Você gerencia código no GitHub e deve garantir que os proprietários do repositório sejam notificados se uma nova dependência vulnerável ou malware for detectado. O que você deve configurar?

Os alertas do Dependabot são a ferramenta correta para notificar os proprietários do repositório sobre novas dependências vulneráveis ou malware. O Dependabot escaneia automaticamente as dependências do seu projeto e cria alertas de segurança quando vulnerabilidades são encontradas, notificando os responsáveis. As ações de varredura do CodeQL são para análise de segurança estática de código-fonte, não para dependências. Regras de proteção de branch controlam quem pode fazer push para um branch e quais verificações devem passar, não detectam vulnerabilidades em dependências. Assinar o GitHub Advisory Database não notifica automaticamente os proprietários do repositório sobre vulnerabilidades específicas em seus projetos; ele é um banco de dados de referência.