Gerenciando sua segurança de dependência

Você pode usar seus próprios Regras de triagem automática para controlar que alertas são ignorados ou colocados em ociosidade, e para que alertas você deseja que o Dependabot abra pull requests.

É possível usar Predefinições do GitHub, que são regras padrão coletadas por GitHub para descartar automaticamente alertas de desenvolvimento de baixo impacto para dependências do npm.

Saiba como personalizar pull requests do Dependabot para que as atualizações de segurança se alinhem com as prioridades de segurança e os fluxos de trabalho do projeto.

Saiba como configurar o arquivo dependabot.yml para que Dependabot atualize automaticamente os pacotes especificados, da maneira como você define.

Você pode usar o ação de revisão de dependência para detectar vulnerabilidades antes que elas sejam adicionadas ao projeto.

Ao incluir metadados no arquivo pom.xml, você pode aprimorar as informações disponíveis para os usuários em pull requests do Dependabot para atualizar seus pacotes Java.

Otimize a forma como você recebe notificações sobre Dependabot alerts.

Você pode configurar o Dependabot para acessar dependências armazenadas em registros privados. Você pode armazenar informações de autenticação, como senhas e tokens de acesso, como segredos criptografados e, em seguida, fazer referência a eles no arquivo de configuração do Dependabot. Se tiver registros em redes privadas, também poderá configurar o acesso ao Dependabot ao executar o Dependabot em executores auto-hospedados.

Exemplos de como configurar o Dependabot para acessar somente registros privados removendo as chamadas para registros públicos.

Você gerencia pull requests criadas por Dependabot da mesma forma que outras pull requests, mas existem algumas opções extras.

Você pode configurar executores auto-hospedados que o Dependabot usa para acessar seus registros privados e recursos de rede interna.

Você pode visualizar as dependências que Dependabot monitora para atualizações.

Este artigo contém informações detalhadas sobre como configurar registros privados, bem como sobre os comandos que podem ser executados a partir da linha de comando para configurar localmente os gerenciadores de pacotes.