Commentaires de pull request

Ce produit n'est pas pris en charge par le site Datadog que vous avez sélectionné. ().

Présentation

Code Security publie des commentaires directement sur les pull requests (PRs) dans votre système de gestion de code source (SCM) lorsque des vulnérabilités sont détectées sur les dépôts activés. Cela vous aide à voir et à corriger les problèmes dans leur contexte avant de fusionner le code. Les commentaires sont sensibles aux différences (diff-aware), ce qui signifie qu’ils ne signalent que les nouveaux problèmes introduits sur les lignes modifiées dans la PR.

Il existe deux types de commentaires de PR :

  • Commentaire en ligne : signale une découverte individuelle de Code Security sur des lignes de code spécifiques et suggère une remédiation (si disponible).

    Un bot Datadog a publié un commentaire en ligne sur une pull request GitHub signalant une « Critical: Code Vulnerability ». Le commentaire suggère de remplacer le code os.system(command) par os.system(shlex.quote(command)) pour assainir l'appel de processus.

    For SAST vulnerabilities and code quality violations that don’t have an available suggested fix, the inline comment includes a Fix with Cursor link. Click it to open the pull request’s branch in Cursor with a tailored remediation prompt for the finding. When a suggested fix is available, the comment shows a committable suggestion instead. To handle the Cursor deep link, install the Datadog extension for VS Code and Cursor.

    Un commentaire en ligne d'un bot Datadog sur une pull request GitHub signalant une violation de la qualité du code, avec un lien « Fix with Cursor » sous la découverte.

  • Commentaire récapitulatif : combine toutes les découvertes de Datadog en un seul commentaire. Ce commentaire n’apparaît que si votre PR contient des problèmes nécessitant une attention particulière. Une fois ces découvertes traitées, le commentaire est automatiquement modifié pour confirmer que votre pull request est désormais exempte de problèmes.

    Un bot Datadog a publié un commentaire récapitulatif sur une pull request GitHub. Le commentaire comporte une section « Warnings » qui répertorie quatre vulnérabilités de code critiques, telles que des injections SQL et des injections de commandes, avec des liens vers les fichiers et les lignes de code spécifiques.

Vous pouvez configurer les commentaires de PR au niveau de l’organisation ou du dépôt dans Repository Settings, avec les contrôles suivants :

  • Activation/désactivation des commentaires de PR par type d’analyse (SAST, SCA statique, Secrets, IaC)
  • Définition de seuils de gravité pour chaque type d’analyse
  • Exclusion des découvertes provenant de fichiers de test ou de dépendances de développement/test
  • Filtrage des découvertes identifiées comme des faux positifs par Bits AI

Apprenez-en davantage sur les commentaires de PR dans Datadog.

Remarque : les commentaires de PR ne sont pas des vérifications de PR. Pour configurer les vérifications, consultez PR Gates.

Prérequis

  • Vous devez avoir activé l’intégration du code source Datadog pour votre fournisseur. Les commentaires de PR sont pris en charge pour les dépôts GitHub, GitLab et Azure DevOps.
  • Vos dépôts doivent avoir le ou les produits Code Security pertinents activés. Pour activer Code Security dans l’application, accédez à la Code Security page Paramètres.
Les commentaires de pull request ne sont pas pris en charge pour les pull requests dans les dépôts publics, ni pour celles visant une branche de destination dans un dépôt différent de la branche source (c'est-à-dire les dépôts dérivés cherchant à fusionner dans le dépôt principal).

Configurez les commentaires de pull request

Suivez les étapes ci-dessous en fonction de votre fournisseur de gestion de code source.

    Si vous utilisez l'analyse hébergée par Datadog, activez le bouton pour le type d'analyse souhaité (par exemple, l'analyse de code statique (SAST)) après avoir terminé les étapes de configuration de GitHub. Si vous utilisez GitHub Actions pour exécuter vos analyses, déclenchez l'action sur push pour que les commentaires apparaissent une fois la configuration de GitHub terminée.

    Connectez votre ou vos comptes GitHub à Datadog

    Pour obtenir des instructions de configuration, lisez la documentation sur l’intégration du code source GitHub de Datadog.

    Créez ou mettez à jour une application GitHub

    Si vous avez déjà une application GitHub connectée à Datadog, mettez-la à jour. Sinon, créez une nouvelle application GitHub.

    Les autorisations que vous accordez à l'application GitHub déterminent les fonctionnalités de l'intégration GitHub disponibles pour la configuration.

    Créez et installez une application GitHub

    1. Dans Datadog, accédez à Integrations > GitHub Applications > Add New GitHub Application.

    2. Remplissez tous les détails requis, tels que le nom de l’organisation GitHub.

    3. Sous Select Features, cochez la case Code Security: Pull Request Review Comments.

    4. Sous Edit Permissions, vérifiez que l’autorisation Pull Requests est définie sur Read & Write.

    5. Cliquez sur Create App in GitHub.

    6. Saisissez un nom pour votre application, puis soumettez-le.

    7. Cliquez sur Install GitHub App.

    8. Choisissez les dépôts dans lesquels l’application doit être installée, puis cliquez sur Install & Authorize.

      Écran d'installation de l'application GitHub

    Mettre à jour une application GitHub existante

    1. Dans Datadog, accédez à Integrations > GitHub Applications et recherchez l’application GitHub que vous souhaitez utiliser pour Code Security.

      Exemple de commentaire d'analyse de code statique sur une pull request

    2. Sous l’onglet Features, consultez la section Code Security: Pull Request Comments pour déterminer si votre application GitHub nécessite des autorisations supplémentaires. Si tel est le cas, cliquez sur Update permissions in GitHub pour modifier les paramètres de l’application.

    3. Sous Repository permissions, définissez l’accès Pull Requests sur Read and write.

      La liste déroulante pour l'autorisation de lecture et d'écriture des pull requests.

    4. Sous la rubrique Subscribe to events, cochez la case Pull request.

      La case à cocher pour l'autorisation de commentaire de révision de pull request.

    Consultez les instructions de configuration du code source GitLab pour connecter les dépôts GitLab à Datadog.

    Consultez les instructions de configuration du code source Azure pour connecter les dépôts Azure DevOps à Datadog.

    Options de configuration

    Avant d’activer les commentaires de PR, assurez-vous qu’au moins une fonctionnalité d’analyse Code Security est activée dans le dépôt. Même si les commentaires de PR sont configurés au niveau de l’organisation, ils ne sont ajoutés que dans les dépôts où un type d’analyse pris en charge (par exemple, SAST, SCA ou IaC) est actif. Les dépôts sans aucun type d’analyse activé ne recevront pas de commentaires de PR.

    Les commentaires de PR peuvent être configurés au niveau de l’organisation ou au niveau du dépôt :

    • Niveau de l’organisation : Les paramètres s’appliquent à tous les dépôts de l’organisation qui ont au moins une fonctionnalité d’analyse activée.
    • Niveau du dépôt : Les paramètres remplacent les valeurs par défaut de l’organisation pour le dépôt sélectionné.

    Lors de la configuration des commentaires de PR, vous pouvez :

    • Activer ou désactiver les commentaires pour des types d’analyse spécifiques (SAST, SCA, IaC).
    • Définissez des seuils de gravité minimaux pour contrôler l’apparition des commentaires.
    • Excluez les commentaires pour les résultats trouvés dans les fichiers de test ou les dépendances de développement/test afin d’éviter le bruit généré par les problèmes de faible priorité.
    • Filtrez les résultats identifiés comme des faux positifs par Bits AI.

    Configurez les commentaires de PR au niveau de l’organisation

    1. Dans Datadog, accédez à Security > Code Security > Settings.
    2. Dans Repository Settings, cliquez sur Global PR Comment Configuration.
    3. Configurez les paramètres :
      • Enable PR comments for all scan types and severities : Activez cette option pour appliquer les commentaires de PR à tous les types et niveaux de gravité.
      • Enable for Static Analysis (SAST) : Activez cette option pour autoriser les commentaires de PR pour SAST. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if violations are detected in test files pour empêcher les commentaires sur les problèmes trouvés dans les fichiers de test. Sélectionnez Filter out findings identified as false positives by Bits AI pour exclure les découvertes que Bits AI a identifiées comme des faux positifs. Sélectionnez Include public repositories pour commenter les dépôts publics.
      • Enable for Software Composition Analysis (SCA) : Activez cette option pour activer les commentaires de PR pour SCA. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if violations are detected in test or dev dependencies pour empêcher les commentaires sur les problèmes trouvés dans les dépendances existant uniquement dans les environnements de développement ou de test. Sélectionnez Include public repositories pour commenter les dépôts publics.
      • Enable for Secret Scanning (Secrets) : Activez cette option pour activer les commentaires de PR pour Secrets. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if secrets are detected in test files pour empêcher les commentaires sur les secrets trouvés dans les fichiers de test. Sélectionnez Include public repositories pour commenter les dépôts publics.
      • Enable for Infrastructure-as-Code (IaC) : Activez cette option pour activer les commentaires de PR pour IaC. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if violations are detected in test files pour empêcher les commentaires sur les problèmes trouvés dans les fichiers de test. Sélectionnez Filter out findings identified as false positives by Bits AI pour exclure les découvertes que Bits AI a identifiées comme des faux positifs. Sélectionnez Include public repositories pour commenter les dépôts publics.
    4. Cliquez sur Save.

    Configurer les commentaires de PR au niveau du dépôt

    1. Dans Datadog, accédez à Security > Code Security > Settings.
    2. Dans Repository Settings, sélectionnez un dépôt dans la liste.
    3. Configurez les paramètres :
      • Enable PR comments for all scan types and severities : Activez cette option pour appliquer les commentaires de PR à tous les types et niveaux de gravité.
      • Enable for Static Analysis (SAST) : Activez cette option pour autoriser les commentaires de PR pour SAST. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if violations are detected in test files pour empêcher les commentaires sur les problèmes trouvés dans les fichiers de test. Sélectionnez Filter out findings identified as false positives by Bits AI pour exclure les découvertes que Bits AI a identifiées comme des faux positifs.
      • Enable for Software Composition Analysis (SCA) : Activez cette option pour activer les commentaires de PR pour SCA. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if violations are detected in test or dev dependencies pour empêcher les commentaires sur les problèmes trouvés dans les dépendances existant uniquement dans les environnements de développement ou de test.
      • Enable for Secret Scanning (Secrets) : Activez cette option pour activer les commentaires de PR pour Secrets. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if secrets are detected in test files pour empêcher les commentaires sur les secrets trouvés dans les fichiers de test.
      • Enable for Infrastructure-as-Code (IaC) : Activez cette option pour activer les commentaires de PR pour IaC. Si cette option est activée, spécifiez un seuil de gravité minimal. De plus, sélectionnez Exclude PR comments if violations are detected in test files pour empêcher les commentaires sur les problèmes trouvés dans les fichiers de test. Sélectionnez Filter out findings identified as false positives by Bits AI pour exclure les découvertes que Bits AI a identifiées comme des faux positifs.
      • Block all comments in this repository : Activez cette option pour désactiver tous les commentaires pour ce dépôt, en remplaçant les paramètres globaux.
    4. Cliquez Save Configuration.