GitHub lance en préversion l’analyse d’accessibilité des alertes Dependabot pour JavaScript et TypeScript

GitHub a lancé en préversion publique, le 28 octobre 2026, l’analyse d’accessibilité pour les alertes Dependabot. Elle fonctionne pour JavaScript et TypeScript et ajoute à chaque alerte ouverte un verdict : le code d’un dépôt a-t-il un chemin d’appel vers la fonction vulnérable d’une dépendance ? GitHub présente ce verdict comme un contexte supplémentaire pour ordonner le travail, à utiliser avec la gravité, le score EPSS, le contexte de production et la connaissance qu’a l’équipe de son application. Il ne ferme ni n’écarte jamais une alerte.

Le mécanisme comporte trois parties. Dependabot exécute l’analyse pour l’utilisateur dans un flux de travail GitHub Actions géré, sans rien à installer ni à maintenir. Pour chaque avis, des données sélectionnées identifient les fonctions vulnérables du paquet touché. CodeQL construit ensuite un graphe d’appels sur le dépôt et ses dépendances et y cherche un chemin entre le code de l’utilisateur et chacune de ces fonctions. La preuve apparaît sur l’alerte, par exemple un chemin d’appel allant d’un fichier du dépôt, par un paquet, jusqu’à la fonction vulnérable.

Chaque alerte ouverte reçoit l’un de quatre verdicts. Accessible signifie que le code a au moins un chemin d’appel vers la fonction vulnérable. Potentiellement accessible signifie que l’analyse n’a pas pu déterminer si la fonction est appelée, et GitHub demande de traiter ces alertes comme accessibles. Inaccessible signifie que l’analyse est terminée sans trouver de chemin, donc l’alerte est de priorité plus basse, non fermée. Accessibilité indisponible signifie que l’alerte n’a pas pu être analysée et doit être triée comme d’habitude. La différence entre inaccessible et potentiellement accessible compte, car seul le premier est un résultat négatif achevé.

La préversion a des limites nettes. Elle est gratuite : aucune licence GitHub Advanced Security n’est requise et les minutes Actions utilisées ne sont pas facturées. Elle est ouverte à GitHub Enterprise Cloud, y compris avec résidence des données. Elle couvre les dépôts JavaScript et TypeScript avec un fichier de verrouillage npm, Yarn ou pnpm et ne tourne que sur des exécuteurs hébergés par GitHub, pas auto-hébergés. Certains monodépôts, et les dépôts dont les manifestes sont répartis dans plusieurs répertoires, peuvent ne pas être pris en charge. Si l’analyse dure plus de trois heures, certains résultats peuvent afficher Accessibilité indisponible. La couverture comprend tous les avis JavaScript examinés par GitHub dans la base d’avis de GitHub qui déclenchent des alertes Dependabot.

La fonction est désactivée par défaut. Les administrateurs peuvent l’activer pour de nombreux dépôts à la fois avec une configuration de sécurité personnalisée au niveau de l’entreprise ou de l’organisation, ou pour un seul dépôt dans la section Dependabot des paramètres, sous Advanced Security. Les alertes Dependabot doivent déjà être activées. Le premier balayage démarre aussitôt et peut durer de quelques minutes à quelques heures, puis il se répète chaque jour tant que le dépôt a des alertes Dependabot ouvertes. Les verdicts s’affichent sur les pages d’alertes, où on peut les filtrer et les trier, et l’API REST des alertes Dependabot transmet le même signal à d’autres outils et agents.

L’accessibilité aide à prioriser, elle ne prouve pas la sécurité. Un chemin d’appel trouvé par analyse statique montre que le code peut atteindre la fonction, pas qu’un attaquant peut l’exploiter. L’inverse vaut aussi : la page ne donne aucun chiffre de précision, donc un verdict Inaccessible est un signal de priorité plus basse, pas une garantie. La préversion exclut les autres formules et toute langue hors deux, si bien que beaucoup d’équipes ne verront pas encore de verdict. Pour les équipes sur Enterprise Cloud avec du code JavaScript, elle offre un moyen de trier une longue liste d’alertes avec une preuve attachée à chaque entrée.