# Alertas de malware do Dependabot
Dependabot malware alerts ajude você a identificar malware em suas dependências para proteger seu projeto e seus usuários.
O software geralmente depende de pacotes de várias fontes, criando relações de dependência que podem ameaçar a segurança do projeto. Por exemplo, os maus atores podem usar pacotes mal-intencionados para executar ataques de malware, obtendo acesso ao seu código, dados, usuários e colaboradores.
Para ajudar a manter seu projeto seguro, Dependabot verifique suas dependências em busca de pacotes mal-intencionados conhecidos e crie alertas com as etapas de correção sugeridas.
## Quando Dependabot envia malware alerts
Dependabot envia malware alerts quando um pacote no branch padrão do repositório é sinalizado como mal-intencionado. Os alertas para dependências existentes são gerados assim que o pacote é sinalizado no GitHub Advisory Database.
Os alertas também são gerados quando você envia confirmações por push que adicionam um pacote mal-intencionado conhecido ou atualizam um pacote a uma versão mal-intencionada conhecida.
> \[!NOTE]
> Se o ecossistema, o nome e a versão de um pacote interno corresponderem aos de um pacote público mal-intencionado, Dependabot poderá gerar um alerta falso positivo.
## Conteúdo do alerta
Quando Dependabot detecta uma dependência maliciosa, um malware alert aparece na guia de ** Security and quality** do repositório. Cada alerta inclui:
* Um link para o arquivo afetado
* Detalhes sobre o pacote mal-intencionado, incluindo o nome do pacote, as versões afetadas e a versão corrigida (quando disponível)
* Etapas de correção
## Disponibilidade
Atualmente, Dependabot malware alerts estão disponíveis para pacotes no ecossistema `npm`.
## Notificações de alerta
Por padrão, GitHub envia notificações por email sobre novos alertas para pessoas que:
* Ter permissões de escrita, manutenção ou administração em um repositório
* Estão assistindo ao repositório e habilitaram notificações para alertas de segurança ou para todas as atividades no repositório
No GitHub.com, você pode substituir o comportamento padrão escolhendo o tipo de notificações que deseja receber, ou desligar completamente as notificações na página de configurações para suas notificações de usuário em .
Se você estiver preocupado em receber muitas notificações, recomendamos aproveitar Regras de triagem automática do Dependabot para descartar automaticamente alertas de baixo risco. Consulte [Regras de triagem automática do Dependabot](/pt/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules).
## Limitações
Dependabot malware alerts têm algumas limitações:
* Os alertas não podem detectar todos os problemas de segurança. Sempre examine suas dependências e mantenha arquivos de manifesto e de bloqueio atualizados para detecção precisa.
* O novo malware pode levar tempo para aparecer no GitHub Advisory Database e disparar alertas.
* Somente avisos revisados por GitHub disparam alertas.
* Dependabot não verifica repositórios arquivados.
* Para GitHub Actions, os alertas são gerados apenas para ações que usam versionamento semântico, não versionamento SHA.
GitHub nunca divulga publicamente dependências mal-intencionadas de qualquer repositório.
## Próximas Etapas
Para começar a proteger seu projeto contra dependências mal-intencionadas, consulte [Configurando alertas de malware Dependabot](/pt/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-malware-alerts).