@@ -42,8 +42,11 @@ After you configure {% data variables.location.product_location %} to use {% dat
Any VM that you use for {% data variables.product.prodname_dependabot %} runners must meet the requirements for self-hosted runners. In addition, they must meet the following requirements.
- Linux operating system{% ifversion ghes < 3.5 %}
- Git installed{% endif %}
- Linux operating system
- x64 architecture
{%- ifversion ghes < 3.5 %}
- Git installed
{%- endif %}
- Docker installed with access for the runner users:
- We recommend installing Docker in rootless mode and configuring the runners to access Docker without `root` privileges.
- Alternatively, install Docker and give the runner users raised privileges to run Docker.
@@ -50,6 +50,8 @@ You can enable a related feature, {% data variables.product.prodname_dependabot_
{% data reusables.dependabot.dependabot-updates-and-actions %}
{% data reusables.dependabot.dependabot-actions-support %}
## About pull requests for security updates
Each pull request contains everything you need to quickly and safely review and merge a proposed fix into your project. This includes information about the vulnerability like release notes, changelog entries, and commit details. Details of which vulnerability a pull request resolves are hidden from anyone who does not have access to {% data variables.product.prodname_dependabot_alerts %} for the repository.
The `hex-repository` type supports an authentication key.
`repo` is a required field, which must match the name of the repository used in your dependency declaration.
The `public-key-fingerprint` is an optional configuration field, representing the fingerprint of the public key for the Hex repository. `public-key-fingerprint` is used by Hex to establish trust with the private repository. The `public-key-fingerprint` field can be either listed in plaintext or stored as a {% data variables.product.prodname_dependabot %} secret.
@@ -30,6 +30,8 @@ If a contributor bypasses a push protection block for a secret, {% data variable
- adds the bypass event to the audit log.{% ifversion secret-scanning-push-protection-email %}
- sends an email alert to organization owners, security managers, and repository administrators, with a link to the related secret and the reason why it was allowed.{% endif %}
{% data reusables.secret-scanning.bypass-reasons-and-alerts %}
For information on the secrets and service providers supported for push protection, see "[{% data variables.product.prodname_secret_scanning_caps %} patterns](/code-security/secret-scanning/secret-scanning-patterns#supported-secrets-for-push-protection)."
## Enabling {% data variables.product.prodname_secret_scanning %} as a push protection
intro: 'Mit {% data variables.product.product_name %} kannst du deine Lieferkette absichern, indem du Informationen über die Abhängigkeiten in deiner Umgebung bis zu den Sicherheitsrisiken dieser Abhängigkeiten erhältst{% ifversion fpt or ghec or ghes %} und diese patchen kannst{% endif %}.'
title: About supply chain security
intro: '{% data variables.product.product_name %} helps you secure your supply chain, from understanding the dependencies in your environment, to knowing about vulnerabilities in those dependencies{% ifversion fpt or ghec or ghes %}, and patching them{% endif %}.'
## Informationen zur Lieferkettensicherheit auf GitHub
Aufgrund der zunehmenden Verwendung von Open-Source-Lösungen hängen die meisten Projekte von Hunderten von Open-Source-Abhängigkeiten ab. Dies stellt ein Sicherheitsproblem dar: Was ist, wenn die von Ihnen verwendeten Abhängigkeiten Sicherheitsrisiken aufweisen? Du könntest deine Benutzer*innen dem Risiko eines Lieferkettenangriffs aussetzen. Eine der wichtigsten Maßnahmen zum Schutz deiner Lieferkette besteht darin, deine anfälligen Abhängigkeiten zu patchen{% ifversion GH-advisory-db-supports-malware %} und jegliche Schadsoftware zu ersetzen{% endif %}.
## About supply chain security at GitHub
Du fügst Abhängigkeiten direkt deiner Lieferkette hinzu, wenn du sie in einer Manifest- oder Sperrdatei angibst. Abhängigkeiten können aber auch transitiv eingeschlossen werden. Dies bedeutet, dass, auch wenn du eine bestimmte Abhängigkeit nicht angibst, eine deiner Abhängigkeiten diese jedoch verwendet, du ebenfalls von dieser Abhängigkeit abhängig bist.
With the accelerated use of open source, most projects depend on hundreds of open-source dependencies. This poses a security problem: what if the dependencies you're using are vulnerable? You could be putting your users at risk of a supply chain attack. One of the mostimportant things you can do to protect your supply chain is to patch your vulnerable dependencies{% ifversion GH-advisory-db-supports-malware %} and replace any malware{% endif %}.
{% data variables.product.product_name %} bietet eine Reihe von Features, die dir dabei helfen, die Abhängigkeiten in deiner Umgebung{% ifversion ghae %} und die Sicherheitsrisiken dieser Abhängigkeiten zu verstehen{% endif %}{% ifversion fpt or ghec or ghes %}und die Sicherheitsrisiken dieser Abhängigkeiten zu verstehen und diese zu patchen{% endif %}.
You add dependencies directly to your supply chain when you specify them in a manifest file or a lockfile. Dependencies can also be included transitively, that is, even if you don’t specify a particular dependency, but a dependency of yours uses it, then you’re also dependent on that dependency.
Die Lieferkettenfeatures auf {% data variables.product.product_name %} sind:
- **Abhängigkeitsdiagramm**
- **Abhängigkeitsüberprüfung**
- **{% data variables.product.prodname_dependabot_alerts %} ** {% ifversion fpt or ghec or ghes %} –**{% data variables.product.prodname_dependabot_updates %}**
{% data variables.product.product_name %} offers a range of features to help you understand the dependencies in your environment{% ifversion ghae %} and know about vulnerabilities in those dependencies{% endif %}{% ifversion fpt or ghec or ghes %}, know about vulnerabilities in those dependencies, and patch them{% endif %}.
The supply chain features on {% data variables.product.product_name %} are:
- **Dependency graph**
- **Dependency review**
- **{% data variables.product.prodname_dependabot_alerts %} **
{% ifversion fpt or ghec or ghes %}- **{% data variables.product.prodname_dependabot_updates %}**
- **{% data variables.product.prodname_dependabot_security_updates %}**
- **{% data variables.product.prodname_dependabot_version_updates %}**{% endif %}
Das Abhängigkeitsdiagramm ist von zentraler Bedeutung für die Lieferkettensicherheit. Es zeigt alle Upstreamabhängigkeiten eines Repositorys oder Pakets sowie alle öffentlichen Downstreamelemente, die von diesem Repository bzw. Paket abhängig sind. Im Abhängigkeitsdiagramm für das Repository kannst du die Abhängigkeitendeines Repositorys sowie einige der Eigenschaften dieser Abhängigkeiten sehen, z.B. Informationen zu Sicherheitsrisiken.
The dependency graph is central to supply chain security. The dependency graph identifies all upstream dependencies and public downstream dependents of a repository or package. You can see your repository’s dependencies and some of their properties, like vulnerability information, on the dependency graph for the repository.
Andere Lieferkettenfeatures auf {% data variables.product.prodname_dotcom %} nutzen die Informationen aus dem Abhängigkeitsdiagramm.
Other supply chain features on {% data variables.product.prodname_dotcom %} rely on the information provided by the dependency graph.
- Die Abhängigkeitsüberprüfung verwendet das Abhängigkeitsdiagramm, um Änderungen bei Abhängigkeiten zu erkennen und Ihnen dabei zu helfen, beim Überprüfen von Pull Requests die Auswirkungen dieser Änderungen auf die Sicherheit zu verstehen.
- {% data variables.product.prodname_dependabot %} gleicht die vom Abhängigkeitsdiagramm bereitgestellten Abhängigkeitsdaten mit der in {% data variables.product.prodname_advisory_database %} veröffentlichten Empfehlungsliste ab, überprüft deine Abhängigkeiten und generiert {% data variables.product.prodname_dependabot_alerts %}, wenn ein potenzielles Sicherheitsrisiko {% ifversion GH-advisory-db-supports-malware %}oder Schadsoftware{% endif %} erkannt wurde.
{% ifversion fpt or ghec or ghes %}– {% data variables.product.prodname_dependabot_security_updates %} verwenden das Abhängigkeitsdiagramm und {% data variables.product.prodname_dependabot_alerts %}, um dich beim Aktualisieren von Abhängigkeiten mit bekannten Sicherheitsrisiken in deinem Repository zu unterstützen.
- Dependency review uses the dependency graph to identify dependency changes and help you understand the security impact of these changes when you review pull requests.
- {% data variables.product.prodname_dependabot %} cross-references dependency data provided by the dependency graph with the list of advisories published in the {% data variables.product.prodname_advisory_database %}, scans your dependencies and generates {% data variables.product.prodname_dependabot_alerts %} when a potential vulnerability {% ifversion GH-advisory-db-supports-malware %}or malware{% endif %} is detected.
{% ifversion fpt or ghec or ghes %}- {% data variables.product.prodname_dependabot_security_updates %} use the dependency graph and {% data variables.product.prodname_dependabot_alerts %} to help you update dependencies with known vulnerabilities in your repository.
{% data variables.product.prodname_dependabot_version_updates %} verwenden nicht das Abhängigkeitsdiagramm, sondern die semantische Versionierung von Abhängigkeiten. {% data variables.product.prodname_dependabot_version_updates %} hilft dir dabei, deine Abhängigkeiten auf dem jeweils aktuellen Stand zu halten, auch wenn keine Sicherheitsrisiken vorliegen.
{% data variables.product.prodname_dependabot_version_updates %} don't use the dependency graph and rely on the semantic versioning of dependencies instead. {% data variables.product.prodname_dependabot_version_updates %} help you keep your dependencies updated, even when they don’t have any vulnerabilities.
{% endif %}
{% ifversion fpt or ghec or ghes %} Leitlinien mit bewährten Methoden zur Sicherheit der gesamten Lieferkette, einschließlich des Schutzes von persönlichen Konten, Code und Prozessen, findest du unter [Sichern einer End-to-End-Lieferkette](/code-security/supply-chain-security/end-to-end-supply-chain/end-to-end-supply-chain-overview).
{% ifversion fpt or ghec or ghes %}
For best practice guides on end-to-end supply chain security including the protection of personal accounts, code, and build processes, see "[Securing your end-to-end supply chain](/code-security/supply-chain-security/end-to-end-supply-chain/end-to-end-supply-chain-overview)."
{% endif %}
## Funktionsübersicht
## Feature overview
### Was ist das Abhängigkeitsdiagramm?
### What is the dependency graph
Zum Generieren des Abhängigkeitsdiagramms überprüft {% data variables.product.company_short %} die expliziten, im Manifest und in Sperrdateien deklarierten Abhängigkeiten eines Repositorys. Wenn das Abhängigkeitsdiagramm aktiviert ist, parst es automatisch alle bekannten Paketmanifestdateien im Repository und verwendet diese, um ein Diagramm mit den Namen und Versionen bekannter Abhängigkeiten zu erstellen.
To generate the dependency graph, {% data variables.product.company_short %} looks at a repository’s explicit dependencies declared in the manifest and lockfiles. When enabled, the dependency graph automatically parses all known package manifest files in the repository, and uses this to construct a graph with known dependency names and versions.
- Das Abhängigkeitsdiagramm enthält Informationen zu deinen_direkten_und _transitiven_Abhängigkeiten.
- Das Abhängigkeitsdiagramm wird automatisch aktualisiert, wenn du einen Commit an {% data variables.product.company_short %} pushst, der eine unterstützte Manifest- oder Sperrdatei für den Standardbranch ändert oder hinzufügt, und wenn jemand eine Änderung an das Repository einer deiner Abhängigkeiten pusht.
- Du kannst das Abhängigkeitsdiagramm anzeigen, indem du die Hauptseite des Repositorys auf {% data variables.product.product_name %} öffnest und zur Registerkarte **Erkenntnisse** navigierst.
- The dependency graph includes information on your_direct_dependencies and _transitive_dependencies.
- The dependency graph is automatically updated when you push a commit to {% data variables.product.company_short %} that changes or adds a supported manifest or lock file to the default branch, and when anyone pushes a change to the repository of one of your dependencies.
- You can see the dependency graph by opening the repository's main page on {% data variables.product.product_name %}, and navigating to the **Insights** tab.
{% data reusables.dependency-submission.dependency-submission-link %}
{% endif %}
Weitere Informationen zum Abhängigkeitsdiagramm findest du unter [Informationen zum Abhängigkeitsdiagramm](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-the-dependency-graph).
For more information about the dependency graph, see "[About the dependency graph](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-the-dependency-graph)."
### Was ist die Abhängigkeitsüberprüfung?
### What is dependency review
Die Abhängigkeitsüberprüfung hilft Reviewer*innen und Mitwirkenden dabei, Änderungen bei Abhängigkeiten und deren Auswirkungen auf die Sicherheit in allen Pull Requests zu verstehen.
Dependency review helps reviewers and contributors understand dependency changes and their security impact in every pull request.
- Die Abhängigkeitsüberprüfung teilt Ihnen mit, welche Abhängigkeiten in einem Pull Request hinzugefügt, entfernt oder aktualisiert wurden. Du kannst das Veröffentlichungsdatum, die Beliebtheit von Abhängigkeiten und Informationen zu Sicherheitsrisiken verwenden, um zu entscheiden, ob du die Änderung annehmen möchtest.
- Du kannst die Abhängigkeitsüberprüfung für einen Pull Request einsehen, indem du auf der Registerkarte **Geänderte Dateien** das Rich-Diff anzeigst.
- Dependency review tells you which dependencies were added, removed, or updated, in a pull request. You can use the release dates, popularity of dependencies, and vulnerability information to help you decide whether to accept the change.
- You can see the dependency review for a pull request by showing the rich diff on the **Files Changed** tab.
Weitere Informationen zur Abhängigkeitsüberprüfung findest du unter [Informationen zur Abhängigkeitsüberprüfung](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review).
For more information about dependency review, see "[About dependency review](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review)."
### Was ist Dependabot?
### What is Dependabot
{% data variables.product.prodname_dependabot %} hält deine Abhängigkeiten auf dem jeweils aktuellen Stand, indem du über Sicherheitsrisiken bei deinen Abhängigkeiten informiert wirst{% ifversion fpt or ghec or ghes %} und automatisch Pull Requests zum Upgraden deiner Abhängigkeiten auf die nächste verfügbare sichere Version geöffnet werden, wenn eine {% data variables.product.prodname_dependabot %}-Warnung ausgelöst wird, oder zum Upgraden auf die aktuelle Version, wenn ein Release veröffentlicht wird{% else %}, damit du die betreffende Abhängigkeit aktualisieren kannst{% endif %}.
{% data variables.product.prodname_dependabot %} keeps your dependencies up to date by informing you of any security vulnerabilities in your dependencies{% ifversion fpt or ghec or ghes %}, and automatically opens pull requests to upgrade your dependencies to the next available secure version when a {% data variables.product.prodname_dependabot %} alert is triggered, or to the latest version when a release is published{% else %} so that you can update that dependency{% endif %}.
{% ifversion fpt or ghec or ghes %} Der Begriff „{% data variables.product.prodname_dependabot %}“ beschreibt die folgenden Features:
- {% data variables.product.prodname_dependabot_alerts %}: Hierbei handelt es sich um eine Benachrichtigung, die auf der Registerkarte **Sicherheit** für das Repository sowie im Abhängigkeitsdiagramm des Repositorys angezeigt wird. Die Warnung enthält einen Link zur betroffenen Datei im Projekt sowie Informationen zu einer Version, bei der das Problem behoben wurde.
{% ifversion fpt or ghec or ghes %}
The term "{% data variables.product.prodname_dependabot %}" encompasses the following features:
- {% data variables.product.prodname_dependabot_alerts %}—Displayed notification on the **Security** tab for the repository, and in the repository's dependency graph. The alert includes a link to the affected file in the project, and information about a fixed version.
- {% data variables.product.prodname_dependabot_updates %}:
- {% data variables.product.prodname_dependabot_security_updates %}: Hierbei handelt es sich um Updates, die ausgelöst werden, damit deine Abhängigkeiten auf eine sichere Version upgegradet werden, sobald eine Warnung ausgelöst wird.
- {% data variables.product.prodname_dependabot_version_updates %}: Hierbei handelt es sich um geplante Updates, mit denen deine Abhängigkeiten auf dem neuesten Stand (aktuelle Version) gehalten werden.
- {% data variables.product.prodname_dependabot_security_updates %}—Triggered updates to upgrade your dependencies to a secure version when an alert is triggered.
- {% data variables.product.prodname_dependabot_version_updates %}—Scheduled updates to keep your dependencies up to date with the latest version.
{% endif %}
{% ifversion fpt or ghec %}
{% data variables.product.prodname_dependabot_alerts %}, {% data variables.product.prodname_dependabot_security_updates %} und {% data variables.product.prodname_dependabot_version_updates %} nutzen {% data variables.product.prodname_actions %} nicht, wenn sie auf {% data variables.product.product_name %} ausgeführt werden. Allerdings können Pull Requests, die von {% data variables.product.prodname_dependabot %} geöffnet werden, Workflows zum Ausführen von Aktionen auslösen. Weitere Informationen findest du unter [Automatisieren von {% data variables.product.prodname_dependabot %} mit {% data variables.product.prodname_actions %}](/code-security/dependabot/working-with-dependabot/automating-dependabot-with-github-actions).
{% data variables.product.prodname_dependabot_alerts %}, {% data variables.product.prodname_dependabot_security_updates %}, and {% data variables.product.prodname_dependabot_version_updates %} do not use {% data variables.product.prodname_actions %} when they run on {% data variables.product.product_name %}. However, pull requests opened by {% data variables.product.prodname_dependabot %} can trigger workflows that run actions. For more information, see "[Automating {% data variables.product.prodname_dependabot %} with {% data variables.product.prodname_actions %}](/code-security/dependabot/working-with-dependabot/automating-dependabot-with-github-actions)."
{% elsif ghes %}
{% data variables.product.prodname_dependabot_security_updates %} und {% data variables.product.prodname_dependabot_version_updates %} benötigen {% data variables.product.prodname_actions %}, um auf {% data variables.product.product_name %} ausgeführt zu werden. Für {% data variables.product.prodname_dependabot_alerts %} wird {% data variables.product.prodname_actions %} nicht benötigt. Weitere Informationen findest du unter [Aktivieren von {% data variables.product.prodname_dependabot %} für dein Unternehmen](/admin/configuration/configuring-github-connect/enabling-dependabot-for-your-enterprise).
{% data variables.product.prodname_dependabot_security_updates %} and {% data variables.product.prodname_dependabot_version_updates %} require {% data variables.product.prodname_actions %} to run on {% data variables.product.product_name %}. {% data variables.product.prodname_dependabot_alerts %} do not require {% data variables.product.prodname_actions %}. For more information, see "[Enabling {% data variables.product.prodname_dependabot %} for your enterprise](/admin/configuration/configuring-github-connect/enabling-dependabot-for-your-enterprise)."
{% elsif ghae %}
{% data variables.product.prodname_actions %} wird nicht benötigt, um {% data variables.product.prodname_dependabot_alerts %} auf {% data variables.product.product_name %} auszuführen.
{% data variables.product.prodname_actions %} is not required for {% data variables.product.prodname_dependabot_alerts %} to run on {% data variables.product.product_name %}.
{% endif %}
#### Was sind Dependabot-Warnungen?
{% ifversion dependabot-actions-support %}
{% data variables.product.prodname_dependabot_alerts %} heben Repositorys hervor, die von einem neu entdeckten Sicherheitsrisiko betroffen sind, basierend auf dem Abhängigkeitsdiagramm sowie {% data variables.product.prodname_advisory_database %} hervor. Diese Datenbank enthält Empfehlungen für bekannte Sicherheitsrisiken{% ifversion GH-advisory-db-supports-malware %} und Schadsoftware{% endif %}.
{% data reusables.dependabot.dependabot-actions-support %} For more information, see "[About {% data variables.product.prodname_dependabot_security_updates %}](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates)."
- {% data variables.product.prodname_dependabot %} führt eine Überprüfung zur Erkennung von unsicheren Abhängigkeiten durch und sendet {% data variables.product.prodname_dependabot_alerts %}, wenn: {% ifversion fpt or ghec %}
- Ein neues Sicherheitsrisiko wird {% data variables.product.prodname_advisory_database %} hinzugefügt.{% else %}
- Neue Empfehlungsdaten werden stündlich zwischen {% data variables.product.prodname_dotcom_the_website %} und {% data variables.location.product_location %} synchronisiert. {% data reusables.security-advisory.link-browsing-advisory-db %}{% endif %}
- Das Abhängigkeitsdiagramm für das Repository sich ändert
- {% data variables.product.prodname_dependabot_alerts %} werden {% ifversion fpt or ghec or ghes %} auf der Registerkarte **Sicherheit** des Repositorys sowie{% endif %} im Abhängigkeitsdiagramm des Repositorys angezeigt. Die Warnung enthält {% ifversion fpt or ghec or ghes %} einen Link zur betroffenen Datei im Projekt sowie {% endif %}Informationen zu einer Version, bei der das Problem behoben wurde.
{% endif %}
Weitere Informationen findest du unter [Informationen zu {% data variables.product.prodname_dependabot_alerts %}](/code-security/supply-chain-security/managing-vulnerabilities-in-your-projects-dependencies/about-alerts-for-vulnerable-dependencies).
#### What are Dependabot alerts
{% data variables.product.prodname_dependabot_alerts %} highlight repositories affected by a newly discovered vulnerability based on the dependency graph and the {% data variables.product.prodname_advisory_database %}, which contains advisories for known vulnerabilities{% ifversion GH-advisory-db-supports-malware %} and malware{% endif %}.
- {% data variables.product.prodname_dependabot %} performs a scan to detect insecure dependencies and sends {% data variables.product.prodname_dependabot_alerts %} when:
{% ifversion fpt or ghec %}
- A new advisory is added to the {% data variables.product.prodname_advisory_database %}.{% else %}
- New advisory data is synchronized to {% data variables.location.product_location %} each hour from {% data variables.product.prodname_dotcom_the_website %}. {% data reusables.security-advisory.link-browsing-advisory-db %}{% endif %}
- The dependency graph for the repository changes.
- {% data variables.product.prodname_dependabot_alerts %} are displayed {% ifversion fpt or ghec or ghes %} on the **Security** tab for the repository and{% endif %} in the repository's dependency graph. The alert includes {% ifversion fpt or ghec or ghes %}a link to the affected file in the project, and {% endif %}information about a fixed version.
For more information, see "[About {% data variables.product.prodname_dependabot_alerts %}](/code-security/supply-chain-security/managing-vulnerabilities-in-your-projects-dependencies/about-alerts-for-vulnerable-dependencies)."
{% ifversion fpt or ghec or ghes %}
#### Was sind Dependabot-Updates?
#### What are Dependabot updates
Es gibt zwei Arten von {% data variables.product.prodname_dependabot_updates %}: {% data variables.product.prodname_dependabot %}-_Sicherheitsupdates_ und -_Versionsupdates_. {% data variables.product.prodname_dependabot %} generiert zwar in beiden Fällen automatische Pull Requests zum Aktualisieren deiner Abhängigkeiten, es gibt jedoch einige Unterschiede.
There are two types of {% data variables.product.prodname_dependabot_updates %}: {% data variables.product.prodname_dependabot %}_security_ updates and _version_updates. {% data variables.product.prodname_dependabot %} generates automatic pull requests to update your dependencies in both cases, but there are several differences.
{% data variables.product.prodname_dependabot_security_updates %}:
- Werden durch eine {% data variables.product.prodname_dependabot %}-Warnung ausgelöst
- Aktualisieren Abhängigkeiten auf die niedrigste Version, in der ein bekanntes Sicherheitsrisiko beseitigt wurde
- Werden für die Ökosysteme unterstützt, die das Abhängigkeitsdiagramm unterstützt
- Erfordert keine Konfigurationsdatei. Du kannst jedoch eine verwenden, um das Standardverhalten außer Kraft zu setzen.
- Triggered by a {% data variables.product.prodname_dependabot %} alert
- Update dependencies to the minimum version that resolves a known vulnerability
- Supported for ecosystems the dependency graph supports
- Does not require a configuration file, but you can use one to override the default behavior
{% data variables.product.prodname_dependabot_version_updates %}:
- Erfordert eine Konfigurationsdatei
- Werden basierend auf einem von Ihnen konfigurierten Zeitplan ausgeführt
- Aktualisieren Abhängigkeiten auf die aktuellste Version für die Konfiguration
- Werden für eine andere Gruppe von Ökosystemen unterstützt
- Requires a configuration file
- Run on a schedule you configure
- Update dependencies to the latest version that matches the configuration
- Supported for a different group of ecosystems
Weitere Informationen zu {% data variables.product.prodname_dependabot_updates %} findest du unter [Informationen zu {% data variables.product.prodname_dependabot_security_updates %}](/code-security/supply-chain-security/managing-vulnerabilities-in-your-projects-dependencies/about-dependabot-security-updates) und [Informationen zu {% data variables.product.prodname_dependabot_version_updates %}](/code-security/supply-chain-security/keeping-your-dependencies-updated-automatically/about-dependabot-version-updates).
For more information about {% data variables.product.prodname_dependabot_updates %}, see "[About {% data variables.product.prodname_dependabot_security_updates %}](/code-security/supply-chain-security/managing-vulnerabilities-in-your-projects-dependencies/about-dependabot-security-updates)" and "[About {% data variables.product.prodname_dependabot_version_updates %}](/code-security/supply-chain-security/keeping-your-dependencies-updated-automatically/about-dependabot-version-updates)."
{% endif %}
## Verfügbarkeit von Funktionen
## Feature availability
{% ifversion fpt or ghec %}
Öffentliche Repositorys:
- **Abhängigkeitsdiagramm**: standardmäßig aktiviert und kann nicht deaktiviert werden
- **Abhängigkeitsüberprüfung**: standardmäßig aktiviert und kann nicht deaktiviert werden
- **{% data variables.product.prodname_dependabot_alerts %}**: nicht standardmäßig aktiviert. {% data variables.product.prodname_dotcom %} erkennt unsichere Abhängigkeiten und zeigt Informationen im Abhängigkeitsdiagramm an, generiert aber nicht standardmäßig {% data variables.product.prodname_dependabot_alerts %}. Repositorybesitzer*innen oder Personen mit Administratorzugriff können {% data variables.product.prodname_dependabot_alerts %} aktivieren.
Zudem kannst du Dependabot-Warnungen für alle Repositorys aktivieren oder deaktivieren, die deinem Benutzerkonto oder deiner Organisation gehören. Weitere Informationen findest du unter [Verwalten von Sicherheits- und Analyseeinstellungen für dein Benutzerkonto](/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account) oder [Verwalten von Sicherheits- und Analyseeinstellungen für deine Organisation](/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization).
Public repositories:
- **Dependency graph**—enabled by default and cannot be disabled.
- **Dependency review**—enabled by default and cannot be disabled.
- **{% data variables.product.prodname_dependabot_alerts %}**—not enabled by default. {% data variables.product.prodname_dotcom %} detects insecure dependencies and displays information in the dependency graph, but does not generate {% data variables.product.prodname_dependabot_alerts %} by default. Repository owners or people with admin access can enable {% data variables.product.prodname_dependabot_alerts %}.
You can also enable or disable Dependabot alerts for all repositories owned by your user account or organization. For more information, see "[Managing security and analysis settings for your user account](/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account)" or "[Managing security and analysis settings for your organization](/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization)."
Private Repositorys:
- **Abhängigkeitsdiagramm**: standardmäßig nicht aktiviert. Das Feature kann von Repositoryadministrator*innen aktiviert werden. Weitere Informationen findest du unter [Untersuchen der Abhängigkeiten eines Repositorys](/code-security/supply-chain-security/understanding-your-software-supply-chain/exploring-the-dependencies-of-a-repository#enabling-and-disabling-the-dependency-graph-for-a-private-repository).
Private repositories:
- **Dependency graph**—not enabled by default. The feature can be enabled by repositoryadministrators. For more information, see "[Exploring the dependencies of a repository](/code-security/supply-chain-security/understanding-your-software-supply-chain/exploring-the-dependencies-of-a-repository#enabling-and-disabling-the-dependency-graph-for-a-private-repository)."
{% ifversion fpt %}
- **Abhängigkeitsüberprüfung**: verfügbar in privaten Repositorys, die Organisationen gehören, die {% data variables.product.prodname_ghe_cloud %} verwenden und über eine Lizenz für {% data variables.product.prodname_GH_advanced_security %} verfügen. Weitere Informationen findest du unter [Dokumentation zu {% data variables.product.prodname_ghe_cloud %}](/enterprise-cloud@latest/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review).
- **Dependency review**—available in private repositories owned by organizations that use {% data variables.product.prodname_ghe_cloud %} and have a license for {% data variables.product.prodname_GH_advanced_security %}. For more information, see the [{% data variables.product.prodname_ghe_cloud %} documentation](/enterprise-cloud@latest/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review).
{% elsif ghec %}
- **Abhängigkeitsüberprüfung**: verfügbar in privaten Repositorys, die Organisationen gehören, vorausgesetzt, du verfügst über eine Lizenz für {% data variables.product.prodname_GH_advanced_security %} und das Abhängigkeitsdiagramm ist aktiviert. Weitere Informationen findest du unter [Informationen zu {% data variables.product.prodname_GH_advanced_security %}](/get-started/learning-about-github/about-github-advanced-security) und [Untersuchen der Abhängigkeiten eines Repositorys](/code-security/supply-chain-security/understanding-your-software-supply-chain/exploring-the-dependencies-of-a-repository#enabling-and-disabling-the-dependency-graph-for-a-private-repository). {% endif %}
- **{% data variables.product.prodname_dependabot_alerts %}**: nicht standardmäßig aktiviert. Besitzer*innen privater Repositorys oder Personen mit Administratorzugriff können {% data variables.product.prodname_dependabot_alerts %} aktivieren, indem sie das Abhängigkeitsdiagramm und {% data variables.product.prodname_dependabot_alerts %} für ihre Repositorys aktivieren.
Zudem kannst du Dependabot-Warnungen für alle Repositorys aktivieren oder deaktivieren, die deinem Benutzerkonto oder deiner Organisation gehören. Weitere Informationen findest du unter [Verwalten von Sicherheits- und Analyseeinstellungen für dein Benutzerkonto](/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account) oder [Verwalten von Sicherheits- und Analyseeinstellungen für deine Organisation](/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization).
- **Dependency review**—available in private repositories owned by organizations provided you have a license for {% data variables.product.prodname_GH_advanced_security %} and the dependency graph enabled. For more information, see "[About {% data variables.product.prodname_GH_advanced_security %}](/get-started/learning-about-github/about-github-advanced-security)" and "[Exploring the dependencies of a repository](/code-security/supply-chain-security/understanding-your-software-supply-chain/exploring-the-dependencies-of-a-repository#enabling-and-disabling-the-dependency-graph-for-a-private-repository)."
{% endif %}
- **{% data variables.product.prodname_dependabot_alerts %}**—not enabled by default. Owners of private repositories, or people with admin access, can enable {% data variables.product.prodname_dependabot_alerts %} by enabling the dependency graph and {% data variables.product.prodname_dependabot_alerts %} for their repositories.
You can also enable or disable Dependabot alerts for all repositories owned by your user account or organization. For more information, see "[Managing security and analysis settings for your user account](/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account)" or "[Managing security and analysis settings for your organization](/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization)."
Alle Repositorytypen:
- **{% data variables.product.prodname_dependabot_security_updates %}**: nicht standardmäßig aktiviert. Du kannst {% data variables.product.prodname_dependabot_security_updates %} für jedes Repository aktivieren, das {% data variables.product.prodname_dependabot_alerts %} und das Abhängigkeitsdiagramm verwendet. Weitere Informationen zum Aktivieren von Sicherheitsupdates findest du unter [Konfigurieren von {% data variables.product.prodname_dependabot_security_updates %}](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates).
- **{% data variables.product.prodname_dependabot_version_updates %}**: nicht standardmäßig aktiviert. Personen mit Schreibberechtigungen für ein Repository können {% data variables.product.prodname_dependabot_version_updates %} aktivieren. Weitere Informationen zum Aktivieren von Versionsupdates findest du unter [Konfigurieren von {% data variables.product.prodname_dependabot_version_updates %}](/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates).
Any repositorytype:
- **{% data variables.product.prodname_dependabot_security_updates %}**—not enabled by default. You can enable {% data variables.product.prodname_dependabot_security_updates %} for any repository that uses {% data variables.product.prodname_dependabot_alerts %} and the dependency graph. For information about enabling security updates, see "[Configuring {% data variables.product.prodname_dependabot_security_updates %}](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates)."
- **{% data variables.product.prodname_dependabot_version_updates %}**—not enabled by default. People with write permissions to a repository can enable {% data variables.product.prodname_dependabot_version_updates %}. For information about enabling versionupdates, see "[Configuring {% data variables.product.prodname_dependabot_version_updates %}](/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates)."
{% endif %}
{% ifversion ghes or ghae %}
- **Abhängigkeitsdiagramm**und **{% data variables.product.prodname_dependabot_alerts %}**: nicht standardmäßig aktiviert. Beide Features werden auf Unternehmensebene vom Unternehmensinhaber bzw. von der Unternehmensinhaberin konfiguriert. Weitere Informationen findest du unter {% ifversion ghes %}[Aktivierendes Abhängigkeitsdiagramms für dein Unternehmen](/admin/code-security/managing-supply-chain-security-for-your-enterprise/enabling-the-dependency-graph-for-your-enterprise) und {% endif %}[Aktivieren von {% data variables.product.prodname_dependabot %} für dein Unternehmen](/admin/configuration/configuring-github-connect/enabling-dependabot-for-your-enterprise).
- **Abhängigkeitsüberprüfung**: Verfügbar, wenn das Abhängigkeitsdiagramm für {% data variables.location.product_location %} und {% data variables.product.prodname_advanced_security %} für die Organisation oder das Repository aktiviert sind. Weitere Informationen findest du unter [Informationen zu {% data variables.product.prodname_GH_advanced_security %}](/get-started/learning-about-github/about-github-advanced-security).
{% endif %} {% ifversion ghes %}
- **{% data variables.product.prodname_dependabot_security_updates %}**: nicht standardmäßig aktiviert. Du kannst {% data variables.product.prodname_dependabot_security_updates %} für jedes Repository aktivieren, das {% data variables.product.prodname_dependabot_alerts %} und das Abhängigkeitsdiagramm verwendet. Weitere Informationen zum Aktivieren von Sicherheitsupdates findest du unter [Konfigurieren von {% data variables.product.prodname_dependabot_security_updates %}](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates).
- **{% data variables.product.prodname_dependabot_version_updates %}**: nicht standardmäßig aktiviert. Personen mit Schreibberechtigungen für ein Repository können {% data variables.product.prodname_dependabot_version_updates %} aktivieren. Weitere Informationen zum Aktivieren von Versionsupdates findest du unter [Konfigurieren von {% data variables.product.prodname_dependabot_version_updates %}](/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates).
- **Dependency graph**and **{% data variables.product.prodname_dependabot_alerts %}**—not enabled by default. Both features are configured at an enterprise level by the enterprise owner. For more information, see {% ifversion ghes %}"[Enabling the dependency graph for your enterprise](/admin/code-security/managing-supply-chain-security-for-your-enterprise/enabling-the-dependency-graph-for-your-enterprise)" and {% endif %}"[Enabling {% data variables.product.prodname_dependabot %} for your enterprise](/admin/configuration/configuring-github-connect/enabling-dependabot-for-your-enterprise)."
- **Dependency review**—available when dependency graph is enabled for {% data variables.location.product_location %} and {% data variables.product.prodname_advanced_security %} is enabled for the organization or repository. For more information, see "[About {% data variables.product.prodname_GH_advanced_security %}](/get-started/learning-about-github/about-github-advanced-security)."
{% endif %}
{% ifversion ghes %}
- **{% data variables.product.prodname_dependabot_security_updates %}**—not enabled by default. You can enable {% data variables.product.prodname_dependabot_security_updates %} for any repository that uses {% data variables.product.prodname_dependabot_alerts %} and the dependency graph. For information about enabling security updates, see "[Configuring {% data variables.product.prodname_dependabot_security_updates %}](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates)."
- **{% data variables.product.prodname_dependabot_version_updates %}**—not enabled by default. People with write permissions to a repository can enable {% data variables.product.prodname_dependabot_version_updates %}. For information about enabling version updates, see "[Configuring {% data variables.product.prodname_dependabot_version_updates %}](/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates)."
@@ -46,15 +46,15 @@ To set up a `www` or custom subdomain, such as `www.example.com` or `blog.exampl
{% data reusables.repositories.sidebar-settings %}
{% data reusables.pages.sidebar-pages %}
4. Under "Custom domain", type your custom domain, then click **Save**. If you are publishing your site from a branch, this will create a commit that adds a `CNAME` file to the root of your source branch. If you are publishing your site with a custom {% data variables.product.prodname_actions %} workflow , no `CNAME` file is created. For more information about your publishing source, see "[Configuring a publishing source for your GitHub Pages site](/pages/getting-started-with-github-pages/configuring-a-publishing-source-for-your-github-pages-site)."
**Note:** If your custom domain is an internationalized domain name, you must enter the Punycode encoded version.
For more information on Punycodes, see [Internationalized domain name](https://en.wikipedia.org/wiki/Internationalized_domain_name).
{% endnote %}
{% note %}
**Note:** If your custom domain is an internationalized domain name, you must enter the Punycode encoded version.
For more information on Punycodes, see [Internationalized domain name](https://en.wikipedia.org/wiki/Internationalized_domain_name).
{% endnote %}
5. Navigate to your DNS provider and create a `CNAME` record that points your subdomain to the default domain for your site. For example, if you want to use the subdomain `www.example.com` for your user site, create a `CNAME` record that points `www.example.com` to `<user>.github.io`. If you want to use the subdomain `another.example.com` for your organization site, create a `CNAME` record that points `another.example.com` to `<organization>.github.io`. The `CNAME` record should always point to `<user>.github.io` or `<organization>.github.io`, excluding the repository name. {% data reusables.pages.contact-dns-provider %} {% data reusables.pages.default-domain-information %}
## Informationen zur API für Pull Request-Review-Kommentare
Pull Request-Review-Kommentare sind Kommentare zu einem Teil des vereinheitlichten Formats, der während einer Pull Request-Review vorgenommen wurde. Commit- und Issue-Kommentare unterscheiden sich von Pull Request-Review-Kommentaren. Du wendest Commit-Kommentare direkt auf einen Commit an und du wendest Issue-Kommentare an, ohne auf einen Teil des vereinheitlichten Formats zu verweisen. Weitere Informationen findest du unter [Erstellen eines Commit-Kommentars](/rest/reference/commits#create-a-commit-comment) und [Erstellen eines Issue-Kommentars](/rest/reference/issues#create-an-issue-comment).
## About the Pull request review comments API
### Benutzerdefinierte Medientypen für Pull Request-Review-Kommentare
Pull request review comments are comments on a portion of the unified diff made during a pull request review. Commit comments and issue comments are different from pull request review comments. You apply commit comments directly to a commit and you apply issue comments without referencing a portion of the unified diff. For more information, see "[Create a commit comment](/rest/reference/commits#create-a-commit-comment)" and "[Create an issue comment](/rest/reference/issues#create-an-issue-comment)."
Dies sind die unterstützten Medientypen für Pull Request-Review-Kommentare.
application/vnd.github.VERSION.raw+json
application/vnd.github.VERSION.text+json
application/vnd.github.VERSION.html+json
application/vnd.github.VERSION.full+json
Weitere Informationen findest du unter [Benutzerdefinierte Medientypen](/rest/overview/media-types).
{% data reusables.pull_requests.issues-media-types %}
Wenn deine Supportanfrage außerhalb des Geltungsbereichs liegt, bei dem unser Team dir helfen kann, können wir dir die nächsten Schritte empfehlen, damit du deinen Issue außerhalb von {% data variables.contact.github_support %} beheben kannst. Deine Supportanfrage liegt möglicherweise nicht im Zuständigkeitsbereich von {% data variables.contact.github_support %}, wenn es in erster Linie um die folgenden Themen geht:
- Integrationen von Drittanbietern, z. B. Jira{% ifversion ghes %}
- Hardwareeinrichtung{% endif %}
- CI/CD, z.B. Jenkins
- Schreiben von Skripts
- Konfiguration externer Authentifizierungssysteme, z.B. SAML-Identitätsanbieter
- Open-Source-Projekte{% ifversion ghes %}
- LGTM-Clusterdesign{% endif %}
- Neue Abfragen für {% data variables.product.prodname_codeql %} schreiben oder debuggen
If your support request is outside of the scope of what our team can help you with, we may recommend next steps to resolve your issue outside of {% data variables.contact.github_support %}. Your support request is possibly out of {% data variables.contact.github_support %}'s scope if the request is primarily about:
- Third party integrations, such as Jira{% ifversion ghes %}
- Hardware setup{% endif %}
- CI/CD, such as Jenkins
- Writing scripts
- Configuration of external authentication systems, such as SAML identity providers
- Open source projects
- Writing or debugging new queries for {% data variables.product.prodname_codeql %}
Wenn du unsicher bist, ob der Issue außerhalb des Bereiches liegt, öffne ein Ticket, und wir helfen Dir gerne dabei zu bestimmen, wie du am besten fortfährst.
If you're uncertain if the issue is out of scope, open a ticket and we're happy to help you determine the best way to proceed.
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Octomerger Bot