Uma visão geral dos recursos de segurança do GitHub. Sobre recursos de segurança de GitHub GitHubOs recursos de segurança ajudam a manter seu código e segredos seguros em repositórios e em todas as organizações. Alguns recursos estão disponíveis para todos os GitHub planos. Recursos adicionais estão disponíveis para organizações em GitHub Team e GitHub Enterprise Cloud que compram um produto GitHub Advanced Security: GitHub Secret Protection GitHub Code Security GitHub Secret Protection GitHub Code Security Além disso, vários recursos GitHub Secret Protection e GitHub Code Security podem ser executados em repositórios públicos gratuitamente. Disponível para todos os GitHub planos Os recursos de segurança a seguir estão disponíveis para uso, independentemente do GitHub plano em que você está. Você não precisa comprar GitHub Secret Protection or GitHub Code Security para usar esses recursos. A maioria desses recursos está disponível para repositórios públicos internos e privados. Alguns recursos estão disponíveis apenas para repositórios públicos. Política de segurança Facilite o acesso dos seus usuários para relatar confidencialmente vulnerabilidades de segurança que encontraram no seu repositório. Para saber mais, confira Adicionar uma política de segurança a um repositório . Grafo de dependência O gráfico de dependências permite explorar os ecossistemas e pacotes dos quais o repositório depende e os repositórios e pacotes que dependem do seu repositório. Encontre o grafo de dependência na guia Insights do seu repositório. Para saber mais, confira Grafo de dependência . SBOM (lista de materiais de software) Você pode exportar o grafo de dependência de seu repositório como uma SBOM (lista de materials de software) compatível com SPDX. Para saber mais, confira Como exportar uma lista de materiais de software para seu repositório . GitHub Advisory Database O GitHub Advisory Database contém uma lista selecionada de vulnerabilidades de segurança que você pode exibir, pesquisar e filtrar. Para saber mais, confira Como procurar avisos de segurança no GitHub Advisory Database . Dependabot alerts e atualizações de segurança Ver alertas sobre dependências conhecidas por conter vulnerabilidades de segurança e escolher se deseja gerar pull requests para atualizar essas dependências automaticamente. Para saber mais, confira Alertas do Dependabot e Atualizações de segurança do Dependabot . Você também pode usar o Regras de triagem automática do Dependabot padrão coletado por GitHub para filtrar automaticamente uma quantidade substancial de falsos positivos. Para uma visão geral dos diferentes recursos oferecidos por Dependabot e instruções sobre como começar, consulte Guia de início rápido do Dependabot . Dependabot malware alerts No GitHub.com e GitHub Enterprise Server 3.22+, você pode visualizar alertas para dependências maliciosas em seu repositório. Consulte Alertas de malware do Dependabot . Dependabot version updates Use Dependabot para gerar solicitações de pull automaticamente para manter suas dependências atualizadas. Isso ajuda a reduzir a exposição a versões mais antigas de dependências. O uso de versões mais recentes facilita a aplicação de patches se as vulnerabilidades de segurança forem descobertas e também facilita Dependabot security updates a criação de solicitações de pull com êxito para atualizar dependências vulneráveis. Você também pode personalizar Dependabot version updates para simplificar a integração deles aos seus repositórios. Para saber mais, confira Atualizações de versão do Dependabot . Avisos de segurança Discuta em particular e corrija vulnerabilidades de segurança no código do seu repositório público. Em seguida, você pode publicar uma consultoria de segurança para alertar a sua comunidade sobre a vulnerabilidade e incentivar os integrantes da comunidade a atualizá-la. Para saber mais, confira Avisos de segurança do repositório . Conjuntos de regras do repositório Imponha padrões de código, segurança e conformidade consistentes entre branches e marcas. Para saber mais, confira Sobre os conjuntos de regras . Atestados de artefatos Crie garantias de procedência e integridade infalsificáveis para o software que você cria. Para saber mais, confira Usar atestados de artefatos para estabelecer a procedência de compilações . Se você estiver em um plano GitHub Free, GitHub Pro ou GitHub Team, os atestados de artefato só estarão disponíveis para repositórios públicos. Para usar atestados de artefato em repositórios privados ou internos, você deve estar em um plano GitHub Enterprise Cloud. Alertas de verificação de segredo para parceiros Quando GitHub detecta um segredo vazado em um repositório público ou um pacote npm público, GitHub informa ao provedor de serviços relevante que o segredo pode ser comprometido. Para obter detalhes dos segredos e provedores de serviços com suporte, confira Padrões de varredura de segredos com suporte . Proteção por push para usuários A proteção por push para usuários protege você automaticamente contra a confirmação acidental de segredos em repositórios públicos, independentemente de o próprio repositório ter secret scanning ativado. A proteção por push para usuários está desabilitada por padrão, mas é possível desabilitar o recurso a qualquer momento por meio das configurações da sua conta pessoal. Para saber mais, confira Gerenciando a proteção por push para usuários . Disponível com GitHub Secret Protection Para contas em GitHub Team e GitHub Enterprise Cloud, você pode acessar recursos de segurança adicionais ao comprar GitHub Secret Protection . GitHub Secret Protection inclui recursos que ajudam você a detectar e evitar vazamentos de credenciais e espalhamento de segredos, como secret scanning para detectar credenciais codificadas e proteção por push para bloqueá-las antes de chegarem ao repositório. Esses recursos estão disponíveis para todos os tipos de repositório. Alguns desses recursos estão disponíveis para repositórios públicos gratuitamente, o que significa que você não precisa comprar GitHub Secret Protection para habilitar o recurso em um repositório público. Alertas de verificação secreta para usuários

Detecte automaticamente credenciais codificadas que foram verificadas em um repositório. Você pode visualizar alertas para todos os segredos que GitHub encontra em seu código, na guia Security and quality do repositório, para que possa responder rapidamente a vazamentos de credenciais. Para saber mais, confira Escaneamento de segredos . Disponível para repositórios públicos por padrão. Segredos detectados por IA A detecção genérica de segredos do Segredos detectados por IA é uma expansão com tecnologia de IA do secret scanning que identifica segredos não estruturados (senhas) no seu código-fonte e, em seguida, gera um alerta. Para obter mais informações, consulte Cartão do aplicativo: recursos de IA do GitHub para segurança e qualidade . Proteção por push A proteção por push examina proativamente seu código e qualquer código de colaboradores de repositório em busca de segredos codificados durante o processo de push e bloqueia o push se algum vazamento de credencial for detectado. Se um colaborador ignorar o bloqueio, um alerta será gerado. Para saber mais, confira Proteção por Notificações Push . Disponível para repositórios públicos por padrão. Bypass delegado para proteção de push O bypass delegado para proteção por push permite controlar indivíduos, funções e equipes: Pode ignorar a proteção por push Estão isentos da proteção por push Pode examinar solicitações de exceção de outros colaboradores Para saber mais, confira Bypass delegado para proteção de push . Padrões personalizados Você pode definir padrões personalizados para identificar segredos que não são detectados pelos padrões padrão com suporte secret scanning, como padrões internos à sua organização. Para saber mais, confira Definir padrões personalizados para a verificação de segredo . Visão geral da segurança A visão geral de segurança permite que você analise o cenário geral de segurança da sua organização, exiba tendências e outros insights e gerencie configurações de segurança, facilitando o monitoramento do status de segurança da sua organização e a identificação dos repositórios e das organizações de maior risco. Para saber mais, confira Visão geral da segurança . Disponível com GitHub Code Security Para contas em GitHub Team e GitHub Enterprise Cloud, você pode acessar recursos de segurança adicionais ao comprar GitHub Code Security . GitHub Code Security inclui recursos que ajudam você a encontrar e corrigir vulnerabilidades, como code scanning, recursos premium Dependabot e revisão de dependência. Esses recursos estão disponíveis para todos os tipos de repositório. Alguns desses recursos estão disponíveis para repositórios públicos gratuitamente, o que significa que você não precisa comprar GitHub Code Security para habilitar o recurso em um repositório público. Detectar automaticamente vulnerabilidades de segurança e erros de codificação em códigos novos ou modificados. São destacados os problemas potenciais, com informações detalhadas, o que permite que você corrija o código antes que seja mesclado no seu branch-padrão. Para saber mais, confira Análise de código . Disponível para repositórios públicos por padrão. Execute processos CodeQL localmente em projetos de software ou para gerar resultados code scanning para upload para GitHub. Para saber mais, confira CLI do CodeQL . Disponível para repositórios públicos por padrão. Copilot Autofix Obtenha correções geradas automaticamente para alertas code scanning. Para saber mais, confira Cartão do aplicativo: recursos de IA do GitHub para segurança e qualidade . Disponível para repositórios públicos por padrão. Verificação de IA Encontre vulnerabilidades em linguagens e frameworks não cobertos por CodeQL, com um mecanismo de varredura baseado em IA executado durante a revisão de pull request. Consulte Verificação de IA para solicitações de pull . Regras de triagem automática personalizadas para Dependabot Ajuda você a gerenciar Dependabot alerts em grande escala. Com regras de triagem automática personalizadas você tem controle sobre os alertas para os quais deseja ignorar, adiar ou disparar uma Dependabot atualização de segurança. Para saber mais, confira Alertas do Dependabot e Personalizando regras de triagem automática para priorizar alertas do Dependabot . Análise de dependência Mostre o impacto completo das alterações nas dependências e veja detalhes de qualquer versão vulnerável antes de fazer merge de um pull request. Para saber mais, confira Análise de dependência . Disponível para repositórios públicos por padrão. Campanhas de segurança Corrija os alertas de segurança em escala criando campanhas de segurança e colaborando com desenvolvedores para reduzir sua lista de pendências de segurança. Para saber mais, confira Sobre as campanhas de segurança . Visão geral da segurança A visão geral de segurança permite que você analise o cenário geral de segurança da sua organização, exiba tendências e outros insights e gerencie configurações de segurança, facilitando o monitoramento do status de segurança da sua organização e a identificação dos repositórios e das organizações de maior risco. Para saber mais, confira Visão geral da segurança . Leitura adicional Planos do GitHub Sobre GitHub Segurança Avançada suporte à linguagem GitHub