GitHub systém pro finanční podporu otevřeným projektům. Nová služba poskytuje novou formu zapojení do rozvoje projektů — pokud uživatel nemá možnost pomoci s vývojem, může se připojit k zajímavým projektům jako sponzor a pomáhat prostřednictvím financování konkrétních vývojářů, správců, designérů, autorů dokumentace, testerů a dalších účastníků zapojených do projektu.
Pomocí sponzoringového systému může jakýkoli uživatel GitHub měsíčně posílat pevné částky vývojářům otevřeného kódu, ve službě jako účastníci připravení přijímat finanční podporu (během testování služby je počet účastníků omezený). Sponzorovaní účastníci mohou definovat úrovně podpory a s nimi spojené výhody pro sponzory, jako je priorita při opravě chyb. Zvažuje se možnost organizace financování nejen jednotlivých účastníků, ale i skupin vývojářů zapojených do práce na projektu.
Na rozdíl od jiných platforem pro společné financování GitHub si neúčtuje určitý procentní podíl za zprostředkování a první rok pokryje náklady na zpracování plateb. V budoucnu nelze vyloučit zavedení poplatku za zpracování plateb. Pro správu služby byl vytvořen speciální fond GitHub Sponsors Matching Fund, který se bude zabývat distribucí finančních toků.
Kromě sponzoringu GitHub také novou službu pro zabezpečení projektů, postavenou na technologiích získaných v důsledku společnosti Dependabot. Dependabot je nyní zabudován do GitHubu a je dostupný zdarma.
Služba umožňuje sledovat zranitelnosti v závislostech, zasílat vlastníkům repozitářů upozornění na existující problémy v závislostech a automaticky otevírat pull requesty pro opravu zjištěných zranitelností.
Upozornění jsou zobrazována na záložce „Bezpečnost“ a obsahují podrobné informace o zranitelnosti a souborech projektu, které problém zasahují. Opravy se generují pomocí aktualizace v seznamu závislostí minimální verze na verzi, ve které je zranitelnost odstraněna. Informace o zranitelnostech jsou získávány z databází a , a také na základě oznámení od správců projektů a automatizovaného analyzátoru commitů na GitHubu s následným potvrzením v systému ručního posuzování.
Pro správce projektů uživatelský rozhraní pro publikaci a zveřejňování zpráv o zranitelnostech (security advisories), stejně jako pro úzkou diskusi o otázkách souvisejících s opravou zranitelností.
Kromě toho pro ochranu před důvěrných dat do veřejně dostupných repozitářů byl uveden do provozu tokenů a přístupových klíčů. Při commitu skener kontroluje standardní formáty klíčů a tokenech přístupu k API Alibaba Cloud, Amazon Web Services (AWS), Azure, GitHub, Google Cloud, Mailgun, Slack, Stripe a Twilio. V případě zjištění tokenu je poskytovateli služeb zaslán požadavek na potvrzení úniku a odstavení kompromitovaných tokenů.
Zdroj: opennet.ru
