{"meta":{"title":"Configuração de atualizações de segurança do Dependabot","intro":"Você pode usar Dependabot security updates ou solicitações de pull manuais para atualizar facilmente dependências vulneráveis.","product":"Qualidade de segurança e código","breadcrumbs":[{"href":"/pt/code-security","title":"Qualidade de segurança e código"},{"href":"/pt/code-security/how-tos","title":"How-tos"},{"href":"/pt/code-security/how-tos/secure-your-supply-chain","title":"Proteger sua cadeia de suprimentos"},{"href":"/pt/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies","title":"Proteger suas dependências"},{"href":"/pt/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-security-updates","title":"Configurar atualizações de segurança"}],"documentType":"article"},"body":"# Configuração de atualizações de segurança do Dependabot\n\nVocê pode usar Dependabot security updates ou solicitações de pull manuais para atualizar facilmente dependências vulneráveis.\n\n\n\n## Gerenciamento Dependabot security updates para seus repositórios\n\nVocê pode habilitar ou desabilitar Dependabot security updates para todos os repositórios qualificados pertencentes à sua conta pessoal ou organização. Para saber mais, confira [Gerenciando recursos de segurança e análise](/pt/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account) ou [Gerenciando as configurações de segurança e de análise da sua organização](/pt/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization).\n\nVocê também pode habilitar ou desabilitar Dependabot security updates para um repositório individual.\n\n### Habilitar ou desabilitar Dependabot security updates para um repositório individual\n\n1. Em GitHub, acesse a página principal do repositório.\n2. No nome do repositório, clique em ** Settings**. Caso não consiga ver a guia \"Configurações\", selecione o menu suspenso **** , clique em **Configurações**.\n\n \n3. Na seção \"Security\" da barra lateral, clique em ** Advanced Security**.\n4. À direita de \"Dependabot atualizações de segurança\", clique em **Habilitar para habilitar** o recurso ou **Desabilitar** para desabilitá-lo.\n Para repositórios públicos, o botão será desabilitado se o recurso estiver sempre habilitado.\n\n## Agrupamento Dependabot security updates em uma única solicitação de pull\n\nPara usar atualizações de segurança agrupadas, você deve primeiro habilitar os seguintes recursos:\n\n* **Gráfico de dependências**. Para saber mais, confira [Habilitar o grafo de dependência](/pt/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-graph).\n\n***\n\n```\n Dependabot alerts\n **. Para saber mais, confira [AUTOTITLE](/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts).\n```\n\n***\n\n```\n Dependabot security updates\n **. Para saber mais, confira [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates).\n```\n\n> \\[!NOTE]\n> Quando as atualizações de segurança agrupadas estiverem habilitadas pela primeira vez, Dependabot tentará imediatamente criar solicitações de pull agrupadas. Você pode perceber Dependabot fechando pull requests antigos e abrindo novos.\n\nVocê pode habilitar pull requests para Dependabot security updates de uma ou ambas as seguintes maneiras.\n\n* Para agrupar o máximo possível de atualizações de segurança disponíveis, entre diretórios e por ecossistema, habilite o agrupamento nas configurações \"Advanced Security\" para seu repositório ou em \"Configurações globais\" em Advanced Security para sua organização.\n* Para obter um controle mais granular do agrupamento, como agrupamento por nome de pacote, dependências de desenvolvimento, nível do SemVer ou entre vários diretórios por ecossistema, adicione opções de configuração ao arquivo de configuração `dependabot.yml` em seu repositório.\n\n> \\[!NOTE]\n> Se você tiver configurado regras de grupo para Dependabot security updates em um arquivo `dependabot.yml`, todas as atualizações disponíveis serão agrupadas de acordo com as regras especificadas. Dependabot só serão agrupados nos diretórios não configurados em seu `dependabot.yml` se a configuração para atualizações de segurança agrupadas no nível da organização ou repositório também estiver habilitada.\n\n### Habilitar ou desabilitar o agrupamento Dependabot security updates para o repositório individual\n\n1. Em GitHub, acesse a página principal do repositório.\n2. No nome do repositório, clique em ** Settings**. Caso não consiga ver a guia \"Configurações\", selecione o menu suspenso **** , clique em **Configurações**.\n\n \n3. Na seção \"Security\" da barra lateral, clique em ** Advanced Security**.\n4. Em \"Dependabot\", à direita de \"Atualizações de segurança agrupadas\", clique em **Habilitar para habilitar** o recurso ou **Desabilitar** desabilitá-lo.\n\n### Habilitando ou desabilitando o recurso de agrupamento Dependabot security updates para uma organização\n\n```\n Você pode habilitar o agrupamento Dependabot security updates em uma única pull request. Para saber mais, confira [AUTOTITLE](/code-security/securing-your-organization/enabling-security-features-in-your-organization/configuring-global-security-settings-for-your-organization#grouping-dependabot-security-updates).\n```\n\n## Como substituir o comportamento padrão com um arquivo de configuração\n\nVocê pode substituir o comportamento padrão de Dependabot security updates adicionando um arquivo `dependabot.yml` ao seu repositório. Com um `dependabot.yml` arquivo, você pode ter um controle mais granular do agrupamento e substituir o comportamento padrão das Dependabot security updates configurações.\n\nUse a opção `groups` com a `applies-to: security-updates` chave para criar conjuntos de dependências (por gerenciador de pacotes), de modo que Dependabot abra uma única solicitação de pull para atualizar várias dependências ao mesmo tempo. Você pode definir grupos por nome de pacote (as chaves `patterns` e `exclude-patterns` ), tipo de dependência (chave`dependency-type` ) e SemVer (chave `update-types` ).\n\nDependabot cria grupos na ordem em que aparecem no arquivo `dependabot.yml`. Se uma atualização de dependência puder pertencer a mais de um grupo, ela será atribuída apenas ao primeiro grupo com o qual corresponder.\n\nSe você precisar apenas das atualizações de *segurança* e quiser excluir as atualizações de *versão*, você pode definir `open-pull-requests-limit` como `0` para evitar atualizações de versão de um determinado `package-ecosystem`.\n\nPara obter mais informações sobre as opções de configuração disponíveis para atualizações de segurança, consulte [Personalizar pull requests para atualizações de segurança do Dependabot](/pt/code-security/dependabot/dependabot-security-updates/customizing-dependabot-security-prs).\n\n```yaml copy\n# Example configuration file that:\n# - Has a private registry\n# - Ignores lodash dependency\n# - Disables version-updates\n# - Defines a group by package name, for security updates for golang dependencies\n\nversion: 2\nregistries:\n example:\n type: npm-registry\n url: https://example.com\n token: ${{secrets.NPM_TOKEN}}\nupdates:\n - package-ecosystem: \"npm\"\n directory: \"/src/npm-project\"\n schedule:\n interval: \"daily\"\n # For Lodash, ignore all updates\n ignore:\n - dependency-name: \"lodash\"\n # Disable version updates for npm dependencies\n open-pull-requests-limit: 0\n registries:\n - example\n - package-ecosystem: \"gomod\"\n directories:\n - \"**/*\"\n schedule:\n interval: \"weekly\"\n open-pull-requests-limit: 0\n groups:\n golang:\n applies-to: security-updates\n patterns:\n - \"golang.org*\"\n```\n\n> \\[!NOTE]\n> Para que Dependabot use esta configuração para atualizações de segurança, o `directory` deve ser o caminho para os arquivos de manifesto (ou `directories` deve conter caminhos ou padrões glob que correspondam aos locais dos arquivos de manifesto), e você não deve especificar um `target-branch`.\n\n## Leitura adicional\n\n* [Sobre alertas do Dependabot](/pt/code-security/dependabot/dependabot-alerts/about-dependabot-alerts)\n* [Configurando alertas do Dependabot](/pt/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)\n* [Ecossistemas de pacotes com suporte a gráficos de dependência](/pt/code-security/supply-chain-security/understanding-your-software-supply-chain/dependency-graph-supported-package-ecosystems#supported-package-ecosystems)"}