Introducción
Esta guía te muestra cómo configurar las características de seguridad para un repositorio. Debes ser un administrador de repositorio o propietario de organización para configurar las caracteristicas de seguridad de un repositorio.
Tus necesidades de seguridad son únicas de tu repositorio, así que puede que no necesites habilitar todas las características de seguridad para este. Para obtener más información, consulta la sección "Características de seguridad de GitHub".
Some security features are only available for public repositories, and for private repositories owned by organizations with an Advanced Security license. Para obtener más información, consulta la sección "Acerca de GitHub Advanced Security".
Administrar el acceso a tu repositorio
El primer paso para asegurar un repositorio es configurar quién puede ver y modificar tu código. Para obtener más información, consulta la sección "Administrar la configuración de los repositorios".
Desde la página principal de tu repositorio, haz clic en Configuración y luego desplázate hacia abajo, hacia la "Zona de Peligro".
- Para cambiar quién puede ver tu repositorio, haz clic en Cambiar la visibilidad. Para obtener más información, consulta la sección "Configurar la visibilidad de los repositorios".
- Puedes cambiar quién puede acceder a tu repositorio y ajustar los permisos, haz clic en Administrar acceso. Para obtener más información, consulta la sección "Administrar los equipos y personas con acceso a tu repositorio".
Configurar una política de seguridad
- Desde la página principal de tu repositorio, haz clic en Seguridad.
- Haz clic en Política de seguridad.
- Haz clic en Start setup (Iniciar configuración).
- Agrega información sobre las versiones compatibles con tu proyecto y de cómo reportar las vulnerabilidades.
Para obtener más información, consulta "Aumentar la seguridad para tu repositorio".
Administrar la gráfica de dependencias
Una vez que hayas habilitado la gráfica de dependencias, esta se generará automáticamente para todos los repositorios públicos y podrás elegir habilitarla para los repositorios privados.
- Desde la página principal de tu repositorio, haz clic en Configuración.
- Haz clic en Análisis & seguridad.
- Junto a la gráfica de dependencias, haz clic en Habilitar o Inhabilitar.
Para obtener más información, consulta la sección "Explorar las dependencias de un repositorio".
Administrar las Las alertas del dependabot
Predeterminadamente, GitHub detecta vulnerabilidades en repositorios públicos y genera Las alertas del dependabot. Las Las alertas del dependabot también pueden habilitarse para los repositorios privados.
- Haz clic en tu foto de perfil y luego en Configuración.
- Haz clic en Análisis & seguridad.
- Haz clic en Habilitar todas junto a Las alertas del dependabot.
Para obtener más información, consulta las secciones "Acerca de las alertas para las dependencias vulnerables" y "Administrar la configuración de seguridad y análisis para tu cuenta de usuario".
Administrar la revisión de dependencias
La revisión de dependencias te permite visualizar los cambios a las dependencias en las solicitudes de cambios antes de que se fusionen con tus repositorios.La revisión de dependencias está disponible en todos los repositorios públicos. Para los repositorios internos y privados, requieres una licencia para Advanced Security. Para habilitar la revisión de dependencias de un repositorio, habilita la gráfica de dependencias y la Advanced Security. Para obtener más información, consulta la sección "Acerca de la revisión de dependencias".
Administrar las Actualizaciones de seguridad del dependabot
En el caso de cualquier repositorio que utilice las Las alertas del dependabot, puedes habilitar las Actualizaciones de seguridad del dependabot para levantar solicitudes de cambio con actualizaciones de seguridad cuando se detectan las vulnerabilidades.
- Desde la página principal de tu repositorio, haz clic en Configuración.
- Haz clic en Análisis & seguridad.
- Junto a Actualizaciones de seguridad del dependabot, haz clic en Habilitar.
Para obtener más información, consulta las secciones "Acerca de las Actualizaciones de seguridad del dependabot" y "Configurar las Actualizaciones de seguridad del dependabot".
Administrar las Actualizaciones de versión del dependabot
Puedes habilitar el Dependabot para levantar automáticamente las solicitudes de cambios para mantener tus dependencias actualizadas. Para obtener más información, consulta la sección "Acerca de las Actualizaciones de versión del dependabot".
Para habilitar las Actualizaciones de versión del dependabot, debes crear un archivo de configuración dependabot.yml. Para obtener más información, consulta la sección "Habilitar e inhabilitar las actualizaciones de versión".
Configurar escaneo de código
Escaneo de código se encuentra disponible para todos los repositorios públicos y para los repositorios privados que pertenezcan a organizaciones conuna licencia de Advanced Security.
Puedes configurar el escaneo de código para que identifique automáticamente las vulnerabilidades y los errores en el código que se almacena en tu repositorio si utilizas un Flujo de trabajo de análisis de CodeQL o una herramienta de terceros. Para obtener más información, consulta la sección "Configurar el escaneo de código en un repositorio".
Configurar el escaneo de secretos
Escaneo de secretos se encuentra disponible para todos los repositorios públicos y para los repositorios privados que pertenezcan a organizaciones conuna licencia de Advanced Security.
El Escaneo de secretos podría estar habilitado para tu repositorio predeterminadamente dependiendo de la configuración de tu organización.
- Desde la página principal de tu repositorio, haz clic en Configuración.
- Haz clic en Análisis & seguridad.
- Si GitHub Advanced Security no está habilitada previamente, haz clic en Habilitar.
- Junto a Escaneo de secretos, haz clic en Habilitar.
Pasos siguientes
Puedes ver y administrar las alertas de las características de seguridad para abordar dependencias y vulnerabilidades en tu código. For more information, see "Viewing and updating vulnerable dependencies in your repository," "Managing pull requests for dependency updates," "Managing escaneo de código for your repository," and "Managing alerts from escaneo de secretos."
If you have a security vulnerability, you can create a security advisory to privately discuss and fix the vulnerability. Para obtener más información, consulta las secciones "Acerca de GitHub Security Advisories" y "Crear una asesoría de seguridad".