Creación de una configuración de seguridad personalizada

Si está familiarizado con los productos de GitHub y tiene necesidades de seguridad específicas que GitHub-recommended security configuration no puede cumplir, puede crear y aplicar custom security configurations. Para más información, consulta Configuraciones de seguridad.

Creación de una configuración de Secret Protection and Code Security

1. En la esquina superior derecha de GitHub, haz clic en la foto del perfil y luego en Your organizations.

2. Debajo del nombre de la organización, haz clic en Settings. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.

   

3. En la sección "Security" de la barra lateral, selecciona el menú desplegable Advanced Security y, después, haz clic en Configurations.

4. En la sección "Security configurations", haz clic en Nueva configuración.

5. Para ayudar a identificar tu custom security configuration y clarificar su finalidad en la página "Security configurations", asigna un nombre a la configuración y crea una descripción.

6. Opcionalmente, habilita "Secret Protection", una característica de pago para repositorios privados e internos . Al habilitar Secret Protection se habilitan alertas para secret scanning. Además, puedes elegir si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de secret scanning: * Comprobaciones de validez. Para obtener más información sobre las comprobaciones de validez de los patrones de partners, consulte Acerca de las comprobaciones de validez y Evaluación de alertas del análisis de secretos. * Metadatos extendidos. Para más información sobre las comprobaciones de metadatos extendidas, consulte Acerca de las comprobaciones de metadatos extendidas y Evaluación de alertas del análisis de secretos.

   Nota:

   Solo puede habilitar comprobaciones de metadatos extendidas si están habilitadas las comprobaciones de validez.

   •     **Patrones no relacionados con proveedores**. Para obtener más información sobre el examen de patrones que no son de proveedor, consulta [AUTOTITLE](/code-security/secret-scanning/introduction/supported-secret-scanning-patterns#non-provider-patterns) y [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/viewing-alerts).
     

   •     **Búsqueda de contraseñas genéricas**. Para obtener más información, consulta [AUTOTITLE](/code-security/secret-scanning/copilot-secret-scanning/responsible-ai-generic-secrets).
     

   •     **Protección contra el envío de cambios**. Para obtener información sobre la protección de inserción, consulta [AUTOTITLE](/code-security/secret-scanning/introduction/about-push-protection).
     

   •     **Omisión de privilegios**. Al asignar privilegios de omisión, los miembros de la organización seleccionados pueden omitir la protección contra el envío de cambios y hay un proceso de revisión y aprobación para los demás colaboradores. Consulta [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/delegated-bypass-for-push-protection/about-delegated-bypass-for-push-protection).
     

   •     **Prevención de descarte directo de alertas**. Para obtener más información, consulta [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/enabling-delegated-alert-dismissal-for-secret-scanning).
     

7. Opcionalmente, habilita "Code Security", una característica de pago para repositorios privados e internos . Puedes elegir si quieres habilitar, deshabilitar o mantener la configuración existente para las siguientes características de code scanning: * Configuración predeterminada. Para más información sobre la configuración predeterminada, consulta Establecimiento de la configuración predeterminada para el examen del código.

•      **Tipo de ejecutor**. Si deseas dirigirte a ejecutores específicos para code scanning, puedes elegir usar ejecutores etiquetados personalizados en este paso. Consulta [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners).
  

* 

          **Prevención de descarte directo de alertas**. Para obtener más información, consulta [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).

1. Todavía en "Code Security", en la tabla "Análisis de dependencias", elige si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de análisis de dependencias: * Gráfico de dependencias. Para obtener información sobre el gráfico de dependencias, consulta Sobre el gráfico de dependencias.

   Sugerencia

   Cuando "Code Security" y el gráfico de dependencias están habilitados, esto habilita la revisión de dependencias, consulta Acerca de la revisión de dependencias.

   •      **Envío automático de dependencias**. Para obtener información sobre el envío automático de dependencias, consulta [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository).
     

   •      **Alertas de Dependabot**. Para más información sobre Dependabot, consulta [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts).
     

   •      **Actualizaciones de seguridad**. Para obtener información sobre las actualizaciones de seguridad, consulte [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates). 
     

   •      **Prevención de descarte directo de alertas**. Para más información, consulte [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal).
     

2. En "Informes de vulnerabilidades privadas", elige si deseas habilitar, deshabilitar o mantener la configuración existente. Para obtener más información sobre los informes de vulnerabilidades privadas, consulte Configuración de informes de vulnerabilidades privadas para un repositorio.

3. Opcionalmente, en la sección "Directiva", puedes usar opciones adicionales para controlar cómo se aplica la configuración: * Usar como valor predeterminado para los repositorios recién creados. Selecciona el menú desplegable None y, después, haz clic en Public o en Private and internal, o en All repositories.

   Nota:

   La security configuration predeterminada para una organización solo se aplica automáticamente a los nuevos repositorios creados en tu organización. Si un repositorio se transfiere a su organización, deberá aplicar manualmente un security configuration adecuado al repositorio.

   •      **Aplicar la configuración**. Bloquearás a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración, pero las características que no están establecidas no se aplican. Selecciona **Aplicar** en el menú desplegable.
     

   Nota:

   Algunas situaciones pueden interrumpir la aplicación de security configurations. Consulta Cumplimiento de la configuración de seguridad.

4. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Creación de una configuración GitHub Advanced Security

1. En la esquina superior derecha de GitHub, haz clic en la foto del perfil y luego en Your organizations.

2. Debajo del nombre de la organización, haz clic en Settings. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.

   

3. En la sección "Security" de la barra lateral, selecciona el menú desplegable Advanced Security y, después, haz clic en Configurations.

4. En la sección "Configuraciones de seguridad", haga clic en Nueva configuración.

5. Para ayudar a identificar su custom security configuration y clarificar su finalidad en la página "Nueva configuración", asigne un nombre a la configuración y cree una descripción.

6. En la fila "Características de GitHub Advanced Security", elige si quieres incluir o excluir características de GitHub Advanced Security (GHAS).

7. En la tabla "Secret scanning", elija si desea habilitar, deshabilitar o mantener la configuración existente para las siguientes características de seguridad: * Comprobaciones de validez. Para obtener más información sobre las comprobaciones de validez de los patrones de asociados, consulta Evaluación de alertas del análisis de secretos * Patrones no relacionados con proveedores. Para obtener más información sobre el examen de patrones que no son de proveedor, consulta Patrones de análisis de secretos admitidos y Visualización y filtrado de alertas del análisis de secretos. * Búsqueda de contraseñas genéricas. Para obtener más información, consulta Detección responsable de secretos genéricos con el análisis de secretos de Copilot. * Protección contra el envío de cambios. Para obtener información sobre la protección de inserción, consulta Acerca de la protección de inserción. * Omisión de privilegios. Al asignar privilegios de omisión, los miembros de la organización seleccionados pueden omitir la protección contra el envío de cambios y hay un proceso de revisión y aprobación para los demás colaboradores. Consulta Acerca de la omisión delegada para la protección de inserción. * Prevención de descarte directo de alertas. Para obtener más información, consulta Habilitación del descarte de alertas delegado para el análisis de secretos.

8. En la tabla "Code scanning", elija si desea habilitar, deshabilitar o mantener los ajustes existentes correspondientes a la configuración predeterminada de code scanning. * Configuración predeterminada. Para más información sobre la configuración predeterminada, consulta Establecimiento de la configuración predeterminada para el examen del código.

•      **Tipo de ejecutor**. Si deseas dirigirte a ejecutores específicos para code scanning, puedes elegir usar ejecutores etiquetados personalizados en este paso. Consulta [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners).
  

* 

          **Prevención de descarte directo de alertas**. Para obtener más información, consulta [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).

1. En la tabla "Análisis de dependencias", elija si desea habilitar, deshabilitar o mantener la configuración existente para las siguientes características de análisis de dependencias: * Gráfico de dependencias. Para obtener información sobre el gráfico de dependencias, consulta Sobre el gráfico de dependencias.

   Sugerencia

   Cuando "GitHub Advanced Security" y el gráfico de dependencias están habilitados, se habilita la revisión de dependencias, consulte Acerca de la revisión de dependencias.

   •      **Envío automático de dependencias**. Para obtener información sobre el envío automático de dependencias, consulta [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository).
     

   •      **Alertas de Dependabot**. Para más información sobre Dependabot, consulta [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts).
     

   •      **Actualizaciones de seguridad**. Para obtener información sobre las actualizaciones de seguridad, consulte [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates). 
     

   •      **Prevención de descarte directo de alertas**. Para más información, consulte [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal).
     

2. En "Informes de vulnerabilidades privadas", elige si deseas habilitar, deshabilitar o mantener la configuración existente. Para obtener más información sobre los informes de vulnerabilidades privadas, consulte Configuración de informes de vulnerabilidades privadas para un repositorio.

3. Opcionalmente, en la sección "Directiva", puedes usar opciones adicionales para controlar cómo se aplica la configuración: * Usar como valor predeterminado para los repositorios recién creados. Selecciona el menú desplegable None y, después, haz clic en Public o en Private and internal, o en All repositories.

   Nota:

   La security configuration predeterminada para una organización solo se aplica automáticamente a los nuevos repositorios creados en tu organización. Si un repositorio se transfiere a su organización, deberá aplicar manualmente un security configuration adecuado al repositorio.

   •      **Aplicar la configuración**. Bloquearás a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración, pero las características que no están establecidas no se aplican. Selecciona **Aplicar** en el menú desplegable.
     

4. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Pasos siguientes

Para aplicar su custom security configuration a los repositorios de su organización, consulte Aplicación de una configuración de seguridad personalizada.

Para obtener información sobre cómo editar tu custom security configuration, consulta Edición de una configuración de seguridad personalizada.