{"meta":{"title":"Écosystèmes de packages pris en charge par le graphe des dépendances","intro":"Le graphe des dépendances prend en charge un large éventail d’écosystèmes.","product":"Sécurité et qualité du code","breadcrumbs":[{"href":"/fr/code-security","title":"Sécurité et qualité du code"},{"href":"/fr/code-security/reference","title":"Reference"},{"href":"/fr/code-security/reference/supply-chain-security","title":"Sécurité de la chaîne d’approvisionnement"},{"href":"/fr/code-security/reference/supply-chain-security/dependency-graph-supported-package-ecosystems","title":"Écosystèmes de graphes de dépendances"}],"documentType":"article"},"body":"# Écosystèmes de packages pris en charge par le graphe des dépendances\n\nLe graphe des dépendances prend en charge un large éventail d’écosystèmes.\n\n## Comprendre la table\n\nLe graphique de dépendances prend en charge différentes méthodes d’envoi de données pour les dépendances directes et indirectes (transitives). Consultez « [Comment le graphique de dépendances reconnaît les dépendances](/fr/code-security/concepts/supply-chain-security/dependency-graph-data) ».\n\nDans le tableau ci-dessous :\n\n* Les **dépendances transitives statiques**, Dependabot (actuellement non disponibles pour \\*\\*\\*\\*), et les colonnes de GitHub Enterprise Server indiquent les méthodes prises en charge pour l’envoi de données.\n* La colonne **dépendances transitives statiques** indique également si l'analyse statique va ajouter des étiquettes `direct` et `transitive` aux packages dépendants dans cet écosystème.\n* La **Dependabot colonne travaux de graphe** indique si Dependabot peut générer des graphes de dépendance à l’aide de sa propre infrastructure de travail. Lorsqu’elle est prise en charge, cette méthode est prioritaire sur la soumission automatique de dépendances. Consultez « [Comment le graphique de dépendances reconnaît les dépendances](/fr/code-security/concepts/supply-chain-security/dependency-graph-data#dependabot-graph-jobs) ».\n* La colonne **Fichiers recommandés** suggère des formats qui définissent explicitement les versions utilisées pour toutes les dépendances directes et indirectes. Ces fichiers verrouillent les versions de package à celles incluses dans la build et permettent à Dependabot de rechercher des versions vulnérables dans les dépendances directes et indirectes.\n\n## Écosystèmes de packages pris en charge\n\n\\| Gestionnaire de paquets | Langues | Dépendances transitives statiques |\nDependabot Tâches de traitement de graphes | Envoi automatique des dépendances | Fichiers recommandés | Fichiers supplémentaires |\n\\| --- | --- | --- | --- | --- | --- | --- |\n\\| |\n\\| Bazel | Starlark | | | |\n`MODULE.bazel`, `WORKSPACE` |\n`MODULE.bazel.lock`\n`maven_install.json`\n`*.MODULE.bazel`\n|\n\\| |\n\\| Cargo | Rust | | | | `Cargo.lock` | `Cargo.toml` |\n\\| Composer | PHP | | | | `composer.lock` | `composer.json` |\n\\| |\n\\| Deno | TypeScript, JavaScript | | | | `deno.lock` |\n`deno.json`, `deno.jsonc` |\n\\| |\n\\| NuGet | langages .NET (C#, F#, VB), C++ | | | |\n`.csproj`, `.vbproj`, , `.nuspec`, `.vcxproj`, `.fsproj` | `packages.config` |\n\\| GitHub Actions Flux de travail | YAML | | | |\n`.yml`, `.yaml` | |\n\\| Modules Go | Allez | | | | `go.mod`| |\n\\| Gradle | Java | | | | | |\n\\| |\n\\| Julia | Julia | | | | `Manifest.toml` | `Project.toml` |\n\\| |\n\\| Maven | Java, Scala | | | | `pom.xml` | |\n\\| npm | JavaScript | | | | `package-lock.json` | `package.json`|\n\\| |\n\\| OpenTofu | HCL | | | | `.terraform.lock.hcl` |\n`.tf`, `.tofu` |\n\\| |\n\\| pip | Python | | | |\n`requirements.txt`, `pipfile.lock` |\n`pipfile`, `setup.py` |\n\\| pnpm | JavaScript | | | | `pnpm-lock.yaml` | `package.json` |\n\\| pub | Dart | | | | `pubspec.lock` | `pubspec.yaml` |\n\\| Poésie | Python | | | | `poetry.lock` | `pyproject.toml` |\n\\| RubyGems | Ruby | | | | `Gemfile.lock` |\n`Gemfile`, `*.gemspec` |\n\\| Gestionnaire de package Swift | Swift | | | | `Package.resolved` | |\n\\| Yarn | JavaScript | | | | `yarn.lock` | `package.json` |\n\n> \\[!NOTE]\n>\n> * Si vous répertoriez vos dépendances Python dans un fichier `setup.py`, nous ne pouvons peut-être pas analyser et répertorier chaque dépendance dans votre projet.\n> *\n\nGitHub Actions les flux de travail doivent se trouver dans le répertoire `.github/workflows/` d’un référentiel pour être reconnus comme manifestes. Toutes les actions ou workflows référencés avec la syntaxe `jobs[*].steps[*].uses` ou `jobs..uses` sont analysés en tant que dépendances. Pour plus d’informations, consultez « [Syntaxe de flux de travail pour GitHub Actions](/fr/actions/reference/workflows-and-actions/workflow-syntax) ».\n\n> \\*\n> Pour GitHub Actions, les alertes sont générées uniquement pour les actions qui utilisent le contrôle de version sémantique, et non le contrôle de version SHA. Pour plus d’informations, consultez [Alertes Dependabot](/fr/code-security/concepts/supply-chain-security/dependabot-alerts) et [Mises à jour des versions Dependabot](/fr/code-security/concepts/supply-chain-security/dependabot-version-updates).\n\n### Écosystèmes gérés par la communauté\n\nLes écosystèmes suivants sont maintenus par leurs gardiens de la communauté en amont. GitHub intègre Dependabot avec ces écosystèmes, mais ne les gère pas directement.\n\n| Écosystème | Géré par |\n| ---------- | ------------------- |\n| | |\n| Julia | Communauté Julia |\n| | |\n| | |\n| OpenTofu | Communauté OpenTofu |\n| | |\n| pub | Communauté Dart |"}