de dependências".

Observação: é importante manter seus arquivos de manifesto e de bloqueio atualizados. Se o grafo de dependência não refletir corretamente as dependências e versões atuais, você poderá perder alertas sobre dependências não seguras que forem usadas. Você também pode receber alertas de dependências que você já não usa.

Configuração de Dependabot alerts

Os proprietários de empresa devem habilitar Dependabot alerts para o sua empresa antes de usar esse recurso. Para obter mais informações, confira "Habilitando o Dependabot para sua empresa".

Quando o GitHub AE identifica uma dependência vulnerável, geramos um alerta do Dependabot e o exibimos no grafo de dependência do repositório. O alerta inclui informações sobre uma versão corrigida.

O GitHub AE também pode notificar os mantenedores dos repositórios afetados sobre novos alertas de acordo com as preferências de notificação. Para saber mais, confira "Configurando notificações para alertas do Dependabot".

Observação: os recursos de segurança do GitHub AE não afirmam que capturam todas as vulnerabilidades. Mantemos ativamente um GitHub Advisory Database e geramos alertas com as informações mais atualizadas. No entanto, não podemos capturar tudo nem informar sobre vulnerabilidades conhecidas em um período garantido. Esses recursos não substituem a análise humana de cada dependência em busca de possíveis vulnerabilidades ou outros problemas. Portanto, recomendamos que você busque serviços de segurança ou realize uma análise de dependências completa sempre que necessário.

Acesso a Dependabot alerts

É possível ver todos os alertas que afetam determinado projeto no grafo de dependência do repositório. Para obter mais informações, confira "Visualizando e atualizando alertas do Dependabot".

Por padrão, notificaremos as pessoas com permissões de administrador nos repositórios afetados sobre os novos Dependabot alerts.

Você pode escolher o método de entrega para as notificações, bem como a frequência com que elas são enviadas a você. Para obter mais informações, confira "Configurando notificações para alertas do Dependabot".

Você também pode ver todos os Dependabot alerts que correspondem a uma vulnerabilidade específica no GitHub Advisory Database. Para obter mais informações, confira "Como procurar avisos de segurança no GitHub Advisory Database".