{"meta":{"title":"Recherchez et corrigez votre première vulnérabilité de dépendance","intro":"Découvrez comment sécuriser vos dépendances en activant Dependabot et ses fonctionnalités dans un référentiel de démonstration.","product":"Bien démarrer","breadcrumbs":[{"href":"/fr/get-started","title":"Bien démarrer"},{"href":"/fr/get-started/learning-to-code","title":"Apprendre à coder"},{"href":"/fr/get-started/learning-to-code/finding-and-fixing-your-first-dependency-vulnerability","title":"Sécurisez vos dépendances"}],"documentType":"article"},"body":"# Recherchez et corrigez votre première vulnérabilité de dépendance\n\nDécouvrez comment sécuriser vos dépendances en activant Dependabot et ses fonctionnalités dans un référentiel de démonstration.\n\nL’utilisation de collections de code pré-écrites dans votre projet, appelées **bibliothèques** ou **packages**, est une pratique courante. Ces modules de code vous font gagner un temps considérable, vous permettant ainsi de vous concentrer sur les aspects nouveaux et créatifs de votre travail plutôt que de coder de gros composants réutilisables depuis zéro. Lorsqu’ils sont ajoutés à votre projet, ils sont appelés **dépendances**, car votre travail dépend du code qu’ils contiennent.\n\nMême si l’utilisation de dépendances est parfaitement normale, ces dernières peuvent contenir des vulnérabilités de code, qui pourraient à leur tour compromettre la sécurité de votre projet. Heureusement, les outils comme Dependabot peuvent trouver des vulnérabilités de dépendance, déclencher des demandes de tirage pour les corriger, et même les empêcher de se produire à l’avenir. Dans ce tutoriel, vous allez apprendre à activer et à utiliser Dependabot et ses fonctionnalités pour sécuriser vos dépendances.\n\n## Configuration du référentiel de démonstration\n\nCommençons par dupliquer (fork) un projet de démonstration présentant certaines vulnérabilités de dépendances. Comme nous ne déploierons pas le projet, cet exercice ne présente **aucun risque pour la sécurité**.\n\n1. Naviguez jusqu’au référentiel [`new2code/dependabot-demo`](https://github.com/new2code/dependabot-demo).\n2. En haut à droite de la page, cliquez sur **Fork**.\n3. Sur la page qui s’affiche, cliquez sur **Créer une duplication (fork)**.\n\n## Activation des fonctionnalités de sécurité des dépendances\n\nMaintenant que nous avons configuré le projet, nous allons configurer Dependabot pour rechercher et créer des correctifs pour les dépendances non sécurisées.\n\n1. Dans la barre de navigation de votre référentiel, cliquez sur ** Security and quality**.\n2. Dans la ligne «Dependabot alerts », cliquez sur **Activer Dependabot alerts**.\n3. Dans la section «Dependabot », en regard de «Dependabot alerts », cliquez sur **Activer**.\n4. Dans la fenêtre contextuelle qui s’affiche, lisez l’instruction concernant l’activation du graphe des dépendances, puis cliquez sur **Activer**.\n5. Pour permettre à Dependabot d'ouvrir automatiquement des pull requests pour corriger les vulnérabilités de dépendance, à côté de «Dependabot security updates », cliquez sur **Activer**.\n\n## Affichage de vos dépendances non sécurisées\n\nAvec Dependabot configuré, nous allons découvrir quelles dépendances contiennent des vulnérabilités.\n\n1. Dans la barre de navigation de votre référentiel, cliquez sur ** Security and quality**.\n2. Pour afficher le Dependabot alerts de votre dépôt, dans la navigation latérale, cliquez sur **Dependabot**.\n3. Pour afficher des informations détaillées sur une alerte, cliquez sur le titre de l’alerte. Pour cet exercice, cliquez sur **Injection de commande dans hot-formula-parser**.\n\n## Comprendre une alerte Dependabot\n\nMaintenant que Dependabot a identifié certaines vulnérabilités dans nos dépendances, analysons les informations fournies dans l’alerte « Injection de commandes dans l’analyseur de formule à chaud ».\n\n### Résumé du correctif\n\nSous le titre de l’alerte, vous trouverez un bref résumé du **correctif** apporté à cette vulnérabilité, y compris le nombre d’alertes qu’il va fermer et l’emplacement de la vulnérabilité. Dans notre cas, l’alerte nous indique que la mise à niveau du package vers la `hot-formula-parser` version 3.0.1 corrige une Dependabot alerte identifiée dans notre `javascript/package-lock.json` fichier.\n\nCette section suit également la progression de la création d'une pull request pour corriger la vulnérabilité. Une fois qu’un correctif est disponible, vous verrez un bouton intitulé « Examiner la mise à jour de sécurité » lié à la pull request.\n\n\n\n### Détails de la vulnérabilité\n\nSous les détails du correctif, Dependabot fournit plus d’informations sur la vulnérabilité, notamment :\n\n* Le nom du package vulnérable\n* Les versions du package qui contiennent la vulnérabilité\n* La version du package qui corrige la vulnérabilité\n* Les détails sur le type de vulnérabilité et comment elle peut être exploitée\n\n\n\nDans cette alerte, nous pouvons voir que la fonction `parse` du package `hot-formula-parser` ne vérifie pas correctement que les entrées utilisateur sont sécurisées avant de les exécuter, ce qui permet aux attaquants d’exécuter des commandes malveillantes.\n\n> \\[!TIP] Si vous ne comprenez pas entièrement les détails de la vulnérabilité, essayez de demander à quelqu'un de vous les expliquer.\n\n### Durée\n\nEnfin, vous pouvez voir la chronologie de l’alerte en bas de la page. Notre chronologie contient actuellement l’horodatage lors Dependabot de l’ouverture de l’alerte et sera automatiquement mis à jour lorsque nous corrigeons la vulnérabilité.\n\n\n\n## Sécurisation de vos dépendances\n\nPour sécuriser rapidement et facilement notre projet, nous allons appliquer le correctif Dependabot créé.\n\n1. Dans le champ d’alerte avec le résumé du correctif, cliquez sur **Vérifier la mise à jour de sécurité**.\n2. Dans la page de demande de tirage, cliquez sur **Fichiers modifiés** pour afficher Dependabotles modifications apportées. Après avoir examiné les modifications, cliquez sur **Conversation** pour revenir à la vue globale de la pull request.\n3. Pour appliquer la mise à jour, en bas de la page, cliquez sur **Fusionner la pull request**, puis cliquez sur **Confirmer la fusion**.\n\n Une fois la requête de tirage fusionnée, l’alerte liée Dependabot se fermera automatiquement et l'heure de correction sera ajoutée à la frise chronologique.\n\n## Prévenir les futures vulnérabilités dans les dépendances\n\nPour éviter les dépendances non sécurisées, nous allons autoriser Dependabot à ouvrir automatiquement des pull requests pour mettre à jour vos dépendances au fur et à mesure que de nouvelles versions sont publiées.\n\n1. Dans la barre de navigation de votre référentiel, cliquez sur **Paramètres**.\n2. Dans la section « Sécurité » de la barre latérale, cliquez sur **Advanced Security**.\n3. À côté de \"Dependabot version updates\", cliquez sur **Activer**.\n\n## Étapes suivantes\n\nMaintenant que vous avez essayé Dependabot et ses fonctionnalités sur un référentiel de démonstration, **activez-les sur vos propres projets** pour rechercher, corriger et empêcher facilement les vulnérabilités des dépendances."}