Материалы, связанные с этой темой.
GitHub объявил о расширении функции предупреждений о вредоносном ПО в Dependabot на восемь основных экосистем пакетов. Теперь данные о вредоносных пакетах из репозитория OpenSSF интегрированы в GitHub Advisory Database, что позволяет автоматически предупреждать разработчиков о угрозах в PyPI, Maven, RubyGems и других реестрах.
GitHub Dependabot позволяет группировать обновления зависимостей в один pull request, замедлять их до ежемесячных и сохранять мгновенные исправления безопасности. На примере проекта Microsoft GCToolkit показано, как три строки YAML сокращают количество PR и CI-запусков.
GitHub и npm представили серию обновлений для disruption supply chain attacks: защита высокоприоритетных аккаунтов, безопасные дефолты actions/checkout, read-only кэш для ненадёжных триггеров, staged publishing и трёхдневная задержка версионных обновлений Dependabot.
GitHub объявил о новом поведении Dependabot: теперь перед созданием pull request для обновления версий инструмент ждет три дня. Это должно дать время сообществу и сканерам выявить вредоносные пакеты до того, как они попадут в код.
