GitHub systemet for at yde finansiel støtte til åbne projekter. Den nye service tilbyder en ny måde at deltage i udviklingen af projekter på — hvis en bruger ikke har mulighed for at hjælpe med udviklingen, kan de tilslutte sig interessante projekter som sponsor og støtte gennem finansiering af specifikke udviklere, vedligeholdere, designere, dokumentationsforfattere, testere og andre involverede i projektet.
Ved hjælp af sponsorsystemet kan enhver GitHub-bruger hver måned overføre faste beløb til udviklere af åben kildekode, i servicen som deltagere, der er parate til at modtage finansiel støtte (i testsituationen er antallet af deltagere begrænset). De sponsorerede deltagere kan definere niveauer af støtte og tilknyttede privilegier for sponsorer, såsom fortrinsbehandling ved fejlretning. Der overvejes muligheden for at organisere finansiering ikke kun for individuelle deltagere, men også for grupper af udviklere, der arbejder på projektet.
I modsætning til andre platforme for crowdfunding opkræver GitHub ikke en bestemt procentdel for formidlingen, og det første år vil dække omkostningerne ved behandling af betalinger. På sigt kan der blive indført et gebyr for behandling af betalinger. For at støtte servicen er der oprettet en speciel fond, GitHub Sponsors Matching Fund, som vil håndtere fordelingen af finansielle midler.
Udover sponsorskab tilbyder GitHub også en ny service til at sikre projekters sikkerhed, bygget på teknologier, der er erhvervet gennem af selskabet Dependabot. Dependabot er nu integreret i GitHub og er tilgængelig gratis.
Servicen gør det muligt at overvåge sårbarheder i afhængigheder, sende advarsler til repositoryejere om problemer med afhængigheder og automatisk åbne pull-anmodninger for at rette op på identificerede sårbarheder.
Advarsler vises i fanen «Sikkerhed» og indeholder omfattende oplysninger om sårbarheder og projektfiler, som problemet berører. Rettelser genereres via opdateringer i afhængighedslisten fra minimumsversionen til den version, hvor sårbarheden er rettet. Oplysninger om sårbarheder udtrækkes fra databaser og , samt baseret på meddelelser fra projektets vedligeholdere og automatisk analyset af commits på GitHub med efterfølgende bekræftelse i systemet for manuel gennemgang.
For projektvedligeholdere et interface til offentliggørelse og placering af sikkerhedsrapporter (security advisories), samt til privat diskussion af spørgsmål relateret til udbedring af sårbarheder.
Derudover er der indført foranstaltninger for at beskytte mod fortrolige data til offentligt tilgængelige registre. af tokens og adgangsnøgler. Under commit scanneren kontrollerer typiske formater af nøgler og tokens for API-adgang til Alibaba Cloud, Amazon Web Services (AWS), Azure, GitHub, Google Cloud, Mailgun, Slack, Stripe og Twilio. Hvis et token identificeres, sendes der en anmodning til tjenesteudbyderen for at bekræfte lækagen og tilbagekalde kompromitterede tokens.
Kilde: opennet.ru
