Security configurations son colecciones de opciones de habilitación para las características de seguridad de GitHub que pueden aplicar a cualquier repositorio dentro de una organización o a nivel empresarial.
Hay dos tipos de security configuration:
-
[La configuración de seguridad de GitHub-recommended security configuration](#the-github-recommended-security-configuration) -
[Custom security configurations](#custom-security-configurations)
Cada repositorio solo puede tener un security configuration aplicado.
Puede crear y administrar configuraciones de seguridad mediante la API REST. Para más información, consulta Configurations.
Nota:
Si tu empresa usa Enterprise Managed Users, ten en cuenta que las security configurations a nivel empresarial no se implementan automáticamente en los repositorios de espacios de nombres de usuario. Hay algunas configuraciones adicionales de secret scanning que se pueden aplicar a los repositorios del espacio de nombres de usuario dentro de la empresa, pero no se pueden aplicar security configurations a nivel empresarial a este tipo de repositorio propiedad del usuario.
El GitHub-recommended security configuration
El GitHub-recommended security configuration ofrece diversas ventajas:
-
Lo crean y administran los expertos en la materia de GitHub.
-
Es el security configuration más rápido que se aplicará a todos los repositorios de la organización.
-
Está diseñado para proteger eficazmente los repositorios de bajo y alto impacto.
_Recomendamos que las organizaciones y empresas implementen en un principio la GitHub-recommended security configuration_.
GitHub-recommended security configuration incluye las características de GitHub Code Security y GitHub Secret Protection. La aplicación de la configuración a repositorios privados e internos de tu organización incurrirá en costos de uso o requerirá licencias.
Custom security configurations
Si está familiarizado con los productos de GitHub y tiene necesidades de seguridad específicas que GitHub-recommended security configuration no puede cumplir, puede crear y aplicar custom security configurations. Con custom security configurations, puede hacer lo siguiente:
- Edición de la configuración de habilitación para diferentes características de seguridad
- Crear varias configuraciones para que los repositorios reflejen sus diferentes niveles de visibilidad, tolerancia al riesgo e impacto
También puedes elegir si desea incluir o no las características de GitHub Code Security o GitHub Secret Protection en una configuración. Si lo haces, ten en cuenta que estas características incurren en costos de uso (o requieren licencias de GitHub Advanced Security) cuando se aplican a repositorios privados e internos.
Aplicación de security configurations
Cuando aplica un security configuration, puede optar por hacerlo obligatorio, lo que significa que los usuarios no pueden cambiar el estado de habilitación de las características incluidas en la configuración.
Si un usuario de su organización o empresa intenta cambiar el estado de habilitación de una característica en una configuración aplicada mediante la API REST, la llamada a la API parecerá que se ha realizado correctamente, pero no se modificará ningún estado de habilitación.
Algunas situaciones pueden interrumpir la aplicación de security configurations para un repositorio. Por ejemplo, la habilitación de code scanning no se aplicará a un repositorio si:
- GitHub Actions está habilitado inicialmente en el repositorio, pero luego se deshabilita en el repositorio.
- GitHub Actions no está disponible para el repositorio.
- Los idiomas excluidos de la configuración predeterminada de code scanning se modifican en el repositorio.
Conservación de la configuración predeterminada para los nuevos repositorios
Si ha implementado la configuración de seguridad predeterminada para los repositorios recién creados, GitHub conservará esta configuración creando automáticamente una "Nueva configuración predeterminada del repositorio" security configuration para su empresa. La configuración coincide con la configuración predeterminada de nivel empresarial anterior para los nuevos repositorios a partir de diciembre de 2024.
La configuración se aplicará automáticamente a los repositorios recién creados de la empresa que no pertenezcan a una organización con su propia configuración predeterminada.
Pasos siguientes
Para empezar a proteger repositorios de su organización con GitHub-recommended security configuration, consulta Aplicación de la configuración de seguridad recomendada por GitHub en su organización.
Como alternativa, para empezar a proteger los repositorios de su organización con custom security configurations, consulte Creación de una configuración de seguridad personalizada.