# Ecossistemas e repositórios compatíveis com o Dependabot Dependabot dá suporte a uma variedade de ecossistemas e repositórios Este artigo fornece informações de referência sobre os ecossistemas de pacotes e os tipos de repositório aos quais Dependabot oferece suporte. Dependabot é uma GitHub ferramenta que ajuda a manter suas dependências seguras e atualizadas. Ele detecta automaticamente dependências vulneráveis ou desatualizadas em seus repositórios e cria solicitações de pull para atualizá-las, facilitando a manutenção da segurança da cadeia de fornecimento de software. Para saber mais, confira [Guia de início rápido do Dependabot](/pt/code-security/tutorials/secure-your-dependencies/dependabot-quickstart). ## Ecossistemas com suporte mantidos por GitHub É possível configurar atualizações para repositórios que contenham um manifesto de dependência ou arquivo de bloqueio para um dos gerentes de pacotes suportados. Para alguns gerenciadores de pacotes, você também pode configurar o armazenamento para dependências. Para obter mais informações, confira [`vendor`](/pt/code-security/reference/supply-chain-security/dependabot-options-reference#vendor--). Dependabot também dá suporte a dependências em registros privados. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries). > \[!NOTE] > > * Ao executar atualizações de segurança ou versão, alguns ecossistemas devem ser capazes de resolver todas as dependências de sua fonte para verificar se as atualizações foram bem-sucedidas. Se os arquivos de manifesto ou de bloqueio contiverem dependências privadas, Dependabot deverá ser capaz de acessar o local em que essas dependências estão hospedadas. Os proprietários da organização podem conceder acesso Dependabot a repositórios privados contendo dependências para um projeto na mesma organização. Para saber mais, confira [Gerenciando as configurações de segurança e de análise da sua organização](/pt/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization#allowing-dependabot-to-access-private-dependencies). Você pode configurar o acesso a registros privados no arquivo de configuração `dependabot.yml` de um repositório. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries). > * Dependabot não dá suporte a dependências privadas GitHub para todos os gerenciadores de pacotes. Veja os detalhes na tabela abaixo. Se o repositório já usar uma integração para o gerenciamento de dependências, você precisará desabilitar isso antes de habilitar Dependabot. Para obter mais informações, consulte [Sobre integrações de GitHub](/pt/integrations/concepts/about-integrations). | Gerenciador de Pacotes | Valor YAML | Versões com suporte | Atualizações de versão | Atualizações de segurança | Repositórios privados | Registros privados | Delegação | | ---------------------- | ---------- | ------------------- | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | | | | | | | | | | | Bazel | `bazel` | v7, v8, v9 | | | | | | | | | | | | | | | [Bun](#bun) | `bun` | >=v1.1.39 | | | | | | Bundler | `bundler` | v2 | | | | | | [Cargo](#cargo) | `cargo` | v1 | | | | | | Composer | `composer` | v2 | | | | | | \| | [Conda](#conda) | `conda` | Não aplicável | | | | | | \| | \| | [Deno](#deno) | `deno` | >=v2 | | | | | | \| | [Contêineres de desenvolvimento](#dev-containers) | `devcontainers` | Não aplicável | | | | | | [Docker](#docker) | `docker` | v1 | | | | | Não aplicável | [Docker Compose](#docker-compose) | `docker-compose` | v2, v3 | | | | | Não aplicável | SDK .NET | `dotnet-sdk` | >=.NET Core 3.1 | | | Não aplicável | Não aplicável | Não aplicável | [Gráficos de Helm](#helm-charts) | `helm` | V3 | | | | | Não aplicável | Hex | `mix` | v1 | | | | | | \| | [Julia](#julia) | `julia` | >=v1.10 | | | | | | \| | elm-package | `elm` | v0.19 | | | | | | Submódulo git | `gitsubmodule` | Não aplicável | | | | | Não aplicável | [GitHub Actions](#github-actions) | `github-actions` | Não aplicável | | | | | Não aplicável | Módulos Go | `gomod` | v1 | | | | | | [Gradle](#gradle) | `gradle` | Não aplicável | | | | | | [Maven](#maven) | `maven` | Não aplicável | | | | | | \| | [Nix](#nix) | `nix` | Não aplicável | | | | Não aplicável | Não aplicável | \| | npm | `npm` | v7, v8, v9, v10, v11 | | | | | | [NuGet](#nuget-cli) | `nuget` | <=6.12.0 | | | | | | \| | [OpenTofu](#opentofu) | `opentofu` | Não aplicável | | | | | Não aplicável | \| | [pip](#pip-and-pip-compile) | `pip` | 24,2 | | | | | | pipenv | `pip` | 2024.4.1 | | | | | | [pip-compile](#pip-and-pip-compile) | `pip` | 7.5.3 | | | | | | \| pnpm | `npm` | v7, v8, v9, v10 | | | | | | [Poesia](#poetry) | `pip` | v2 | | | | | | \| | [pre-commit](#pre-commit) | `pre-commit` | Não aplicável | | | | | | \| | [pub](#pub) | `pub` | v2 | | | | | | \| | [Cadeia de ferramentas do Rust](#rust-toolchain) | `rust-toolchain` | Não aplicável | | | | Não aplicável | Não aplicável | \| | \| | [sbt](#sbt) | `sbt` | Não aplicável | | | | | | \| | [Swift](#swift) | `swift` | V5 | | | | (somente Git) | | [Terraform](#terraform) | `terraform` | >= 0,13, <= 1,13.x | | | | | Não aplicável | \| | uv | `uv` | v0 | | | | | Não aplicável | \| | \| | [vcpkg](#vcpkg) | `vcpkg` | Não aplicável | | | | | Não aplicável | \| | [yarn](#yarn) | `npm` | v1, v2, v3, v4 | | | | | | > \[!TIP] > Para Gerenciadores de Pacotes como `pipenv` e `poetry`, você precisa usar o valor YAML `pip`. Por exemplo, se você usar `poetry` para gerenciar suas dependências de Python e quiser Dependabot para monitorar o arquivo de manifesto de dependências para suas novas versões, use `package-ecosystem: "pip"` no arquivo `dependabot.yml`. Para obter mais informações sobre o suporte ao ecossistema Dependabot security updates, consulte também [Ecossistemas de pacotes com suporte a gráficos de dependência](/pt/code-security/supply-chain-security/understanding-your-software-supply-chain/dependency-graph-supported-package-ecosystems). ### Bun Dependabot dá suporte ao arquivo atual baseado em `bun.lock` texto padrão, mas não ao arquivo binário herdado `bun.lockb` . Há suporte para o arquivo `bun.lock` versão 1.1.39 e superior. Para saber mais, confira [Lockfile](https://bun.sh/docs/install/lockfile) na documentação do Bun. ### Cargo O suporte para registro privado inclui registros de cargo, para que você possa usar Dependabot e manter suas dependências do Rust atualizadas. Para saber mais, confira [Diretrizes para a configuração de registros privados para o Dependabot](/pt/code-security/dependabot/working-with-dependabot/guidance-for-the-configuration-of-private-registries-for-dependabot#cargo). ### Conda Dependabot O suporte para Conda **não inclui registros privados, fornecedores ou atualizações de arquivos de bloqueio**. ### Deno Dependabot pode atualizar dependências nos arquivos de configuração `deno.json` e `deno.jsonc`. Os projetos de deno podem usar dependências do [JSR](https://jsr.io/) (o Registro JavaScript) ou do registro npm. Dependabot O suporte para Deno **não inclui registros privados ou fornecedores**. ### Contêineres de desenvolvimento Você pode usar `devcontainers` como um `package-ecosystem` em seu arquivo `dependabot.yml` para atualizar Recursos em seus arquivos de configuração `devcontainer.json`. Para obter mais informações sobre esse suporte e para exemplos de arquivo de configuração, consulte [Disponibilidade Geral da Integração Dependabot](https://containers.dev/guide/dependabot) na documentação de contêineres de desenvolvimento. Contêineres de desenvolvimento são usados em várias ferramentas e serviços, incluindo Codespaces. Para obter mais informações sobre recursos e os serviços com suporte, consulte [Recursos](https://containers.dev/implementors/features/) e [Ferramentas e serviços de suporte](https://containers.dev/supporting) na documentação de contêineres de desenvolvimento, respectivamente. Esse atualizador garante que os recursos sejam fixados à versão mais recente `major` no arquivo `devcontainer.json` associado. Se um contêiner de desenvolvimento tiver um arquivo de bloqueio, esse arquivo também será atualizado. Para obter mais informações sobre especificações de arquivo de bloqueio, consulte [Arquivos de bloqueio](https://github.com/devcontainers/spec/blob/main/docs/specs/devcontainer-lockfile.md) no repositório `devcontainers/spec`. Os recursos em qualquer local de contêiner de desenvolvimento válido serão atualizados em uma única solicitação de pull. Para obter mais informações sobre a especificação do contêiner de desenvolvimento, consulte [Especificação](https://containers.dev/implementors/spec/#devcontainerjson) na documentação de contêineres de desenvolvimento. ### Docker Dependabot pode adicionar metadados de imagens do Docker a solicitações de pull para atualizações de versão. Os metadados incluem notas de versão, logs de mudanças e histórico de commits. Os administradores de repositório podem usar os metadados para avaliar rapidamente o risco de estabilidade da atualização de dependência. Dependabot Para buscar metadados do Docker, os mantenedores de imagens do Docker devem adicionar o `org.opencontainers.image.source` rótulo ao Dockerfile e incluir a URL do repositório de origem. Além disso, os mantenedores precisam marcar o repositório com as mesmas tags que as imagens do Docker publicadas. Para ver um exemplo, consulte o repositório [`dependabot-fixtures/docker-with-source`](https://github.com/dependabot-fixtures/docker-with-source). Para obter mais informações sobre rótulos do Docker, confira [Rótulos de imagem de extensão](https://docs.docker.com/desktop/extensions-sdk/extensions/labels/) e [BUILDX\_GIT\_LABELS](https://docs.docker.com/build/building/env-vars/#buildx_git_labels) na documentação do Docker. Dependabot pode atualizar tags de imagem do Docker em manifestos do Kubernetes. Adicione uma entrada ao elemento Docker `package-ecosystem` do arquivo `dependabot.yml` para cada diretório que contém um manifesto do Kubernetes que faz referência a tags de imagem do Docker. Os manifestos do Kubernetes podem ser arquivos YAML de implantação do Kubernetes ou gráficos do Helm. Para obter informações sobre como configurar o arquivo `dependabot.yml` para `docker`, confira "`package-ecosystem`" em [Referência de opções do Dependabot](/pt/code-security/dependabot/working-with-dependabot/dependabot-options-reference#package-ecosystem-). Dependabot dá suporte a registros do Docker públicos e privados. Para obter uma lista dos registros suportados, consulte "`docker-registry`" em [Configurando o acesso a registros privados para Dependabot](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot#docker-registry). Dependabot analisa tags de imagem do Docker para Controle de Versão Semântico ([SemVer](https://semver.org/)). Se Dependabot detectar uma etiqueta com um pré-lançamento, ele sugerirá apenas uma atualização para a versão mais recente com um pré-lançamento correspondente e não sugerirá uma versão mais recente que use um rótulo de pré-lançamento diferente. Para obter mais informações, consulte o arquivo `dependabot-docker`[README.md](https://github.com/dependabot/dependabot-core/blob/main/docker/README.md) no repositório `dependabot/dependabot-core`. ### Docker Compose Dependabot dá suporte ao Docker Compose de maneira semelhante ao Docker. Para saber mais, veja [Docker](#docker). ### GitHub Actions Dependabot dá suporte a atualizações de versão para GitHub Actions com as seguintes limitações. * Dependabot suporta apenas atualizações de GitHub Actions usando a sintaxe de repositório GitHub, como `actions/checkout@v6` ou `actions/checkout@` . Dependabot ignorará ações ou fluxos de trabalho reutilizáveis referenciados localmente (por exemplo, `./.github/actions/foo.yml`). * Dependabot atualiza a documentação de versão de GitHub Actions quando o comentário está na mesma linha, como `actions/checkout@ #` ou `actions/checkout@ #`. * Se o commit que você usa não estiver associado a nenhuma tag, Dependabot atualizará a GitHub Actions para o commit mais recente (que pode ser diferente da release mais recente). * Docker Hub e URLs GitHub PackagesContainer registry não têm suporte no momento. Por exemplo, não há suporte para referências a ações de contêiner do Docker usando a sintaxe `docker://`. * Dependabot dá suporte a repositórios públicos e privados para GitHub Actions. Para opções de configuração de registro privado, consulte `git` em [Configurando o acesso a registros privados para Dependabot](/pt/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#git). Para obter mais informações sobre como usar Dependabot version updates com GitHub Actions, consulte [Referência de uso seguro](/pt/actions/security-guides/using-githubs-security-features-to-secure-your-use-of-github-actions#keeping-the-actions-in-your-workflows-secure-and-up-to-date). ### Gradle Dependabot dá suporte a atualizações para os seguintes arquivos sem a necessidade de executar o Gradle: * `build.gradle`, `build.gradle.kts` (para projetos Kotlin) * `gradle/libs.versions.toml` (para projetos que utilizam um catálogo de versões Gradle padrão) * `gradle.lockfile` (para projetos que usam o bloqueio de dependência do Gradle) * Arquivos incluídos por meio da declaração `apply` que tenham `dependencies` no nome do arquivo. Observe que `apply` não dá suporte a `apply to`, recursão ou sintaxes avançadas (por exemplo, `apply` do Kotlin com `mapOf` e nomes de arquivo definidos por propriedade). Para atualizar o Wrapper do Gradle, Dependabot execute o Gradle e atualize: * `gradle/wrapper/gradle-wrapper.properties` * `gradlew` * `gradlew.bat` * `gradle/wrapper/gradle-wrapper.jar` Dependabot usa informações do arquivo `pom.xml` de dependências para adicionar links às informações de versão em solicitações de pull de atualização. Se as informações forem omitidas do `pom.xml` arquivo, elas não poderão ser incluídas em Dependabot solicitações de pull, consulte [Metadados do pacote Java para atualizações do Dependabot](/pt/code-security/dependabot/ecosystems-supported-by-dependabot/optimizing-java-packages-dependabot). Para Dependabot security updates, o suporte ao Gradle é limitado a uploads manuais dos dados do grafo de dependência usando o API de envio de dependência. Para obter mais informações sobre API de envio de dependência, confira [Usar a API de envio de dependências](/pt/code-security/supply-chain-security/understanding-your-software-supply-chain/using-the-dependency-submission-api). > \[!NOTE] > > * Quando você carrega as dependências do Gradle no grafo de dependências usando o API de envio de dependência, todas as dependências do projeto são carregadas, inclusive as dependências transitivas que não são explicitamente mencionadas em arquivos de dependência. Quando um alerta é detectado em uma dependência transitiva, Dependabot não é capaz de encontrar a dependência vulnerável no repositório e, portanto, não criará uma atualização de segurança para esse alerta. > * Dependabot version updates, no entanto, criará solicitações de pull quando a dependência pai for declarada explicitamente como uma dependência direta no arquivo de manifesto do projeto. ### Gráficos Helm Dependabot dá suporte ao uso de um nome de usuário e senha para registros. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot#helm-registry). O `helm-registry` tipo dá suporte apenas à Autenticação Básica HTTP e não dá suporte a registros compatíveis com OCI. Se você precisar acessar um registro compatível com OCI para gráficos do Helm, configure um `docker-registry` em vez disso. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot#docker-registry). Ao configurar Dependabot para gráficos do Helm, ele também atualizará automaticamente as imagens do Docker referenciadas nesses gráficos, garantindo que as versões do gráfico e suas imagens contidas permaneçam atualizadas. ### Maven Dependabot não executa o Maven, mas dá suporte a atualizações em `pom.xml` arquivos. Dependabot usa informações do arquivo `pom.xml` de dependências para adicionar links às informações de versão em solicitações de pull de atualização. Se as informações forem omitidas do `pom.xml` arquivo, elas não poderão ser incluídas em Dependabot solicitações de pull, consulte [Metadados do pacote Java para atualizações do Dependabot](/pt/code-security/dependabot/ecosystems-supported-by-dependabot/optimizing-java-packages-dependabot). ### Nix Dependabot monitora seu arquivo `flake.lock` e abre solicitações de pull quando confirmações mais recentes estão disponíveis upstream para suas entradas de floco. Há suporte para entradas GitHub, GitLab, SourceHut e Git simples. Não há suporte para atualizar refs fixados dentro de `flake.nix` (por exemplo, alterando `github:cachix/devenv/v0.5` para uma tag mais recente). Dependabot atualmente, não dá suporte a repositórios privados para o `nix` ecossistema. ### CLI do NuGet Dependabot não executa a CLI do NuGet, mas dá suporte à maioria dos recursos até a versão 6.8.0. ### pip e pip-compile Dependabot dá suporte a atualizações para qualquer `.txt` arquivo. Além disso, Dependabot dá suporte a atualizações nos `pyproject.toml` arquivos se eles seguirem o padrão PEP 621. ### poetry Dependabot dá suporte à Poesia v2. ### pre-commit Dependabot pode atualizar revisões de hooks nos arquivos `.pre-commit-config.yaml`. Quando um gancho fixa um commit SHA específico, Dependabot resolve a tag correspondente mais recente e atualiza o valor `rev` adequadamente. Você pode usar um `# frozen:` comentário após o `rev` valor para fixar um gancho em uma versão específica ou prefixo de versão. Dependabot usa este comentário para determinar se é necessária uma atualização e qual tag resolver. | Scenario | Comportamento | | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | | `rev: # frozen: 7.3.0` e 7.3.0 é a versão mais recente | Nenhuma atualização. A dependência já está atual. | | `rev: # frozen: 7.3.0` e 8.0.0 foi lançado | Atualizado para o SHA da marcação `8.0.0`. O comentário é atualizado para `# frozen: 8.0.0`. | | `rev: # frozen: v1` e `v1.43.5` são a versão mais `v1.x` recente | Atualizado para o SHA da marcação `v1.43.5`. O comentário é atualizado para `# frozen: v1.43.5`. | | `rev: ` sem `# frozen:` comentários | Atualizado para o HEAD SHA do branch padrão. | Além de atualizar revisões de gancho, Dependabot pode atualizar `additional_dependencies` para ganchos que utilizam as seguintes linguagens: Python, Node.js, Go, Rust, Ruby e Dart. O suporte ao Registro Privado usa registros git. Você pode configurar o acesso para repositórios git privados especificando um registro git em seu arquivo `dependabot.yml`. Para saber mais, confira [Configurando o acesso a registros privados para Dependabot](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot#git). > \[!NOTE] > Não há suporte para registros privados para `additional_dependencies`. ### Cadeia de ferramentas do Rust Dependabot dá suporte a atualizações automáticas para versões de ferramentas do Rust definidas em arquivos `rust-toolchain.toml` e `rust-toolchain`. Os padrões Dependabot de atualização com suporte podem atualizar: * Cadeias de ferramentas com controle de versão, como `channel = "1.xx.yy"` e `channel = "1.xx"`. * Cadeias de ferramentas datadas, como `channel = "nightly-YYYY-MM-DD"` e `channel = "beta-YYYY-MM-DD"`. ### sbt Dependabot dá suporte a atualizações para arquivos de dependência do sbt. O sbt resolve os artefatos de repositórios Maven e usa a mesma ordenação de versões que o Maven. Há suporte para os seguintes arquivos de manifesto: * `build.sbt` (raiz): obtido como um arquivo obrigatório. * `project/plugins.sbt`: recuperado, se houver. * `project/build.properties`: recuperado, se houver. * `project/*.scala`: todos os `.scala` arquivos no `project/` diretório. * `{subdir}/build.sbt`: verifica subdiretórios de nível raiz (excluindo `project/`, `target/`, , `.git`). `.github` ### Swift O suporte de registro particular se aplica somente a registros do Git. Não há suporte para registros do Swift. Não há suporte para manifestos não declarativos. Para obter mais informações sobre manifestos não declarativos, confira [Editando manifestos não declarativos](https://github.com/apple/swift-evolution/blob/7003da1439ad60896ec14657dfce829f04b0632c/proposals/0301-package-editing-commands.md#editing-non-declarative-manifests) na documentação do Swift Evolution. ### Terraform O suporte Terraform inclui: * Módulos hospedados no registro Terraform ou em um repositório Git acessível publicamente. * Provedores Terraform. * Registro Privado Terraform. Você pode configurar o acesso para repositórios git privados especificando um registro git em seu arquivo `dependabot.yml`. Para obter mais informações, consulte [`git`](/pt/code-security/dependabot/working-with-dependabot/configuring-access-to-private-registries-for-dependabot#git). ### vcpkg O suporte ao vcpkg inclui a atualização do SHA de commit `builtin-baseline` do repositório das portas do vcpkg no arquivo de manifesto `vcpkg.json`. Para obter mais informações, acesse o [`microsoft/vcpkg` repositório](https://github.com/microsoft/vcpkg) em GitHub.com e consulte [O que é o modo de manifesto?](https://learn.microsoft.com/vcpkg/concepts/manifest-mode) na documentação da Microsoft. ### yarn O Dependabot dá suporte a dependências de fornecedores da v2 em diante. ## Ecossistemas com suporte da comunidade Os ecossistemas a seguir são mantidos por seus mantenedores de comunidade de origem. GitHub integra Dependabot com esses ecossistemas, mas não os mantém diretamente. * [Julia](#julia) - Mantida pela comunidade julia * [OpenTofu](#opentofu) – Mantido pela comunidade OpenTofu * [Pub](#pub) - Mantido pela Comunidade do Dardo ### Julia Dependabot dá suporte a projetos julia que incluem arquivos `Project.toml`/`Manifest.toml`. Dependabot usa o gerenciador de pacotes da Julia para resolver e atualizar dependências. ### OpenTofu Dependabot dá suporte à atualização de módulos e provedores OpenTofu em arquivos de configuração `.tf` e `.tofu`, incluindo arquivos `terragrunt.hcl`. Se o arquivo de bloqueio `.terraform.lock.hcl` para somas de verificação do provedor estiver presente, Dependabot também o atualizará. ### Pub Dependabot não executará uma atualização para `pub` quando a versão para a qual ela tenta atualizar for ignorada, mesmo se uma versão anterior estiver disponível. Você pode usar Dependabot para manter as dependências do Dart atualizadas se você estiver usando repositórios de pub hospedados privadamente. Para obter informações sobre como permitir Dependabot o acesso a dependências privadas GitHub , consulte [Permitir Dependabot o acesso a dependências privadas](/pt/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization#allowing-dependabot-to-access-private-dependencies).