Pushschutz für secret scanning
Der Pushschutz von secret scanning verhindert Sicherheitslecks, indem der Code auf Geheimnisse gescannt wird, bevor du Änderungen an dein Repository pushst. Wenn du den Pushschutz aktivierst, prüft secret scanning auch Pushnachrichten auf Geheimnisse mit hoher Vertrauenswürdigkeit (solche, die mit einer geringen False-Positive-Rate identifiziert wurden). Secret scanning listet alle erkannten Geheimnisse auf, sodass der Autor die Geheimnisse überprüfen und entfernen oder, falls erforderlich, die Weitergabe dieser Geheimnisse per Push erlauben kann. Weitere Informationen zu Geheimnissen und Dienstanbietern, für die der Pushschutz unterstützt wird, findest du unter Geheimnisüberprüfungsmuster.
Wenn du bestätigen konntest, dass es sich wirklich um ein Geheimnis handelt, musst du dieses vor dem nächsten Push aus deinem Branch und allen Commits entfernen, in denen es vorkommt.
Tipp: Wenn GitHub ein Geheimnis blockiert, von dem du denkst, dass es sicher gepusht werden kann, kannst du das Geheimnis zulassen und den Grund angeben, warum es zugelassen werden soll. Weitere Informationen zum Umgehen des Pushschutzes für ein Geheimnis findest du unter Schützen von Pushes mit der Geheimnisüberprüfung und Schützen von Pushes mit der Geheimnisüberprüfung (respektive für die Befehlszeile bzw. die Webbenutzeroberfläche).
Korrigieren eines blockierten Pushes über die Befehlszeile
Wenn du ein unterstütztes Geheimnis mit secret scanning als Pushschutz an ein Repository oder eine Organisation pushen möchtest, blockiert GitHub den Push. Du kannst das Geheimnis aus deinem Branch entfernen oder auf eine bereitgestellte URL klicken, um den Push zuzulassen.
Hinweise:
- Wenn deine Git-Konfiguration das Pushen an mehrere Branches und nicht nur an den aktuellen Branch unterstützt, wird dein Push möglicherweise blockiert, weil zusätzliche und unbeabsichtigte Verweise gepusht werden. Weitere Informationen findest du unter
push.default-Optionen in der GitHub-Dokumentation. - Wenn für secret scanning bei einem Push ein Timeout auftritt, scannt GitHub die Commits nach dem Pushen trotzdem auf Geheimnisse.
Wenn das blockierte Geheimnisse mit dem letzten Commit in deinen Branch gelangt ist, befolge diese Schritte:
- Entferne das Geheimnis aus deinem Code.
- Committe die Änderungen mit
git commit --amend. - Pushe die Änderungen mit
git push.
Du kannst das Geheimnis auch entfernen, wenn es in einem früheren Commit im Git-Verlauf vorkommt.
- Mithilfe von
git logkannst du feststellen, welcher im Pushfehler hervorgehobene Commit im Verlauf zuerst vorhanden war. - Starte ein interaktives Rebasing mit
git rebase -i <commit-id>~1.entspricht dem Commit aus Schritt 1. - Ermittle den zu ändernden Commit, indem du
pickin der ersten Textzeile im Editor ineditänderst. - Entferne das Geheimnis aus deinem Code.
- Committe die Änderung mit
git commit --amend. - Führe
git rebase --continueaus, um das Rebasing fertigzustellen.
Korrigieren eines blockierten Pushes über die Webbenutzeroberfläche
Wenn du über die Webbenutzeroberfläche versuchst, ein unterstütztes Geheimnis an ein Repository oder eine Organisation zu übertragen, in dem bzw. der die Überprüfung auf Geheimnisse als Pushschutz aktiviert ist, blockiert GitHub den Commit.
Oben auf der Seite wird ein Banner mit Informationen über den Speicherort des Geheimnisses gezeigt, wobei das Geheimnis auch in der Datei unterstrichen wird, damit du es einfach finden kannst.
Um einen blockierten Commit über die Webbenutzeroberfläche zu korrigieren, musst du das Geheimnis aus der Datei entfernen oder das Dropdownmenü Schutz umgehen verwenden, um das Geheimnis zuzulassen. Weitere Informationen zur Umgehung des Pushschutzes über die Webbenutzeroberfläche findest du unter Schützen von Pushes mit der Geheimnisüberprüfung.
Wenn es sich wirklich um ein Geheimnis handelt, muss es aus der Datei entfernt werden. Sobald du das Geheimnis entfernt hast, ändert sich das Banner oben auf der Seite und teilt dir mit, dass du deine Änderungen jetzt committen kannst.