Resolución de un host bloqueado en un trabajo de actualización de Dependabot

Cada tarea de actualización de Dependabot se ejecuta detrás de un proxy HTTP/HTTPS. El proxy comprueba el host de cada solicitud saliente en una lista de permitidos de salida. Bloquea las solicitudes a los hosts que no están en la lista.

Esto reduce el riesgo de que una dependencia malintencionada o un script de compilación puedan enviar contenido del repositorio o credenciales del Registro a un destino no aprobado. No impide que los datos se envíen a un host permitido o comprometido.

La mayoría de los trabajos no se ven afectados. La lista de permisos ya cubre registros públicos, réplicas, CDN y servidores de descarga para los ecosistemas compatibles, así como la infraestructura de GitHub. Los registros configurados y a los que se hace referencia para un trabajo también se permiten automáticamente.

Un registro cuenta como configurado solo cuando se declara en la clave dependabot.yml de nivel superior del archivo , o cuando un propietario de la organización lo agrega como un registro privado registries a nivel de organización. Definir un registro únicamente en un archivo de configuración nativo del ecosistema, como .npmrc, nuget.config, pip.conf o el settings.xml de Maven, no permite especificar su servidor. El administrador de paquetes lee el registro de ese archivo e intenta llegar a él, pero el proxy bloquea la solicitud.

Identificación de una solicitud bloqueada en los registros de trabajo

Cuando el proxy bloquea una solicitud, devuelve 403 Forbidden a la tarea de actualización. El error suele aparecer como un error de autenticación o red del administrador de paquetes. Compruebe las líneas de proxy en el registro de la tarea para confirmar la causa. Para obtener información sobre cómo abrir registros de trabajos, consulte Visualización de registros de trabajos de Dependabot.

Una solicitud bloqueada tiene este aspecto:

proxy | 2026/09/24 20:58:15 [052] GET https://packages.example.com:443/v2/my-package/tags/list
proxy | 2026/09/24 20:58:15 [052] * egress not allowlisted packages.example.com
proxy | 2026/09/24 20:58:15 [052] 403 https://packages.example.com:443/v2/my-package/tags/list
proxy | 2026/09/24 20:58:15 [052] Remote response: Forbidden

Las líneas del proxy tienen el prefijo proxy |y [052] es el número de solicitud que agrupa las líneas de una sola solicitud. La egress not allowlisted línea asigna un nombre al host exacto que produjo un error en la comprobación. Use ese host para decidir qué hacer a continuación.

Cómo se autorizan los hosts

Se permiten dos conjuntos independientes de anfitriones para cada tarea.

Los servidores predeterminados incluyen repositorios públicos, réplicas, CDN y servidores de descarga para los ecosistemas compatibles. También incluyen la infraestructura de GitHub y Dependabot. GitHub mantiene esta lista en el dependabot/proxy repositorio y se aplica a cada trabajo.

Los hosts de cada trabajo provienen de registros configurados para un trabajo específico. Declare un registro bajo la clave registries de nivel superior en el archivo dependabot.yml y haga referencia a él desde una entrada updates. Entonces, el host del registro queda permitido para ese trabajo sin cambiar los valores predeterminados.

Declare el registro incluso si permite el acceso anónimo. Es la declaración en dependabot.yml, no la presencia de credenciales, que hace que el host sea accesible.

Los propietarios de la organización también pueden permitir el host de un registro para los trabajos en toda la organización agregando el registro como un registro privado de nivel de organización. Para un registro que no requiera autenticación, use el método de autenticación anónimo . No se almacenan ni envían credenciales. Consulte Conceder acceso a las características de seguridad a registros privados.

Esta división determina dónde pertenece un host bloqueado.

• Un registro público o un servidor de descargas que las tareas de otros usuarios puedan necesitar legítimamente debe incluirse entre los valores predeterminados. Consulte Adición de un host a los valores predeterminados.
• Un registro privado o específico de una organización va en tu archivo dependabot.yml, nunca en la configuración predeterminada. Configúrelo en registries para que solo se permita para los trabajos que lo necesiten. Consulte Configuración del acceso a registros privados para Dependabot. Como alternativa, un propietario de la organización puede agregarlo como registro privado de nivel de organización.

Adición de un host a los valores predeterminados

Si un host bloqueado es un registro público, un reflejo, una red CDN o un host de descarga, puede proponer agregarlo abriendo una solicitud de incorporación de cambios en dependabot/proxy. Una adición aceptada se aplica a cada Dependabot trabajo de actualización, no solo a los trabajos de su organización.

El repositorio proporciona una habilidad de agente que guía Copilot en este proceso, desde comprobar si el host debe incluirse en la configuración predeterminada hasta abrir la solicitud de incorporación de cambios. Al trabajar en el repositorio dependabot/proxy, indique a Copilot que un host está bloqueado, pídale que añada un host a la lista de permitidos o pegue las líneas bloqueadas del registro de la tarea. Por ejemplo, "repo.example.org está bloqueado" o "añade foo.bar.com a la lista de permitidos". De lo contrario, siga estos pasos.

1. Confirme que el host está incluido en la configuración predeterminada. Debe ser un host público que los trabajos de otros usuarios podrían necesitar legítimamente, no uno específico de su organización. Confirme quién controla el host y por qué un ecosistema compatible requiere acceso a él. Si el servidor es específico de su organización, configúrelo en su archivo dependabot.yml en su lugar.
2. Compruebe el host de los registros de trabajo. Tenga en cuenta el nombre de host exacto que aparece en la línea egress not allowlisted. Los registros a menudo redirigen las descargas a un almacenamiento independiente o host de CDN, por lo que debe comprobar si se bloqueó más de un host.
3. Abra una pull request para añadir el nombre de host exacto en la sección correspondiente de internal/handlers/egress_allowlist_defaults.yaml. Incluya una breve nota que explique quién controla el anfitrión y qué ofrece. Siga los comentarios del archivo para elegir la sección correcta y aplicar sus convenciones. Un mantenedor revisará el cambio.

Si no está seguro de si un host bloqueado debe añadirse a los valores predeterminados o configurarse en su archivo dependabot.yml, pregunte en el repositorio dependabot/proxy.