{"meta":{"title":"Configuração de atualizações de versão do Dependabot","intro":"Você pode configurar seu repositório para que o Dependabot atualize automaticamente os pacotes que você usa.","product":"Qualidade de segurança e código","breadcrumbs":[{"href":"/pt/code-security","title":"Qualidade de segurança e código"},{"href":"/pt/code-security/how-tos","title":"How-tos"},{"href":"/pt/code-security/how-tos/secure-your-supply-chain","title":"Proteger sua cadeia de suprimentos"},{"href":"/pt/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies","title":"Proteger suas dependências"},{"href":"/pt/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-version-updates","title":"Configurar atualizações da versão"}],"documentType":"article"},"body":"# Configuração de atualizações de versão do Dependabot\n\nVocê pode configurar seu repositório para que o Dependabot atualize automaticamente os pacotes que você usa.\n\n\n\n## Habilitar Dependabot version updates\n\nHabilite as Dependabot version updates fazendo commit de um arquivo de configuração `dependabot.yml` no repositório.\nSe você habilitar o recurso na página de configurações, o GitHub criará um arquivo básico que você poderá editar, caso contrário, crie o arquivo usando qualquer editor de arquivos.\n\n1. Em GitHub, acesse a página principal do repositório.\n\n2. No nome do repositório, clique em ** Settings**. Caso não consiga ver a guia \"Configurações\", selecione o menu suspenso **** , clique em **Configurações**.\n\n \n\n3. Na seção \"Security\" da barra lateral, clique em ** Advanced Security**.\n\n4. Em \"Dependabot\", à direita de \"Dependabot version updates\", clique em **Enable** para abrir um arquivo de configuração `dependabot.yml` básico no diretório `.github` do seu repositório. For information about the options you can use to customize how Dependabot maintains your repositories, see [Referência de opções do Dependabot](/pt/code-security/dependabot/working-with-dependabot/dependabot-options-reference).\n\n ```yaml copy\n # To get started with Dependabot version updates, you'll need to specify which\n # package ecosystems to update and where the package manifests are located.\n\n version: 2\n updates:\n - package-ecosystem: \"\" # See documentation for possible values\n directory: \"/\" # Location of package manifests\n schedule:\n interval: \"weekly\"\n ```\n\n5. Adicione uma `version`. Essa chave é obrigatória. O arquivo precisa começar com `version: 2`.\n\n6. Opcionalmente, se você tiver dependências em um registro privado, adicione uma seção `registries` contendo detalhes de autenticação. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot).\n\n7. Adicione uma seção `updates`, com uma entrada para cada gerenciador de pacotes que você deseja que o Dependabot monitore. Essa chave é obrigatória. Você a utiliza para configurar como Dependabot atualiza as versões ou as dependências do seu projeto. Cada entrada configura as configurações de atualização para um gerenciador de pacotes específico. Para saber mais, confira [Sobre o arquivo dependabot.yml](/pt/code-security/concepts/supply-chain-security/about-the-dependabot-yml-file) e [Referência de opções do Dependabot](/pt/code-security/dependabot/working-with-dependabot/dependabot-options-reference).\n\n8. Para cada gerenciador de pacotes, use:\n\n * `package-ecosystem` para especificar o gerenciador de pacotes. Para obter mais informações sobre os gerenciadores de pacotes suportados, consulte [`package-ecosystem`](/pt/code-security/dependabot/working-with-dependabot/dependabot-options-reference#package-ecosystem-).\n * `directories` ou `directory` para especificar o local de vários manifestos ou outros arquivos de definição. Para obter mais informações, confira [Como definir vários locais para arquivos de manifesto](/pt/code-security/dependabot/dependabot-version-updates/controlling-dependencies-updated#defining-multiple-locations-for-manifest-files).\n * `schedule.interval`: especifica a frequência com a qual novas versões são verificadas.\n\n9. Verifique o arquivo de configuração *dependabot.yml* no diretório `.github` do repositório.\n\n### Arquivo de exemplo `dependabot.yml`\n\nO arquivo de exemplo `dependabot.yml` abaixo configura atualizações de versão para três gerenciadores de pacotes: npm, Docker e GitHub Actions. Quando este arquivo é marcado, o Dependabot verifica os arquivos de manifesto no branch padrão buscando dependências desatualizadas. Se encontrar dependências desatualizadas, irá gerar pull requests em relação ao branch padrão para atualizar as dependências.\n\n```yaml copy\n# Basic `dependabot.yml` file with\n# minimum configuration for three package managers\n\nversion: 2\nupdates:\n # Enable version updates for npm\n - package-ecosystem: \"npm\"\n # Look for `package.json` and `lock` files in the `root` directory\n directory: \"/\"\n # Check the npm registry for updates every day (weekdays)\n schedule:\n interval: \"daily\"\n\n # Enable version updates for Docker\n - package-ecosystem: \"docker\"\n # Look for a `Dockerfile` in the `root` directory\n directory: \"/\"\n # Check for updates once a week\n schedule:\n interval: \"weekly\"\n\n # Enable version updates for GitHub Actions\n - package-ecosystem: \"github-actions\"\n # Workflow files stored in the default location of `.github/workflows`\n # You don't need to specify `/.github/workflows` for `directory`. You can use `directory: \"/\"`.\n directory: \"/\"\n schedule:\n interval: \"weekly\"\n```\n\nNo exemplo acima, se as dependências do Docker estavam muito desatualizadas, o ideal é começar com um agendamento `daily` até que as dependências estejam atualizadas e retornar a um agendamento semanal.\n\n## Habilitando atualizações da versão em bifurcações\n\nSe você quiser habilitar atualizações de versão nas bifurcações, há um passo extra. As atualizações de versão não são habilitadas automaticamente em forks quando um arquivo de configuração `dependabot.yml` está presente. Isso garante que os proprietários do fork não habilitem acidentalmente as atualizações de versão quando efetuarem pull de alterações, incluindo um arquivo de configuração `dependabot.yml` do repositório original.\n\nEm uma bifurcação, você também precisa habilitar explicitamente Dependabot.\n\n1. Em GitHub, acesse a página principal do repositório.\n2. No nome do repositório, clique em ** Settings**. Caso não consiga ver a guia \"Configurações\", selecione o menu suspenso **** , clique em **Configurações**.\n\n \n3. Na seção \"Security\" da barra lateral, clique em ** Advanced Security**.\n4. Em \"Dependabot\", à direita de \"Dependabot version updates\", clique em **Enable** para permitir que Dependabot inicie atualizações de versão.\n\n## Recebendo atualizações para dependências indiretas\n\nPor padrão, somente as dependências diretas definidas de forma explícita em um manifesto são mantidas atualizadas por Dependabot version updates. Você pode optar por receber atualizações de dependências indiretas definidas em arquivos de bloqueio. Para saber mais, confira [Como controlar quais dependências são atualizadas pelo Dependabot](/pt/code-security/dependabot/dependabot-version-updates/controlling-dependencies-updated#allowing-specific-dependencies-to-be-updated).\n\n## Habilitando o acesso a dependências privadas\n\nAo executar atualizações de segurança ou versão, alguns ecossistemas devem ser capazes de resolver todas as dependências de sua fonte para verificar se as atualizações foram bem-sucedidas. Se o seu manifesto ou arquivos de bloqueio contiverem dependências privadas, Dependabot deverá ser capaz de acessar o local em que essas dependências estão hospedadas. Os proprietários da organização podem conceder a Dependabot acesso a repositórios privados que contêm dependências para um projeto dentro da mesma organização. Para saber mais, confira [Gerenciando as configurações de segurança e de análise da sua organização](/pt/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization#allowing-dependabot-to-access-private-dependencies). Você pode configurar o acesso a registros privados no arquivo de configuração `dependabot.yml` de um repositório. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot).\n\nAlém disso, Dependabot não é compatível com as dependências privadas de GitHub para todos os gerenciadores de pacote. Para saber mais, confira [Ecossistemas e repositórios compatíveis com o Dependabot](/pt/code-security/dependabot/ecosystems-supported-by-dependabot/supported-ecosystems-and-repositories) e [suporte à linguagem GitHub](/pt/get-started/learning-about-github/github-language-support).\n\n## Verificando o status das atualizações da versão\n\nDepois de habilitar as atualizações de versão, a guia **Dependabot** no grafo de dependência do repositório será preenchida. Esta aba mostra quais gerentes de pacote de Dependabot estão configurados para monitorar e quando Dependabot fez a última verificação com relação a novas versões.\n\n\n\nPara obter mais informações, confira [Listando dependências configuradas para atualizações da versão](/pt/code-security/dependabot/troubleshooting-dependabot/listing-dependencies-configured-for-version-updates).\n\n## Desabilitar Dependabot version updates\n\nVocê pode desabilitar por completo as atualizações de versão excluindo o arquivo `dependabot.yml` do repositório. Mais usualmente, você deseja desabilitar as atualizações temporariamente para uma ou mais dependências, ou gerenciadores de pacotes.\n\n* Gerenciadores de pacotes: desabilite-os definindo `open-pull-requests-limit: 0` ou removendo a linha de comentário de `package-ecosystem` relevante no arquivo de configuração.\n* Dependências específicas: desabilite-as adicionando atributos `ignore` a pacotes ou a aplicativos que você deseja excluir das atualizações.\n\nQuando você desabilita dependências, você pode usar cartões curingas para corresponder a um conjunto de bibliotecas relacionadas. Você também pode especificar quais versões excluir. Isso é particularmente útil se você precisa bloquear atualizações de uma biblioteca, deixando pendente trabalho para suportar uma alteração quebrada na sua API, mas quer obter qualquer correção de segurança para a versão que você usa.\n\n### Exemplo de desabilitação de atualizações de versão para algumas dependências\n\nO exemplo de arquivo `dependabot.yml` abaixo inclui exemplos das diferentes maneiras de desabilitar as atualizações em algumas dependências, permitindo que outras atualizações continuem.\n\n```yaml\n# `dependabot.yml` file with updates\n# disabled for Docker and limited for npm\n\nversion: 2\nupdates:\n # Configuration for Dockerfile\n - package-ecosystem: \"docker\"\n directory: \"/\"\n schedule:\n interval: \"weekly\"\n # Disable all pull requests for Docker dependencies\n open-pull-requests-limit: 0\n\n # Configuration for npm\n - package-ecosystem: \"npm\"\n directory: \"/\"\n schedule:\n interval: \"weekly\"\n ignore:\n # Ignore updates to packages that start with 'aws'\n # Wildcards match zero or more arbitrary characters\n - dependency-name: \"aws*\"\n # Ignore some updates to the 'express' package\n - dependency-name: \"express\"\n # Ignore only new versions for 4.x and 5.x\n versions: [\"4.x\", \"5.x\"]\n # For all packages, ignore all patch updates\n - dependency-name: \"*\"\n update-types: [\"version-update:semver-patch\"]\n```\n\nPara saber mais sobre como verificar as preferências de ignorar existentes, confira [Referência de opções do Dependabot](/pt/code-security/dependabot/working-with-dependabot/dependabot-options-reference#ignore--)."}