La configuración predeterminada para el code scanning permite proteger rápidamente el código de los repositorios de toda la organización. Para más información, consulta Acerca de los tipos de configuración para el examen de código.
En el caso de los repositorios que no son adecuados para la configuración predeterminada, puede configurar la configuración avanzada en el nivel de repositorio o en el nivel de organización mediante un script.
Nota:
La configuración predeterminada de todos los repositorios de una organización a través de la página de configuración de la organización no invalidará las configuraciones existentes de la configuración predeterminada. Sin embargo, la configuración predeterminada en un subconjunto de repositorios de una organización mediante la información general sobre seguridad invalidará los ajustes existentes de la configuración predeterminada en esos repositorios.
Prerrequisitos
Un repositorio debe cumplir todos los criterios siguientes para que sean aptos para la configuración predeterminada:
- La configuración avanzada para code scanning aún no está habilitada.
Establecimiento de la configuración predeterminada para todos los repositorios aptos de una organización
En la página de configuración de la organización "Code security and analysis", puede habilitar la configuración predeterminada para todos los repositorios aptos de la organización.
- En la esquina superior derecha de GitHub, haz clic en la foto del perfil y luego en Your organizations.
- Junto a la organización, haga clic en Settings.
- En la sección "Security" de la barra lateral, haz clic en Code security and analysis.
- Haz clic en Enable all junto a "Code scanning".
- En la sección "Conjuntos de consultas" del cuadro de diálogo "Habilitar code scanning, selecciona el conjunto de consultas en el que se ejecutará la definición de la configuración predeterminada. Para más información, consulta Conjuntos de consultas codeQL.
- Para habilitar la definición de la configuración predeterminada, haz clic en Habilitar para repositorios aptos.
- Opcionalmente, para recomendar el conjunto de consultas "Extended" en toda la organización al habilitar la configuración predeterminada, selecciona "Recommend the extended query suite for repositories enabling default setup".
Nota:
- Si deshabilitas CodeQL code scanning para todos los repositorios, este cambio no se reflejará en la información de cobertura que se muestra en la información general de seguridad de la organización. Los repositorios seguirán teniendo code scanning habilitado en la vista "Cobertura de seguridad".
- La habilitación de code scanning para todos los repositorios aptos de una organización no invalidará las configuraciones existentes de code scanning. Para obtener información sobre cómo establecer la configuración predeterminada con diferentes valores para repositorios específicos, consulta Configuring default setup for code scanning.
- Habilitar la configuración predeterminada para todos los repositorios aptos de una organización incluye repositorios aptos sin lenguajes compatibles con CodeQL. Si más adelante se agrega un lenguaje compatible con CodeQL a uno de estos repositorios, la configuración predeterminada comenzará a analizar ese repositorio y a consumir minutos de GitHub Actions.
Extensión de la cobertura de CodeQL en la configuración predeterminada
En la página de configuración de seguridad de la organización, puede extender la cobertura en la configuración predeterminada utilizando paquetes de modelos para todos los repositorios elegibles de la organización. Para más información, consulta Editing your configuration of default setup.
Establecimiento de la configuración predeterminada para un subconjunto de repositorios de una organización
La información general de seguridad de la organización permite buscar repositorios aptos para la configuración predeterminada y habilitar esta configuración en todos los repositorios simultáneamente.
Búsqueda de repositorios aptos para la configuración predeterminada
-
En GitHub, navega a la página principal de tu organización.
-
Debajo del nombre de la organización, haz clic en Security.
-
En la barra lateral, haz clic en Coverage para mostrar la vista "Security coverage".
-
En la barra de búsqueda, escribe una de las siguientes consultas:
`code-scanning-default-setup:eligible is:public` muestra repositorios que tienen lenguajes adecuados para la configuración predeterminada y son elegibles porque son visibles para el público.-
code-scanning-default-setup:eligible advanced-security:enabledmuestra repositorios privados o internos que tienen lenguajes adecuados para la configuración predeterminada y son elegibles porque tienen GitHub Advanced Security habilitado.`code-scanning-default-setup:eligible is:private,internal advanced-security:not-enabled` muestra repositorios privados o internos que tienen lenguajes adecuados para la configuración predeterminada pero no tienen GitHub Advanced Security habilitado. Una vez que habilites GitHub Advanced Security para estos repositorios, también se pueden agregar a la configuración predeterminada.
Puedes seleccionar todos los repositorios mostrados, o un subconjunto de ellos, y habilitar o deshabilitar la configuración predeterminada de code scanning para ellos al mismo tiempo. Para obtener más información, consulte el paso 5 de Establecimiento de la configuración predeterminada a gran escala para varios repositorios de una organización.
Establecimiento de la configuración predeterminada a gran escala para varios repositorios de una organización
-
En GitHub, navega a la página principal de tu organización.
-
Debajo del nombre de la organización, haz clic en Security.
-
En la barra lateral, haz clic en Coverage para mostrar la vista "Security coverage".
-
Puedes usar la barra de búsqueda para restringir los repositorios visibles en la vista "Cobertura de seguridad" en función del nombre o en el estado de habilitación de las características de seguridad. Por ejemplo, para filtrar los repositorios que son aptos para la configuración predeterminada y que actualmente no la tienen habilitada, busca
code-scanning-default-setup:eligible. -
En la lista de repositorios, selecciona cada repositorio para el que quieres habilitar el code scanning.
- Para habilitar code scanning para todos los repositorios en la página, marca la casilla situada junto a NÚMERO activos.
- Para habilitar code scanning para todos los repositorios que coincidan con la búsqueda actual, marca la casilla situada junto a NÚMERO activos y, a continuación, haz clic en Seleccionar los NÚMERO repositorios.
-
Haz clic en Configuración de seguridad junto a NÚMERO seleccionados.
-
En el panel lateral, en la sección "Configuración predeterminada de CodeQL", selecciona Sin cambios y haz clic en Habilitar.
-
Para confirmar la habilitación del code scanning para los repositorios seleccionados, haz clic en Aplicar cambios NÚMERO. Como alternativa, para seleccionar o anular la selección de más repositorios para la habilitación del code scanning, haz clic en para cerrar el panel sin aplicar los cambios.
Nota:
- Al habilitar code scanning para varios repositorios de una organización mediante información general sobre seguridad, se invalidarán los ajustes existentes de code scanning para los repositorios seleccionados, incluidas las selecciones y los flujos de trabajo anteriores del conjunto de consultas para configuraciones avanzadas.
- Puedes habilitar la configuración predeterminada para repositorios aptos que no contengan lenguajes compatibles con CodeQL. Si más adelante se agrega un lenguaje compatible con CodeQL a uno de estos repositorios, la configuración predeterminada comenzará a analizar ese repositorio y a consumir minutos de GitHub Actions.
Si no puedes habilitar el code scanning debido a una directiva empresarial, puedes ver el repositorio afectado en la vista "Cobertura de seguridad" y acceder al panel lateral desde el botón Configuración de seguridad. Sin embargo, verás un mensaje en el panel lateral que indica que no puedes habilitar el code scanning para los repositorios seleccionados. Para obtener más información sobre las directivas empresariales, consulte Aplicación de directivas de seguridad y análisis de código de la empresa.
Configuración de la protección contra la fusión para todos los repositorios de una organización
Puede usar conjuntos de reglas para evitar que las solicitudes de incorporación de cambios se combinen cuando se cumple una de las condiciones siguientes:
- Una herramienta necesaria encuentra una alerta code scanning con una gravedad definida en el conjunto de reglas.
- El análisis de una herramienta necesaria todavía está en curso.
- No se ha configurado una herramienta necesaria para el repositorio.
Para más información, consulta Set code scanning merge protection. Para obtener información más general sobre los conjuntos de reglas, consulta Acerca de los conjuntos de reglas.