Gerenciando as configurações de segurança e de análise da sua organização

Sobre a gestão de configurações de segurança e análise

O GitHub pode ajudar você a proteger os repositórios na sua organização. É possível gerenciar os recursos de segurança e análise para todos os repositórios existentes ou novos que os integrantes criarem na sua organização. Organizações que usam GitHub Enterprise Cloud com uma licença para GitHub Advanced Security também podem gerenciar o acesso a essas funcionalidades. Para obter mais informações, confira a documentação do GitHub Enterprise Cloud.

Observação: você não pode desabilitar alguns recursos de segurança e análise que estão habilitados por padrão em repositórios públicos.

Se você habilitar recursos de segurança e análise, o GitHub executará a análise somente leitura no seu repositório. Para obter mais informações, confira "[AUTOTITLE](/get-started/privacy-on-github/about-githubs-use-of-your-data)".

Exibir as configurações de segurança e análise

No canto superior direito do GitHub.com, clique na foto do seu perfil e clique em Suas organizações.

2. Ao lado da organização, clique em Configurações.
Na seção "Segurança" da barra lateral, clique em Segurança de código e análise.

A página exibida permite que você habilite ou desabilite todas as funcionalidades de segurança e análise dos repositórios na sua organização.

Como habilitar ou desabilitar um recurso para todos os repositórios existentes

Você pode habilitar ou desabilitar funcionalidades para todos os repositórios. O impacto de suas alterações nos repositórios da organização é determinado pela visibilidade:

Relatórios privados de vulnerabilidades – suas alterações afetam apenas os repositórios públicos.
Grafo de dependência – Suas alterações afetam apenas repositórios privados porque a funcionalidade está sempre habilitada para repositórios públicos.
Dependabot alerts – Suas alterações afetam todos os repositórios.
Dependabot security updates – Suas alterações afetam todos os repositórios.
Secret scanning – Suas alterações afetam repositórios públicos. Essa opção controla se o alertas de verificação de segredo para usuários está ou não habilitado. Alertas de verificação de segredo para parceiros sempre é executado em todos os repositórios públicos.
Code scanning – Suas alterações afetam os repositórios públicos Para obter informações sobre repositórios qualificados, confira Como configurar a verificação de código em escala usando o CodeQL. Para repositórios que não estão qualificados para a configuração padrão, você pode definir a configuração avançada no nível do repositório. Para obter mais informações, confira "Como configurar a verificação de código para um repositório".

Acesse as configurações de segurança e análise do código da sua organização. Para obter mais informações, confira "Como exibir as configurações de segurança e análise".
Em "Segurança e análise de código", à direita do recurso, clique em Desabilitar tudo ou Habilitar tudo para exibir uma caixa de diálogo de confirmação.
Examine as informações na caixa de diálogo. Se estiver habilitando um recurso, você pode selecionar Habilitar por padrão para repositórios novos privados .
Quando estiver pronto para fazer as alterações, clique em Desabilitar RECURSO ou em Habilitar RECURSO para habilitar ou desabilitar o recurso em todos os repositórios da sua organização.

Observação: a capacidade de habilitar e desabilitar a configuração padrão do code scanning em repositórios qualificados de uma organização está atualmente em versão beta e sujeita a alterações. Durante a versão beta, se você desabilitar CodeQL code scanning em todos os repositórios, essa alteração não será refletida nas informações de cobertura mostradas na visão geral de segurança da organização. Vai parecer que os repositórios continuam com o code scanning habilitado nessa exibição.

Ao habilitar uma ou mais funcionalidades de segurança e análise para repositórios existentes, você verá todos os resultados exibidos em GitHub dentro de minutos:

Todos os repositórios existentes terão a configuração selecionada.
Os novos repositórios seguirão a configuração selecionada se você tiver habilitado a caixa de seleção de novos repositórios.
Usamos as permissões para digitalizar arquivos de manifesto para aplicar os serviços relevantes.
Se habilitado, você verá informações de dependência no grafo de dependência.
Se essa opção for habilitada, o GitHub vai gerar Dependabot alerts para dependências vulneráveis ou malware.
Se habilitado, as atualizações de segurança Dependabot criarão solicitações de pull para atualizar dependências vulneráveis quando Dependabot alerts são disparados.

Habilitar ou desabilitar uma funcionalidade automaticamente quando novos repositórios forem adicionados

Vá para as configurações de segurança e análise da sua organização. Para obter mais informações, confira "Como exibir as configurações de segurança e análise".
Em "Segurança e análise de código", encontre o recurso e habilite ou desabilite-o para todos os novos repositórios, ou todos os novos repositórios privados, na sua organização.

Permitir que Dependabot acesse dependências privadas

Dependabot pode verificar referências de dependências desatualizadas em um projeto e gerar automaticamente um pull request para atualizá-las. Para fazer isso, Dependabot deve ter acesso a todos os arquivos de dependência de destino. Normalmente, atualizações da versão irão falhar se uma ou mais dependências forem inacessíveis. Para obter mais informações, confira "Sobre as atualizações da versão do Dependabot".

Por padrão, Dependabot não pode atualizar as dependências que estão localizadas em repositórios privados ou registros de pacotes privados. Entretanto, se uma dependência estiver em um repositório privado de GitHub dentro da mesma organização que o projeto que usa essa dependência, você pode permitir que Dependabot atualize a versão com sucesso, dando-lhe acesso à hospedagem do repositório.

Se seu código depende de pacotes em um registro privado, você pode permitir que Dependabot atualize as versões dessas dependências configurando isso no nível do repositório. Você faz isso adicionando detalhes de autenticação ao arquivo dependabot.yml do repositório. Para obter mais informações, confira "Opções de configuração para o arquivo dependabot.yml".

Para permitir que Dependabot acesse um repositório privado de GitHub:

Vá para as configurações de segurança e análise da sua organização. Para obter mais informações, confira "Como exibir as configurações de segurança e análise".
Em "Conceder ao Dependabot acesso a repositórios privados", clique em Adicionar repositórios privados ou Adicionar repositórios internos e privados para exibir um campo de pesquisa de repositórios.
Comece a digitar o nome do repositório ao qual você deseja que o Dependabot tenha acesso.
Uma lista de repositórios correspondentes na organização é exibida; clique no repositório ao qual você deseja permitir o acesso e isso adicionará o repositório à lista de permitidos.
Opcionalmente, para remover um repositório da lista, à direita do repositório, clique em .