{"meta":{"title":"Como localizar e corrigir sua primeira vulnerabilidade de dependência","intro":"Saiba como manter suas dependências seguras habilitando Dependabot e seus recursos em um repositório de demonstração.","product":"Introdução","breadcrumbs":[{"href":"/pt/get-started","title":"Introdução"},{"href":"/pt/get-started/learning-to-code","title":"Aprenda a codificar"},{"href":"/pt/get-started/learning-to-code/finding-and-fixing-your-first-dependency-vulnerability","title":"Proteger suas dependências"}],"documentType":"article"},"body":"# Como localizar e corrigir sua primeira vulnerabilidade de dependência\n\nSaiba como manter suas dependências seguras habilitando Dependabot e seus recursos em um repositório de demonstração.\n\nUsar coleções de código pré-escritas em seu projeto, chamadas de **bibliotecas** ou **pacotes**, é uma prática comum. Esses módulos de código economizam muito tempo, permitindo que você se concentre nos aspectos novos e criativos do seu trabalho em vez de codificar grandes componentes reutilizáveis do zero. Quando adicionados ao seu projeto, eles são chamados de **dependências**, pois seu trabalho depende do código que eles contêm.\n\nEmbora o uso de dependências seja perfeitamente normal, elas podem conter vulnerabilidades de código, o que, por sua vez, tornaria seu projeto inseguro. Felizmente, ferramentas como Dependabot podem encontrar vulnerabilidades de dependência, gerar solicitações de pull para corrigi-las e até impedir que elas ocorram no futuro. Neste tutorial, você aprenderá a habilitar e usar Dependabot, e seus recursos, para manter suas dependências seguras.\n\n## Como configurar o repositório de demonstração\n\nVamos começar criando um fork de um projeto de demonstração com algumas vulnerabilidades de dependência. Como não implantaremos o projeto, não há **nenhum risco de segurança** neste exercício.\n\n1. Navegue até o repositório [`new2code/dependabot-demo`](https://github.com/new2code/dependabot-demo).\n2. No canto superior direito da página, clique **Fork**.\n3. Na página exibida, clique em **Create fork**.\n\n## Como habilitar recursos de segurança de dependência\n\nAgora que configuramos o projeto, vamos configurar Dependabot para localizar e criar correções para dependências inseguras.\n\n1. Na barra de navegação do seu repositório, clique em ** Security and quality**.\n2. Na linha \"Dependabot alerts\", clique em **Habilitar Dependabot alerts**.\n3. Na seção \"Dependabot\", ao lado de \"Dependabot alerts\", clique em **Habilitar**.\n4. No pop-up exibido, leia a instrução sobre como habilitar o grafo de dependência e clique em **Enable**.\n5. Para permitir que Dependabot abra automaticamente solicitações de pull para corrigir vulnerabilidades de dependência, ao lado de \"Dependabot security updates\", clique em **Habilitar**.\n\n## Visualizando suas dependências inseguras\n\nCom Dependabot configurado, vamos descobrir quais de nossas dependências contêm vulnerabilidades.\n\n1. Na barra de navegação do repositório, clique em ** Security and quality**.\n2. Para ver o Dependabot alerts do repositório na navegação lateral, clique em **Dependabot**.\n3. Para ver informações detalhadas sobre um alerta, clique no título dele. Para este exercício, clique em **Injeção de comando em analisador de fórmula frequente**.\n\n## Noções básicas sobre um alerta do Dependabot\n\nAgora que Dependabot identificou algumas vulnerabilidades em nossas dependências, vamos analisar as informações fornecidas no alerta \"Injeção de Comando no analisador de fórmulas a quente\".\n\n### Corrigir resumo\n\nAbaixo do título do alerta, você pode ver um breve resumo da **correção** dessa vulnerabilidade, incluindo o número de alertas que ela fechará e o local da vulnerabilidade. Em nosso caso, o alerta informa que atualizar o pacote para a `hot-formula-parser` versão 3.0.1 corrigirá um Dependabot alerta identificado em nosso `javascript/package-lock.json` arquivo.\n\nEsta seção também acompanha Dependaboto progresso da criação de uma solicitação de pull para corrigir a vulnerabilidade. Depois que uma correção estiver disponível, você verá um botão rotulado como \" Revisar atualização de segurança\" vinculando-se à solicitação de pull.\n\n\n\n### Detalhes da vulnerabilidade\n\nAbaixo dos detalhes de correção, Dependabot fornece mais informações sobre a vulnerabilidade, incluindo:\n\n* O nome do pacote vulnerável\n* As versões do pacote que contêm a vulnerabilidade\n* A versão do pacote que corrige a vulnerabilidade\n* Detalhes sobre o tipo de vulnerabilidade e como ela pode ser explorada\n\n\n\nNeste alerta, podemos ver que a função `parse` no pacote `hot-formula-parser` não verifica corretamente se a entrada de usuário é segura antes de executá-la, o que permite que invasores executem comandos mal-intencionados.\n\n> \\[!TIP] Se você não entender completamente os detalhes da vulnerabilidade, tente [solicitar Copilot Chat](https://github.com/copilot) uma explicação.\n\n### Linha do tempo\n\nPor fim, você pode ver a linha do tempo do alerta na parte inferior da página. Nossa linha do tempo atualmente contém o carimbo de data/hora de quando Dependabot abriu o alerta e será atualizada automaticamente quando corrigirmos a vulnerabilidade.\n\n\n\n## Como proteger suas dependências\n\nPara proteger nosso projeto de forma rápida e fácil, vamos aplicar a correção Dependabot criada.\n\n1. No campo de alerta com o resumo da correção, clique em **Revisar atualização de segurança**.\n2. Na página do pull request, clique em **Arquivos alterados** para ver as alterações de Dependabot. Depois de examinar as alterações, clique em **Conversa** para retornar à visão geral da solicitação de pull.\n3. Para aplicar a correção, na parte inferior da página, clique em **Merge pull request** e clique em **Confirm merge**.\n\n Depois que a requisição de pull for mesclada, o alerta vinculado Dependabot será fechado automaticamente e o tempo de correção será adicionado ao cronograma.\n\n## Como evitar vulnerabilidades de dependência futuras\n\nPara ajudar a evitar que dependências inseguras surjam no futuro, vamos permitir que Dependabot abra automaticamente solicitações de pull atualizando suas dependências à medida que novas versões sejam lançadas.\n\n1. Na barra de navegação do repositório, clique em **Configurações**.\n2. Na seção \"Segurança\" da barra lateral, clique em **Advanced Security**.\n3. Ao lado de \"Dependabot version updates\", clique em **Habilitar**.\n\n## Próximas etapas\n\nAgora que você experimentou Dependabot e seus recursos em um repositório de demonstração, **habilite-os em seus próprios projetos** para localizar, corrigir e evitar vulnerabilidades de dependência facilmente."}