关于密码扫描

如果项目与外部服务通信，您可能使用令牌或私钥进行身份验证。 令牌和私钥是服务提供商可以签发的典型密码。 如果将密码检入仓库，则对仓库具有读取权限的任何人都可以使用该密码以您的权限访问外部服务。 建议将密码存储在项目仓库外部专用的安全位置。

服务提供商可与 GitHub 合作提供其用于扫描的密码格式。 更多信息请参阅“密码扫描”。

如果有人将密码从 GitHub 合作伙伴检入 GitHub 上的公共或私有仓库，则 秘密扫描 在该密码检入时可以捕获它，帮助您减小密码泄露的影响。 仓库管理员会收到包含密码的任何提交的通知， 然后他们可以快速查看仓库安全选项卡中所有检测到的密码。

关于公共仓库的 秘密扫描

秘密扫描 自动对公共仓库启用。 当您推送到公共仓库时，GitHub 会扫描提交的内容中是否有密码。 如果将私有仓库切换到公共仓库，GitHub 会扫描整个仓库中的密码。

当 秘密扫描 检测一组凭据时，我们会通知发布密码的服务提供商。 服务提供商会验证该凭据，然后决定是否应撤销密钥、颁发新密钥或直接与您联系，具体取决于与您或服务提供商相关的风险。 有关如何使用令牌颁发合作伙伴的概述，请参阅“密码扫描”。

GitHub 当前会扫描公共仓库，查找以下服务提供商发布的密码。

关于私有仓库的 秘密扫描

如果您是仓库管理员或组织所有者，您可以为组织拥有的私有仓库启用 秘密扫描。 You can enable 秘密扫描 for all your repositories, or for all new repositories within your organization. 秘密扫描 is not available for user-owned private repositories. For more information, see "Managing security and analysis settings for your repository" and "Managing security and analysis settings for your organization."

将提交推送到启用了 秘密扫描 的私有仓库时，GitHub 会扫描提交的内容中是否有密码。

当 秘密扫描 在私有仓库中检测到密码时，GitHub 会生成警报。

• GitHub 向仓库管理员和组织所有者发送电子邮件警报。

• GitHub 向提交机密到仓库的贡献者发送电子邮件警报，其中包括指向相关 秘密扫描 警报的链接。 然后，提交作者可以在仓库中查看警报，然后解决警报。

• GitHub 显示仓库中的警报。

有关查看和解析 秘密扫描 警报的详细信息，请参阅“管理来自 秘密扫描 的警报”。

仓库管理员和组织所有者可以授权用户和团队访问 秘密扫描 警报。 更多信息请参阅“管理仓库的安全和分析设置”。

要监控来自私有仓库或组织中的 秘密扫描 的结果，可以使用 秘密扫描 API。 有关 API 端点的更多信息，请参阅“秘密扫描”。

GitHub 目前扫描私有仓库，以检查由以下服务提供者颁发的密码。

延伸阅读

• “关于保护仓库”
• "保护帐户和数据安全"