🔒 P1: Ativar Dependabot Security Alerts + Secret Scanning (UI)

[adm01-debug]

🔒 P1 — Habilitar Dependabot Security Alerts + Secret Scanning

Severidade: P1 — Alta
Pré-requisito mergeado: #79 (CodeQL workflow + docs/SECURITY_ALERTS.md)

Por que isso é P1

CodeQL (camada 4) já roda automaticamente após este merge. Ainda faltam 2 toggles UI para o stack completo:

Camada	Função	Status
3 — Dependabot Security Alerts	Reage a CVEs de dependências em real-time	⏳
5 — Secret Scanning + Push Protection	Bloqueia secrets antes do push chegar ao GitHub	⏳

Ver detalhes em docs/SECURITY_ALERTS.md.

Ação requerida (UI)

1. Acessar https://github.com/adm01-debug/Promo_Gifts/settings/security_analysis
2. Em sequência, ativar:

Dependency graph + Dependabot

• Dependency graph: ☑ Enabled
• Dependabot alerts: ☑ Enabled
• Dependabot security updates: ☑ Enabled

Secret Scanning

• Secret scanning: ☑ Enabled
• Push protection: ☑ Enabled (importante — bloqueia ANTES do push, elimina janela de exposição)

Code Scanning (CodeQL)

• Confirmar que workflow CodeQL apareceu na aba Actions
• Após primeira execução, conferir https://github.com/adm01-debug/Promo_Gifts/security/code-scanning

Validação

• https://github.com/adm01-debug/Promo_Gifts/security/dependabot — listagem populada (ou vazia se não houver CVEs hoje, o que é bom)
• https://github.com/adm01-debug/Promo_Gifts/security/code-scanning — primeiro run CodeQL completou
• Tentar git push com um token AWS fictício (AKIA...) → deve ser bloqueado

Tempo estimado

~5 min (toggles UI são instantâneos).

---

Sequência BPM: após este P1 + #76 (rotação) + #78 (branch protection), todas as P0/P1 de hardening estão fechadas.

---

Atualização 2026-05-12 — Fase 2 Segurança: Todas as migrações de banco (T19/T20/T21/T23) foram aplicadas no projeto doufsxqlfjyuvxuezpln. Esta issue requer ação manual em https://github.com/adm01-debug/Promo_Gifts/settings/security_analysis — ativar Dependabot Alerts, Dependabot Security Updates, Secret Scanning e Push Protection conforme checklist acima. Após ativar, fechar esta issue.