45. Segurança nativa do GitHub

Este capítulo nasce das 40 questões publicadas sobre Segurança nativa do GitHub. A leitura do acervo revelou 4 núcleos de conhecimento, aqui reorganizados como uma explicação progressiva: primeiro o vocabulário e o modelo mental, depois os mecanismos, as decisões de implementação, os limites e a forma de verificar o comportamento do sistema.

Agora o foco se volta ao trabalho cotidiano das equipes: métodos, requisitos, testes, versionamento, colaboração, integração e entrega. Cada capítulo acompanha como uma mudança percorre o caminho da ideia até a produção. Este é o capítulo 45 de 46 da disciplina Desenvolvimento de Sistemas. Ele retoma Runners, artefatos, cache e ambientes e utiliza essa base para avançar. Na sequência, estudaremos APIs, webhooks e GitHub Apps.

O fio condutor

O desenvolvimento de software começa com um problema e avança por decisões que precisam permanecer compreensíveis e verificáveis. Requisitos orientam modelos; modelos orientam código e arquitetura; testes verificam comportamento; e a operação devolve informações para o próximo ciclo. Uma falha importante no início tende a se espalhar pelas etapas seguintes.

Neste capítulo, use Segurança nativa do GitHub para acompanhar quatro perguntas: qual problema precisa ser resolvido, como o mecanismo funciona, que consequências a escolha produz e como o resultado será verificado. Essa sequência transforma termos técnicos em decisões que podem ser explicadas e testadas.

Parte 1 — Fundamentos e vocabulário

Começamos por Parte 1 — Fundamentos e vocabulário, pois essa base organiza os conceitos e exemplos que aparecerão no restante do capítulo.

Dependabot alerts

O ponto de partida é estabelecer o significado do conceito e o problema que ele procura organizar. Dependabot alerts notificam vulnerabilidades conhecidas na rede de dependências. O enunciado delimita corretamente a natureza e a finalidade de Dependabot alerts. Conceitualmente, Dependabot alerts notificam vulnerabilidades conhecidas na rede de dependências. Na prática, isso requer delimitar o significado e o escopo de Dependabot alerts e, a partir disso, integrar prevenção, detecção e correção no fluxo de contribuição. O erro recorrente é confundir Dependabot alerts com um conceito vizinho ou habilitar alertas sem owner, SLA ou proteção contra novo vazamento; sua prevenção não é mera formalidade, porque altera segurança, previsibilidade ou resultado. A conclusão deve ser auditada por este critério: alerta liga achado, commit, dependência ou segredo a uma ação de remediação; a definição operacional de Dependabot alerts permite classificar casos de fronteira. A regra ganha sentido quando suas consequências orientam a implementação.

Na prática, isso significa delimitar o significado e o escopo de Dependabot alerts e, a partir disso, integrar prevenção, detecção e correção no fluxo de contribuição. Transforme a regra em uma decisão observável: identifique entrada, estado, sequência, saída, falhas possíveis e ambiente. Assim fica claro quando a técnica se aplica e o que precisa ser testado.

Use como teste da compreensão: Alerta liga achado, commit, dependência ou segredo a uma ação de remediação; a definição operacional de Dependabot alerts permite classificar casos de fronteira. Depois verifique a afirmação com execução controlada, teste automatizado, análise do contrato, medição ou documentação da versão correspondente. A evidência deve reproduzir a propriedade afirmada, inclusive nos casos de erro e de fronteira.