Skip to main content

Sobre a varredura de código

Você pode usar code scanning para encontrar vulnerabilidades e erros de segurança no código do seu projeto no GitHub.

Quem pode usar esse recurso?

A Code scanning está disponível para todos os repositórios públicos do GitHub.com. A Code scanning também está disponível em repositórios privados pertencentes às organizações que usam o GitHub Enterprise Cloud e que têm uma licença do GitHub Advanced Security. Para obter mais informações, confira "Sobre a Segurança Avançada do GitHub".

Sobre a code scanning

A Code scanning é um recurso que você usa para analisar o código em um repositório GitHub para encontrar vulnerabilidades de segurança e erros de codificação. Os problemas que forem identificados pela análise serão mostrados em seu repositório.

Você pode usar code scanning para encontrar, triar e priorizar correções de problemas existentes em seu código. O Code scanning também impede que os desenvolvedores introduzam novos problemas. É possível programar verificações para dias e horários específicos ou acionar varreduras quando ocorre um evento específico no repositório, como, por exemplo, um push.

Se code scanning encontrar uma vulnerabilidade potencial ou erro no seu código, GitHub exibirá um alerta no repositório. Depois de corrigir o código que desencadeou o alerta, GitHub fechará o alerta. Para obter mais informações, confira "Gerenciamento de alertas de varredura de código para seu repositório".

Para monitorar os resultados de code scanning nos seus repositórios ou organização, você pode usar webhooks e a API de code scanning. Para saber mais sobre os webhooks da code scanning, confira "Eventos e cargas de webhook". Para saber mais sobre os pontos de extremidade de API, confira "Pontos de extremidade da API REST para varredura de código".

Para começar a usar a code scanning, confira "Como definir a configuração padrão da verificação de código".

Sobre a cobrança da code scanning

O Code scanning usa GitHub Actions, e cada execução de um fluxo de trabalho do code scanning consome minutos para GitHub Actions. Para obter mais informações, confira "Sobre a cobrança das GitHub Actions".

Para usar code scanning em um repositório privado, também será necessário ter uma licença para o GitHub Advanced Security. Para obter informações sobre como é possível testar o GitHub Enterprise com o GitHub Advanced Security de forma gratuita, confira “Configurar uma versão de avaliação do GitHub Enterprise Cloud” e “Como configurar uma avaliação gratuita do GitHub Advanced Security” na documentação do GitHub Enterprise Cloud.

Sobre ferramentas para code scanning

Você pode configurar code scanning para usar o produto de CodeQL mantido por GitHub ou pela ferramenta code scanning de terceiros.

Sobre a análise de CodeQL

CodeQL é o mecanismo de análise de código desenvolvido por GitHub para automatizar verificações de segurança. Você pode analisar seu código usando CodeQL e exibir os resultados como alertas de code scanning. Para saber mais sobre o CodeQL, confira "Sobre a varredura de código com CodeQL".

Sobre ferramentas de code scanning de terceiros

A Code scanning é interoperável com ferramentas de verificação de código de terceiros que geram dados SARIF (Static Analysis Results Interchange Format). SARIF é um padrão aberto. Para obter mais informações, confira "Suporte SARIF para a varredura de código".

Você pode executar ferramentas de análise de terceiros em GitHub usando ações ou em um sistema CI externo. Para obter mais informações, confira "Como definir a configuração avançada da verificação de código" ou "Fazer o upload de arquivo SARIF para o GitHub".

Sobre a página de status da ferramenta

A página de status da ferramenta mostra informações úteis sobre todas as ferramentas de verificação de código. Se a verificação de código não estiver funcionando como você esperava, a página de status da ferramenta será um bom ponto de partida para problemas de depuração. Para obter mais informações, confira "Sobre a página de status da ferramenta para a verificação de código".