{"meta":{"title":"Alertes Dependabot","intro":"Dependabot alerts vous aider à trouver et à corriger les dépendances vulnérables avant qu’elles ne deviennent des risques de sécurité.","product":"Sécurité et qualité du code","breadcrumbs":[{"href":"/fr/enterprise-server@3.17/code-security","title":"Sécurité et qualité du code"},{"href":"/fr/enterprise-server@3.17/code-security/concepts","title":"Concepts"},{"href":"/fr/enterprise-server@3.17/code-security/concepts/supply-chain-security","title":"Sécurité de la chaîne d’approvisionnement"},{"href":"/fr/enterprise-server@3.17/code-security/concepts/supply-chain-security/dependabot-alerts","title":"Alertes Dependabot"}],"documentType":"article"},"body":"# Alertes Dependabot\n\nDependabot alerts vous aider à trouver et à corriger les dépendances vulnérables avant qu’elles ne deviennent des risques de sécurité.\n\nLe logiciel s’appuie souvent sur des packages provenant de différentes sources, créant des relations de dépendances qui peuvent inconsciemment introduire des vulnérabilités de sécurité. Lorsque votre code dépend de packages avec des vulnérabilités de sécurité connues, vous devenez une cible pour les attaquants qui cherchent à exploiter votre système, ce qui peut obtenir l’accès à votre code, vos données, vos clients ou vos contributeurs.\nDependabot alerts informez-vous des dépendances vulnérables afin de pouvoir effectuer une mise à niveau vers des versions sécurisées et protéger votre projet.\n\n## Quand Dependabot envoie des alertes\n\nDependabot analyse la branche par défaut de votre référentiel et envoie des alertes quand :\n\n* De nouvelles données de recommandation sont synchronisées à GitHub chaque heure à partir de GitHub.com. Pour plus d’informations, consultez « [Exploration des avis de sécurité dans la base de données GitHub Advisory](/fr/enterprise-server@3.17/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/browse-advisory-database) ».\n* Votre graphe des dépendances change (par exemple, lorsque vous poussez des commits qui mettent à jour des packages ou des versions)\n\nPour les écosystèmes pris en charge, consultez [Écosystèmes de packages pris en charge par le graphe des dépendances](/fr/enterprise-server@3.17/code-security/reference/supply-chain-security/dependency-graph-supported-package-ecosystems#supported-package-ecosystems).\n\n## Comprendre les alertes\n\nLorsque GitHub détecte une dépendance vulnérable, une Dependabot alerte s’affiche dans la section des dépendances et le graphique du référentiel ** Security**. Chaque alerte inclut :\n\n* Lien vers le fichier concerné\n* Détails sur la vulnérabilité et sa gravité\n* Informations sur une version fixe (le cas échéant)\n\nPour plus d’informations sur l’affichage et la gestion des alertes, consultez [Affichage et mise à jour des alertes Dependabot](/fr/enterprise-server@3.17/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts).\n\n## Qui peut activer les alertes ?\n\nLes administrateurs de dépôts et les propriétaires d’organisations peuvent activer Dependabot alerts pour leurs dépôts . Lorsque cette option est activée, GitHub génère immédiatement le graphique de dépendances et crée des alertes pour toutes les dépendances vulnérables qu’elle identifie.\n\nLes propriétaires d’entreprise doivent activer Dependabot alerts pour votre instance GitHub Enterprise Server avant de pouvoir utiliser cette fonctionnalité. Pour plus d’informations, consultez « [Activation de Dependabot pour votre entreprise](/fr/enterprise-server@3.17/admin/configuring-settings/configuring-github-connect/enabling-dependabot-for-your-enterprise) ».\n\nConsultez « [Configuration d’alertes Dependabot](/fr/enterprise-server@3.17/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts) ».\n\n## Fonctionnement des notifications d’alerte\n\nPar défaut, GitHub envoie des notifications par e-mail concernant les nouvelles alertes aux personnes qui à la fois :\n\n* Disposer d’autorisations d’écriture, de maintenance ou d’administrateur dans un référentiel\n* Surveillez le référentiel et avez activé les notifications pour les alertes de sécurité ou pour toutes les activités sur le référentiel\n\nQuelles que soient vos préférences de notification, quand elle Dependabot est activée pour la première fois, GitHub n’envoie pas de notifications pour toutes les dépendances vulnérables trouvées dans votre référentiel. Au lieu de cela, vous recevrez des notifications pour les nouvelles dépendances vulnérables identifiées après Dependabot avoir été activées, si vos préférences de notification l’autorisent.\n\nSi vous êtes préoccupé par la réception d’un trop grand nombre de notifications, nous vous recommandons d’utiliser cette option Règles de triage automatique de Dependabot pour ignorer automatiquement les alertes à faible risque. Les règles sont appliquées avant l’envoi des notifications d’alerte. Par conséquent, les alertes qui sont automatiquement ignorées lors de leur création n’envoient pas de notifications. Consultez « [Règles de triage automatique de Dependabot](/fr/enterprise-server@3.17/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules) ».\n\nVous pouvez également opter pour la synthèse hebdomadaire des e-mails, ou même désactiver complètement les notifications tout en gardant Dependabot alerts activé.\n\n## Limitations\n\nDependabot alerts présentent certaines limitations :\n\n* Les alertes ne peuvent pas intercepter chaque problème de sécurité. Passez toujours en revue vos dépendances et conservez le manifeste et les fichiers de verrouillage à jour pour une détection précise.\n* De nouvelles vulnérabilités peuvent mettre du temps à apparaître dans le GitHub Advisory Database et à déclencher des alertes.\n* Seuls les avis examinés par GitHub alertes.\n* Dependabot n’analyse pas les dépôts archivés.\n* Dependabot ne génère pas d’alertes pour les programmes malveillants.\n* Pour GitHub Actions, les alertes sont générées uniquement pour les actions qui utilisent le contrôle de version sémantique, et non le contrôle de version SHA.\n\n## Lectures complémentaires\n\n* [Affichage et mise à jour des alertes Dependabot](/fr/enterprise-server@3.17/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts)\n* [Mises à jour de sécurité Dependabot](/fr/enterprise-server@3.17/code-security/concepts/supply-chain-security/dependabot-security-updates)\n* [Audit des alertes de sécurité](/fr/enterprise-server@3.17/code-security/concepts/security-at-scale/audit-security-alerts)"}