GitHub sistema para fornecer apoio financeiro a projetos abertos. O novo serviço oferece uma nova forma de participação no desenvolvimento de projetos — se o usuário não tem como ajudar no desenvolvimento, ele pode se conectar a projetos de interesse como patrocinador e ajudar através do financiamento de desenvolvedores específicos, mantenedores, designers, autores de documentação, testadores e outros envolvidos no projeto.
Com o sistema de patrocínio, qualquer usuário do GitHub pode contribuir mensalmente com quantias fixas para desenvolvedores de código aberto, no serviço como participantes dispostos a receber apoio financeiro (durante o teste do serviço, o número de participantes é limitado). Os participantes patrocinados podem definir níveis de apoio e as respectivas vantagens para os patrocinadores, como a resolução prioritária de bugs. A possibilidade de organizar o financiamento não apenas de participantes individuais, mas também de grupos de desenvolvedores envolvidos no trabalho do projeto está em consideração.
Ao contrário de outras plataformas de financiamento coletivo, o GitHub não cobra uma porcentagem pela intermediação e, no primeiro ano, cobrirá os custos de processamento de pagamentos. No futuro, não se descarta a introdução de uma taxa pela обработку de pagamentos. Para acompanhar o serviço, foi criado um fundo especial chamado GitHub Sponsors Matching Fund, que será responsável pela distribuição dos fluxos financeiros.
Além do patrocínio, o GitHub também um novo serviço para garantir a segurança dos projetos, construído com base em tecnologias obtidas através da Dependabot. O Dependabot agora está integrado ao GitHub e disponível gratuitamente.
O serviço permite monitorar vulnerabilidades nas dependências, enviar avisos aos proprietários de repositórios sobre problemas nas dependências e abrir automaticamente pull requests para corrigir as vulnerabilidades identificadas.
Os avisos são exibidos na aba 'Segurança' e incluem informações detalhadas sobre a vulnerabilidade e os arquivos do projeto afetados pelo problema. A correção é gerada através da atualização na lista de dependências da versão mínima para a versão em que a vulnerabilidade foi corrigida. As informações sobre vulnerabilidades são extraídas de bases e , e também com base em notificações dos mantenedores dos projetos e do analisador automático de commits no GitHub, seguido de confirmação no sistema de revisão manual.
Para os mantenedores dos projetos a interface para publicação e colocação de relatórios de vulnerabilidades (advisories de segurança), bem como para discussão privada em um círculo restrito sobre questões relacionadas à correção de vulnerabilidades.
Além disso, para proteger contra de dados confidenciais em repositórios publicamente acessíveis, foi implementado de tokens e chaves de acesso. Durante o commit, o scanner verifica formatos típicos de chaves e tokens de acesso a API Alibaba Cloud, Amazon Web Services (AWS), Azure, GitHub, Google Cloud, Mailgun, Slack, Stripe e Twilio. Em caso de detecção de um token, é enviada uma solicitação ao provedor de serviços para confirmar a vazamento e revogar os tokens comprometidos.
Fonte: opennet.ru
