GitHub a rendszert nyújtására nyílt projektek számára. Az új szolgáltatás új formát kínál a projektek fejlesztésének támogatására — ha a felhasználónak nincs lehetősége részt venni a fejlesztésben, akkor szponzorként csatlakozhat az érdekes projektekhez, és konkrét fejlesztők, karbantartók, dizájnerek, dokumentációs szerzők, tesztelők és más résztvevők finanszírozásával segítheti őket.
A támogatási rendszer segítségével bármely GitHub-felhasználó havi fix összegeket adhat át a nyílt forráskódú fejlesztőknek, a szolgáltatásban, mint résztvevők, akik készen állnak pénzügyi támogatásra (a szolgáltatás tesztelése alatt a résztvevők száma korlátozott). A támogatott résztvevők meghatározhatják a támogatás szintjeit és a szponzorokkal járó előnyöket, például a hibák soron kívüli javítását. Fontolóra veszik, hogy nemcsak egyéni résztvevőket, hanem a projekten dolgozó fejlesztői csoportokat is támogathassanak.
A GitHub más közösségi finanszírozási platformjaitól eltérően nem kér el bizonyos százalékot a közvetítésért, és az első évben fedezi a tranzakciós költségeket. A későbbiekben nem zárható ki a tranzakciós költségek levonásának bevezetése. A szolgáltatás támogatására létrehoztak egy külön alapot, a GitHub Sponsors Matching Fundot, amely a pénzáramlás elosztásával foglalkozik.
A támogatáson kívül a GitHub egy új szolgáltatást is nyújt a projektek biztonságának érdekében, amely a Dependabot cég által kifejlesztett technológiákra épül. A Dependabot mostantól beépített része a GitHubnak és ingyenesen elérhető. A szolgáltatás lehetővé teszi a függőségekben található sebezhetőségek figyelemmel kísérését, figyelmeztetések küldését a tároló tulajdonosainak a problémákról, és automatikus pull-kérelmek nyitását a felfedezett sebezhetőségek javítására.
A figyelmeztetések a „Biztonság” fül alatt jelennek meg, és részletes információkat tartalmaznak a sebezhetőségről és a problémát érintő projektfájlokról. A javítások a függőségek minimális verzióváltozatának frissítésével történnek, arra a verzióra, amelyben a sebezhetőség megszüntetésre került. A sebezhetőségi adatok a
MITRE CVE adatbázisból származnak. és , és a projektmenedzserektől érkező értesítések, valamint a GitHub automatikus commit-elemzője alapján, a manuális felülvizsgálati rendszerben történő megerősítéssel.
Projektmenedzserek számára a sebezhetőségi jelentések (security advisories) nyilvánossá tételére és közzétételére szolgáló felület, valamint a sebezhetőségek javításával kapcsolatos kérdések zárt körű megbeszélésére.
Ezen kívül a nyilvánosan elérhető repókban tárolt érzékeny adatok védelme érdekében bevezetésre került szkennere. A commit során a szkenner ellenőrzi a tipikus kulcsformátumokat és az Alibaba Cloud, Amazon Web Services (AWS), Azure, GitHub, Google Cloud, Mailgun, Slack, Stripe és Twilio API hozzáférési tokenjeit. A token észlelése esetén a szolgáltatóhoz kérdés kerül benyújtásra a szivárgás megerősítésére és a kompromittált tokenek visszavonására.
Forrás: opennet.ru
