Code security guides
Saiba mais sobre as diferentes maneiras que GitHub pode ajudar você a melhorar a segurança do seu código.
Corrigir e divulgar uma vulnerabilidade de segurança
Uso de consultorias de segurança do repositório para corrigir de forma privada uma vulnerabilidade relatada e obter um CVE.Iniciar roteiro de aprendizagem- 1Visão geral
Sobre a divulgação coordenada de vulnerabilidades de segurança
A divulgação das vulnerabilidades é um esforço coordenado entre os relatores de segurança e os mantenedores de repositório. - 2Visão geral
Sobre o banco de dados de avisos do GitHub
O GitHub Advisory Database contém uma lista de vulnerabilidades de segurança e conhecidas e malwares, agrupados em duas categorias: avisos examinados pelo GitHub e avisos não examinados. - 3Visão geral
Sobre os avisos de segurança global
O banco de dados de segurança global reside no GitHub Advisory Database, que contém CVEs e avisos de segurança originados em GitHub que afetam o mundo do código aberto. Você pode contribuir para melhorar os avisos globais. - 4Visão geral
Sobre os avisos de segurança do repositório
Você pode usar avisos de segurança do repositório para discutir de maneira privada, corrigir e publicar informações sobre vulnerabilidades de segurança em seu repositório. - 5Guia de instruções
Melhores práticas para escrever avisos de segurança do repositório
Quando você cria ou edita avisos de segurança, os outros usuários conseguem entender melhor as informações fornecidas quando são especificados o ecossistema, o nome do pacote e as versões afetadas usando os formatos padrão. - 6Guia de instruções
Como relatar de modo privado uma vulnerabilidade de segurança
Alguns repositórios públicos configuram avisos de segurança para que qualquer pessoa possa relatar vulnerabilidades de segurança de modo direto e privado aos mantenedores. - 7Guia de instruções
Gerenciar vulnerabilidades de segurança relatadas privadamente
Os responsáveis pela manutenção dos repositórios podem gerenciar vulnerabilidades de segurança relatadas de maneira privada por pesquisadores de segurança com relação a repositórios em que há relatórios privados de vulnerabilidade habilitados. - 8Guia de instruções
Como configurar relatórios privados de vulnerabilidades em um repositório
Os proprietários e os administradores de repositórios públicos podem permitir que os pesquisadores de segurança relatem as vulnerabilidades com segurança no repositório habilitando os relatórios privados de vulnerabilidades. - 9Guia de instruções
Criando uma consultoria de segurança do repositório
Você pode criar um projeto de consultoria de segurança para discutir e corrigir de forma privada uma vulnerabilidade de segurança no seu projeto de código aberto. - 10Guia de instruções
Adicionando um colaborador a uma consultoria de segurança de repositório
É possível adicionar outros usuários ou equipes para colaborar em uma consultoria de segurança com você. - 11Guia de instruções
Colaborando em uma bifurcação privada temporária para resolver uma vulnerabilidade de segurança do repositório
Você pode criar uma bifurcação privada temporária para colaborar de maneira privada na correção de uma vulnerabilidade de segurança em seu repositório. - 12Guia de instruções
Publicando uma consultoria de segurança do repositório
Você pode publicar uma consultoria de segurança para alertar a sua comunidade sobre uma vulnerabilidade de segurança no seu projeto. - 13Guia de instruções
Editando uma consultoria de segurança do repositório
Você pode editar os metadados e a descrição de uma consultoria de segurança do repositório, se precisar atualizar detalhes ou corrigir erros. - 14Guia de instruções
Retirando uma consultoria de segurança do repositório
Você pode retirar uma consultoria de segurança do repositório que você publicou. - 15Guia de instruções
Removendo um colaborador de uma consultoria de segurança de repositório
Ao remover um colaborador de uma consultoria de segurança do repositório, ele perderá acesso de leitura e gravação às discussões e metadados da consultoria de segurança.
Code security learning paths
Obter notificações para dependências inseguras
Configure o Dependabot para alertar sobre novas vulnerabilidades ou malware em suas dependências.
Obtenha solicitações de pull para atualizar suas dependências vulneráveis
Configure o Dependabot para criar solicitações de pull quando novas vulnerabilidades forem relatadas.
Mantenha suas dependências atualizadas
Use o Dependabot para verificar novas versões e criar solicitações de pull para atualizar suas dependências.
Examinar em busca de segredos
Configure o exame de segredos para evitar verificações acidentais de tokens, senhas e outros segredos do seu repositório.
Execute o exame de código com o GitHub Actions
Verifique seu branch padrão e cada solicitação de pull para manter seu repositório sem vulnerabilidades e erros.
Execute o exame de código CodeQL na sua CI
Configure o CodeQL dentro da sua CI existente e faça o upload dos resultados para o exame de código do GitHub.
Integrar com o exame de código
Faça o upload de resultados da análises de código de sistemas de terceiros para o GitHub usando o SARIF.
Cadeia de suprimentos de ponta a ponta
Como considerar a proteção de suas contas de usuário, códigos e processos de criação.
All Code security guides
Adicionar uma política de segurança a um repositório
Guia de instruçõesVocê pode dar instruções sobre como relatar uma vulnerabilidade de segurança no seu projeto, adicionando uma política de segurança ao seu repositório.
- Security policies
- Vulnerabilities
- Repositories
- Health
Recursos de segurança do GitHub
Visão geralUma visão geral das funcionalidades de segurança de GitHub
- Repositories
- Dependencies
- Vulnerabilities
- Advanced Security
Como proteger sua organização
Guia de instruçõesVocê pode usar uma série de funcionalidades de GitHub para ajudar a manter a sua organização protegida.
- Organizations
- Dependencies
- Vulnerabilities
- Advanced Security
Proteger o repositório
Guia de instruçõesVocê pode usar uma série de funcionalidades de GitHub para ajudar a manter seu repositório protegido.
- Repositories
- Dependencies
- Vulnerabilities
- Advanced Security
Sobre a verificação de segredo
Visão geralO GitHub verifica repositórios em busca de tipos de segredos conhecidos a fim de impedir o uso fraudulento de segredos que sofreram commit acidentalmente.
- Secret scanning
- Advanced Security
Configurar a verificação de segredo para seus repositórios
Guia de instruçõesVocê pode configurar como GitHub digitaliza os seus repositórios vom relação a segredos que correspondem a padrões avançados de segurança.
- Secret scanning
- Advanced Security
- Repositories
Definir padrões personalizados para a verificação de segredo
Guia de instruçõesÉ possível estender o para detectar segredos além dos padrões predefinidos.
- Advanced Security
- Secret scanning
Gerenciar alertas da verificação de segredo
Guia de instruçõesVocê pode visualizar e fechar alertas de segredos verificados para seu repositório.
- Secret scanning
- Advanced Security
- Alerts
- Repositories
Como proteger pushes com a verificação de segredos
Guia de instruçõesVocê pode usar a secret scanning para impedir que segredos com suporte sejam enviados por push à organização ou ao repositório habilitando a proteção contra push.
- Secret scanning
- Advanced Security
- Alerts
- Repositories