Creación de una configuración de seguridad personalizada

Cree una custom security configuration para satisfacer las necesidades de seguridad específicas de los repositorios de su organización.

¿Quién puede utilizar esta característica?

Propietarios de la organización, administradores de seguridad y miembros de la organización con el rol de administrador

En este artículo

Acerca de custom security configurations

Se recomienda proteger la organización con la GitHub-recommended security configuration y después evaluar los resultados de seguridad en los repositorios antes de configurar custom security configurations. Para más información, consulta Aplicación de la configuración de seguridad recomendada por GitHub en su organización.

Con custom security configurations, puede crear colecciones de opciones de configuración de habilitación para los productos de seguridad de GitHub para satisfacer las necesidades de seguridad específicas de su organización. Por ejemplo, puede crear una custom security configuration diferente para cada grupo de repositorios para reflejar sus diferentes niveles de visibilidad, tolerancia al riesgo e impacto.

También puedes elegir si desea incluir o no las características de GitHub Code Security o GitHub Secret Protection en una configuración. Si lo haces, ten en cuenta que estas características incurren en costos de uso (o requieren licencias de GitHub Advanced Security) cuando se aplican a repositorios privados e internos. Para más información, consulta Acerca de GitHub Advanced Security.

Cómo crear una custom security configuration

Note

El estado de habilitación de algunas características de seguridad depende de otras características de seguridad de nivel superior. Por ejemplo, deshabilitar el gráfico de dependencias también deshabilitará Dependabot y las actualizaciones de seguridad. Para security configurations, las características de seguridad dependientes se indican con una sangría.

  1. En la esquina superior derecha de GitHub, selecciona la foto del perfil y haz clic en Tus organizaciones.

  2. En el nombre de la organización, haz clic en Configuración. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.

    Captura de pantalla de las pestañas en el perfil de una organización. La pestaña "Configuración" se destaca en naranja oscuro.

  3. En la sección "Seguridad" de la barra lateral, selecciona el menú desplegable Advanced Security y, a continuación, haz clic en Configuraciones.

  4. En la sección "Security configurations", haz clic en Nueva configuración.

  5. Para ayudar a identificar tu custom security configuration y clarificar su finalidad en la página "Security configurations", asigna un nombre a la configuración y crea una descripción.

  6. Opcionalmente, habilita "Secret Protection", una característica de pago para repositorios privados . Al habilitar Secret Protection se habilitan alertas para secret scanning. Además, puedes elegir si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de secret scanning:

  7. Opcionalmente, habilita "Code Security", una característica de pago para repositorios privados . Puedes elegir si quieres habilitar, deshabilitar o mantener la configuración existente para las siguientes características de code scanning:

  8. Todavía en "Code Security", en la tabla "Análisis de dependencias", elige si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de análisis de dependencias:

  9. En "Informes de vulnerabilidades privadas", elige si deseas habilitar, deshabilitar o mantener la configuración existente. Para obtener más información sobre los informes de vulnerabilidades privadas, consulta Configuración de informes de vulnerabilidades privadas para un repositorio.

  10. Opcionalmente, en la sección "Directiva", puedes usar opciones adicionales para controlar cómo se aplica la configuración:

    • Usar como valor predeterminado para los repositorios recién creados. Selecciona el menú desplegable None y, a continuación, haz clic en Public, Private and internal o All repositories.

      Note

      La security configuration predeterminada para una organización solo se aplica automáticamente a los nuevos repositorios creados en tu organización. Si un repositorio se transfiere a su organización, deberá aplicar manualmente un security configuration adecuado al repositorio.

    • Aplicar la configuración. Bloquearás a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración, pero las características que no están establecidas no se aplican. Selecciona Aplicar en el menú desplegable.

  11. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Note

Si un usuario de la empresa intenta cambiar el estado de habilitación de una característica en una configuración aplicada mediante la API de REST, la llamada a la API aparecerá correctamente, pero no cambiarán los estados de habilitación.

Algunas situaciones pueden interrumpir la aplicación de security configurations para un repositorio. Por ejemplo, la habilitación de code scanning no se aplicará a un repositorio si:

  • GitHub Actions está habilitado inicialmente en el repositorio, pero luego se deshabilita en el repositorio.
  • Los GitHub Actions requeridos por code scanning no están disponibles en el repositorio.
  • Se cambia la definición para la que no se deben analizar los idiomas mediante la configuración predeterminada code scanning.

Pasos siguientes

Para aplicar su custom security configuration a los repositorios de su organización, consulta Aplicación de una configuración de seguridad personalizada.

Para obtener información sobre cómo editar tu custom security configuration, consulta Edición de una configuración de seguridad personalizada.