GitHub introduz limites de taxa para relatórios privados de vulnerabilidades a fim de conter spam automatizado

O GitHub introduziu oficialmente limites diários de taxa para o recurso de relatórios privados de vulnerabilidades, em um esforço para combater envios automatizados e divulgações de segurança de baixa qualidade. Segundo o GitHub, o aumento contínuo de relatórios automatizados tem tornado cada vez mais difícil para os mantenedores de projetos de código aberto fazer a triagem de notificações e identificar problemas de segurança legítimos em meio a um alto volume de ruído.

Limites diários e listas de permissão

O novo sistema estabelece um teto para a quantidade de relatórios privados de vulnerabilidades que uma única conta de usuário pode enviar em um período de vinte e quatro horas. Essas restrições operam tanto no nível de repositórios individuais quanto globalmente em toda a plataforma do GitHub. Quando um usuário atinge o limite diário de envios, a interface exibe uma mensagem solicitando que tente enviar a notificação mais tarde. É fundamental destacar que esses limites de taxa se aplicam estritamente à criação de novos relatórios de vulnerabilidades. Discussões em andamento, comunicações de acompanhamento e comentários em alertas de segurança já existentes não são afetados pela restrição.

Para oferecer maior flexibilidade, os administradores de repositórios agora podem definir limites diários de envio personalizados, adaptados às necessidades específicas de seus projetos. Além disso, para evitar fricções desnecessárias com pesquisadores de segurança de confiança que contribuem regularmente com divulgações válidas, os administradores têm a opção de adicionar contas específicas a uma lista de permissão (allow-list), isentando totalmente esses indivíduos de quaisquer restrições de taxa.

Disponibilidade e opções de configuração

Os mantenedores podem configurar essas novas definições de limite de taxa diretamente no painel do repositório, navegando até as configurações de segurança e acessando o painel de gerenciamento de relatórios privados de vulnerabilidades. Esse recurso administrativo está disponível para repositórios públicos que possuem os relatórios privados de vulnerabilidade ativados em vários planos da plataforma, incluindo GitHub Free, GitHub Pro, GitHub Team e GitHub Enterprise Cloud. Ao implementar esses controles, os mantenedores conseguem proteger melhor seus fluxos de trabalho, mantendo canais abertos para a comunicação de falhas críticas.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Rate limits for private vulnerability reports