GitHub объявил о введении нового механизма перерыва в работе Dependabot, который будет ожидать не менее трех дней после публикации релиза, прежде чем открывать запрос на слияние. Эта мера направлена на снижение риска принятия вредоносных пакетов в проекты разработчиков. Как уточнила компания, пользователи могут настроить параметры перерыва в файле dependabot.yml, что позволяет адаптировать его под особенности конкретного проекта.

В условиях растущей угрозы со стороны вредоносного ПО и атак на цепочку поставок, GitHub стремится повысить безопасность своих пользователей. Новый механизм перерыва позволит разработчикам более тщательно оценивать пакеты, которые они собираются интегрировать в свои приложения. В результате, у них будет больше времени для анализа изменений и проверки на наличие уязвимостей.

Кроме того, GitHub подчеркнул, что пользователи могут выбрать различные параметры перерыва, что дает возможность гибко настраивать систему под свои нужды. Это решение стало ответом на отзывы сообщества о необходимости более строгих мер безопасности при работе с зависимостями.

В последние годы случаи внедрения вредоносного кода в популярные пакеты стали более частыми, что подчеркивает важность таких инициатив. GitHub продолжает развивать свои инструменты для защиты разработчиков и их проектов от потенциальных угроз.

Внедрение трехдневного перерыва уже стало доступно, и GitHub надеется, что это новшество поможет улучшить безопасность экосистемы программного обеспечения, а также повысит доверие пользователей к платформе.

Источник новости:
The Hacker News

Читать полностью