Configuração de atualizações de segurança do Dependabot

Gerenciar Dependabot security updates para seus repositórios

Você pode habilitar ou desabilitar as Dependabot security updates para todos os repositórios qualificados pertencentes à sua conta pessoal ou à organização. Para saber mais, confira Gerenciando recursos de segurança e análise ou Gerenciando as configurações de segurança e de análise da sua organização.

Você pode habilitar ou desabilitar as Dependabot security updates em um repositório individual.

Habilitar ou desabilitar Dependabot security updates para um repositório individual

1. Em GitHub, acesse a página principal do repositório.

2. No nome do repositório, clique em Settings. Caso não consiga ver a guia "Configurações", selecione o menu suspenso , clique em Configurações.

   

3. Na seção "Security" da barra lateral, clique em Advanced Security.

4. À direita de "Dependabot security updates", clique em Enable para habilitar o recurso ou Disable para desabilitá-lo. Para repositórios públicos, o botão ficará desabilitado se o recurso estiver sempre habilitado.

Agrupamento de Dependabot security updates em uma única pull request

Para usar atualizações de segurança agrupadas, você deve primeiro habilitar os seguintes recursos:

•         **Gráfico de dependências**. Para saber mais, confira [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-graph).
  

•           **Dependabot alerts**. Para saber mais, confira [AUTOTITLE](/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts).
  

•           **Dependabot security updates**. Para saber mais, confira [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates).
  

Você pode habilitar pull requests para Dependabot security updates de uma ou ambas as seguintes maneiras.

• Para agrupar o máximo possível de atualizações de segurança disponíveis, entre diretórios e por ecossistema, habilite o agrupamento nas configurações "Advanced Security" para seu repositório ou em "Configurações globais" em Advanced Security para sua organização.
• Para obter um controle mais granular do agrupamento, como agrupamento por nome de pacote, dependências de desenvolvimento, nível do SemVer ou entre vários diretórios por ecossistema, adicione opções de configuração ao arquivo de configuração dependabot.yml em seu repositório.

Habilitar ou desabilitar Dependabot security updates agrupadas para um repositório individual

1. Em GitHub, acesse a página principal do repositório.

2. No nome do repositório, clique em Settings. Caso não consiga ver a guia "Configurações", selecione o menu suspenso , clique em Configurações.

   

3. Na seção "Security" da barra lateral, clique em Advanced Security.

4. Em "Dependabot", à direita de "Grouped security updates", clique em Enable para habilitar o recurso ou em Disable para desabilitá-lo.

Habilitar ou desabilitar Dependabot security updates agrupadas para uma organização

Você pode habilitar Dependabot security updates agrupados em uma única solicitação pull. Para saber mais, confira Configurações de segurança globais para sua organização.

Como substituir o comportamento padrão com um arquivo de configuração

Você pode substituir o comportamento padrão de Dependabot security updates adicionando um arquivo dependabot.yml ao repositório. Com um arquivo dependabot.yml, você pode ter um controle mais granular do agrupamento e substituir o comportamento padrão das configurações de Dependabot security updates.

Use a opção groups com a chave applies-to: security-updates para criar conjuntos de dependências (por gerenciador de pacotes), para que Dependabot abra uma única pull request para atualizar várias dependências ao mesmo tempo. Você pode definir grupos por nome de pacote (as chaves patterns e exclude-patterns ), tipo de dependência (chavedependency-type ) e SemVer (chave update-types ).

Dependabot cria grupos na ordem em que aparecem no arquivo dependabot.yml. Se uma atualização de dependência puder pertencer a mais de um grupo, ela será atribuída apenas ao primeiro grupo com o qual corresponder.

Se você precisar apenas das atualizações de segurança e quiser excluir as atualizações de versão, você pode definir open-pull-requests-limit como 0 para evitar atualizações de versão de um determinado package-ecosystem.

Para obter mais informações sobre as opções de configuração disponíveis para atualizações de segurança, consulte Personalizar pull requests para atualizações de segurança do Dependabot.

# Example configuration file that:
#  - Has a private registry
#  - Ignores lodash dependency
#  - Disables version-updates
#  - Defines a group by package name, for security updates for golang dependencies

version: 2
registries:
  example:
    type: npm-registry
    url: https://example.com
    token: ${{secrets.NPM_TOKEN}}
updates:
  - package-ecosystem: "npm"
    directory: "/src/npm-project"
    schedule:
      interval: "daily"
    # For Lodash, ignore all updates
    ignore:
      - dependency-name: "lodash"
    # Disable version updates for npm dependencies
    open-pull-requests-limit: 0
    registries:
      - example
  - package-ecosystem: "gomod"
    groups:
      golang:
        applies-to: security-updates
        patterns:
          - "golang.org*"

# Example configuration file that:
#  - Has a private registry
#  - Ignores lodash dependency
#  - Disables version-updates
#  - Defines a group by package name, for security updates for golang dependencies

version: 2
registries:
  example:
    type: npm-registry
    url: https://example.com
    token: ${{secrets.NPM_TOKEN}}
updates:
  - package-ecosystem: "npm"
    directory: "/src/npm-project"
    schedule:
      interval: "daily"
    # For Lodash, ignore all updates
    ignore:
      - dependency-name: "lodash"
    # Disable version updates for npm dependencies
    open-pull-requests-limit: 0
    registries:
      - example
  - package-ecosystem: "gomod"
    groups:
      golang:
        applies-to: security-updates
        patterns:
          - "golang.org*"

Leitura adicional

•         [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts)
  

•         [AUTOTITLE](/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)
  

•         [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/dependency-graph-supported-package-ecosystems#supported-package-ecosystems)