{"meta":{"title":"Настройка обновлений для системы безопасности Dependabot","intro":"Вы можете использовать Dependabot security updates ручные pull requests, чтобы легко обновлять уязвимые зависимости.","product":"Безопасность и качество кода","breadcrumbs":[{"href":"/ru/code-security","title":"Безопасность и качество кода"},{"href":"/ru/code-security/how-tos","title":"How-tos"},{"href":"/ru/code-security/how-tos/secure-your-supply-chain","title":"Обеспечьте безопасность своей цепочки поставок"},{"href":"/ru/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies","title":"Защита зависимостей"},{"href":"/ru/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-security-updates","title":"Настройка обновлений системы безопасности"}],"documentType":"article"},"body":"# Настройка обновлений для системы безопасности Dependabot\n\nВы можете использовать Dependabot security updates ручные pull requests, чтобы легко обновлять уязвимые зависимости.\n\n\n\n## Управление Dependabot security updates для ваших репозиториев\n\nВы можете включить или отключить Dependabot security updates все квалифицированные репозитории, принадлежащие вашему личному аккаунту или организации. Дополнительные сведения см. в разделе \\[AUTOTITLE или [Управление функциями безопасности и анализа](/ru/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account)]\\(/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization).\n\nВы также можете включить или отключить Dependabot security updates для отдельного репозитория.\n\n### Включение или отключение Dependabot security updates для индивидуального репозитория\n\n1. На GitHubперейдите на главную страницу репозитория.\n2. Под именем репозитория щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n3. В разделе \"Безопасность\" боковой панели щелкните ** Advanced Security**.\n4. Справа от «Dependabot обновления безопасности» нажмите **Включить** , чтобы включить функцию, или **Отключить** , чтобы отключить её.\n Для публичных репозиториев кнопка отключается, если функция всегда включена.\n\n## Группировка Dependabot security updates в один pull request\n\nЧтобы использовать сгруппированные обновления безопасности, необходимо сначала включить следующие функции:\n\n* **Граф** зависимостей. Дополнительные сведения см. в разделе [Включение графа зависимостей](/ru/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-graph).\n\n***\n\n```\n Dependabot alerts\n **. Дополнительные сведения см. в разделе [AUTOTITLE](/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts).\n```\n\n***\n\n```\n Dependabot security updates\n **. Дополнительные сведения см. в разделе [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates).\n```\n\n> \\[!NOTE]\n> Когда сгруппированные обновления безопасности впервые включены, Dependabot сразу же попытаются создать групповые pull-запросы. Вы можете заметить Dependabot , что закрываете старые pull requests и открываете новые.\n\nВы можете включить сгруппированные запросы на вытягивание для Dependabot security updates одним или обоими способами.\n\n* Чтобы сгруппировать максимальное количество доступных обновлений безопасности в каталогах и каждой экосистеме, включите группирование в параметрах \"Advanced Security\" для репозитория, или в разделе \"Глобальные параметры\" в разделе Advanced Security для вашей организации.\n* Для более детального управления группировкой, например группирования по имени пакета, зависимостей разработки и рабочей среды, уровня SemVer или нескольких каталогов для каждой экосистемы, добавьте параметры `dependabot.yml` конфигурации в файл конфигурации в репозитории.\n\n> \\[!NOTE]\n> Если вы настроили правила группы для Dependabot security updates в `dependabot.yml` файле, все доступные обновления будут сгруппированы в соответствии с указанными правилами. Dependabot будет группировать только в этих каталогах, не настроенных в том `dependabot.yml` случае, если параметр для сгруппированных обновлений безопасности на уровне организации или репозитория также включен.\n\n### Включение или отключение группировки Dependabot security updates для отдельного репозитория\n\n1. На GitHubперейдите на главную страницу репозитория.\n2. Под именем репозитория щелкните ** Settings**. Если вкладка \"Параметры\" не отображается, выберите **раскрывающееся меню ** и нажмите кнопку **\"Параметры**\".\n\n \n3. В разделе \"Безопасность\" боковой панели щелкните ** Advanced Security**.\n4. В разделе «DependabotAdvanced Security», справа от «Группированных обновлений безопасности», нажмите **Включить**, чтобы включить функцию, или **Отключить**, чтобы отключить её.\n\n### Включение или отключение группировки Dependabot security updates для организации\n\n```\n Можно включить группировку Dependabot security updates в один pull request. Дополнительные сведения см. в разделе [AUTOTITLE](/code-security/securing-your-organization/enabling-security-features-in-your-organization/configuring-global-security-settings-for-your-organization#grouping-dependabot-security-updates).\n```\n\n## Переопределение поведения по умолчанию с помощью файла конфигурации\n\nВы можете отменить стандартное поведение, Dependabot security updates добавив `dependabot.yml` файл в репозиторий. С `dependabot.yml` помощью файла вы можете более детально контролировать группировку и отменить поведение Dependabot security updates настроек по умолчанию.\n\nИспользуйте `groups` опцию с `applies-to: security-updates` ключом для создания наборов зависимостей (для каждого менеджера пакетов), чтобы Dependabot открыть один pull request для обновления нескольких зависимостей одновременно. Группы можно определить по имени пакета (и `patterns` ключам), типу зависимостей (`exclude-patterns``dependency-type` ключу) и SemVer (ключу`update-types`).\n\nDependabot создает группы в порядке их отображения в `dependabot.yml` файле. Если обновление зависимости может принадлежать нескольким группам, оно назначается только первой группе, с которой она соответствует.\n\nЕсли требуется *только обновления системы безопасности* и требуется исключить *обновления версий*, можно задать `open-pull-requests-limit` для `0` предотвращения обновлений версий для заданного.`package-ecosystem`\n\nДополнительные сведения о параметрах конфигурации, доступных для обновлений системы безопасности, см. в разделе [Настройка запросов на вытягивание обновлений безопасности Dependabot](/ru/code-security/dependabot/dependabot-security-updates/customizing-dependabot-security-prs).\n\n```yaml copy\n# Example configuration file that:\n# - Has a private registry\n# - Ignores lodash dependency\n# - Disables version-updates\n# - Defines a group by package name, for security updates for golang dependencies\n\nversion: 2\nregistries:\n example:\n type: npm-registry\n url: https://example.com\n token: ${{secrets.NPM_TOKEN}}\nupdates:\n - package-ecosystem: \"npm\"\n directory: \"/src/npm-project\"\n schedule:\n interval: \"daily\"\n # For Lodash, ignore all updates\n ignore:\n - dependency-name: \"lodash\"\n # Disable version updates for npm dependencies\n open-pull-requests-limit: 0\n registries:\n - example\n - package-ecosystem: \"gomod\"\n directories:\n - \"**/*\"\n schedule:\n interval: \"weekly\"\n open-pull-requests-limit: 0\n groups:\n golang:\n applies-to: security-updates\n patterns:\n - \"golang.org*\"\n```\n\n> \\[!NOTE]\n> Чтобы Dependabot использовать эту конфигурацию для обновлений безопасности, это `directory` должен быть путь к файлам манифеста (или `directories` содержать пути или шаблоны глоба, совпадающие с расположением файлов манифеста), и не стоит указывать `target-branch`.\n\n## Дополнительные материалы\n\n* [Сведения об оповещениях Dependabot](/ru/code-security/dependabot/dependabot-alerts/about-dependabot-alerts)\n* [Настройка оповещений Dependabot](/ru/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)\n* [Поддерживаемые экосистемы пакетов графа зависимостей](/ru/code-security/supply-chain-security/understanding-your-software-supply-chain/dependency-graph-supported-package-ecosystems#supported-package-ecosystems)"}