Security configurations são coleções de configurações de habilitação para os GitHub recursos de segurança que você pode aplicar a qualquer repositório dentro de uma organização ou empresa.
Há dois tipos de security configuration:
-
[A GitHub-recommended security configuration](#the-github-recommended-security-configuration) -
[Custom security configurations](#custom-security-configurations)
Cada repositório só pode ter uma security configuration aplicada a ele.
Você pode criar e gerenciar configurações de segurança usando a API REST. Para saber mais, confira Configurações do.
Observação
Se a sua empresa usa Enterprise Managed Users, observe que as security configurations no nível da empresa não serão distribuídas automaticamente para repositórios de namespace de usuário. Há algumas configurações adicionais secret scanning que podem ser aplicadas a repositórios de namespace de usuário dentro da empresa, mas você não pode aplicar o nível empresarial security configurations a esse tipo de repositório proprietário do usuário.
A GitHub-recommended security configuration
A GitHub-recommended security configuration oferece diversos benefícios:
-
Ela é criada e gerenciada por especialistas no assunto da GitHub.
-
Trata-se da security configuration mais rápida de aplicar a todos os repositórios em sua organização.
-
Ela foi desenvolvida para proteger efetivamente repositórios de baixo e alto impacto.
_Recomendamos que as organizações e empresas apliquem inicialmente a configuração de segurança do GitHub-recommended security configuration_.
O GitHub-recommended security configuration inclui recursos do GitHub Code Security e do GitHub Secret Protection. Aplicar a configuração a repositórios privados e internos em sua organização incorrerá em custos de uso ou exigirá licenças.
Custom security configurations
Se você estiver familiarizado com os produtos de segurança da GitHub e tiver necessidades de segurança específicas que a GitHub-recommended security configuration não pode atender, poderá criar e aplicar custom security configurations. Com as custom security configurations, é possível:
- Editar as configurações de habilitação para diferentes recursos de segurança
- Criar várias configurações para repositórios para refletir seus diferentes níveis de visibilidade, tolerância a riscos e impacto
Você também pode escolher de deseja ou não incluir recursos do GitHub Code Security ou do GitHub Secret Protection em sua configuração. Se fizer isso, tenha em mente que esses recursos incorrem em custos de uso (ou exigem licenças do GitHub Advanced Security) quando aplicados a repositórios privados ou internos.
Imposição de security configurations
Quando você aplica um security configuration, você pode optar por aplicá-lo, o que significa que os usuários não podem alterar o status de habilitação dos recursos incluídos na configuração.
Se um usuário em sua organização ou enterprise tenta alterar o status de habilitação de um recurso em uma configuração imposta usando a API REST, a chamada à API parecerá ter êxito, mas nenhum status de habilitação será alterado.
Algumas situações podem interromper a imposição de security configurations em um repositório. Por exemplo, a ativação do code scanning não se aplicará a um repositório se:
- GitHub Actions é inicialmente habilitado no repositório, mas depois é desativado no repositório.
- GitHub Actions não está disponível para o repositório.
- Os idiomas excluídos da configuração padrão code scanning são alterados no nível do repositório.
Próximas etapas
Para começar a proteger repositórios em sua organização com a GitHub-recommended security configuration, confira Aplicação da configuração de segurança recomendada pelo GitHub em sua organização.
Alternativamente, para proteger repositórios em sua organização com custom security configurations, consulte Criando uma configuração de segurança personalizada.