Vous gérez du code dans GitHub et devez vous assurer que les propriétaires de dépôts sont avertis si une nouvelle dépendance vulnérable ou un logiciel malveillant est détecté. Que devez-vous configurer ?

Les alertes Dependabot sont la bonne solution car elles analysent automatiquement les dépendances de votre code à la recherche de vulnérabilités connues et notifient les propriétaires de dépôts en cas de détection de nouvelles menaces. Cela inclut les dépendances vulnérables et les logiciels malveillants potentiels. Les actions d'analyse CodeQL sont utilisées pour l'analyse de sécurité statique du code, mais elles ne se concentrent pas spécifiquement sur les dépendances et les vulnérabilités externes. Les règles de protection de branche sont destinées à maintenir la qualité du code et à contrôler les fusions, pas à la détection de vulnérabilités. L'abonnement à la base de données GitHub Advisory fournit des informations générales, mais ne configure pas de notifications automatiques spécifiques aux dépôts pour les propriétaires.