Activation de alertes d’analyse des secrets pour les utilisateurs
Vous pouvez activer alertes d’analyse des secrets pour les utilisateurs pour tout dépôt free public dont vous êtes le propriétaire . Une fois activée, secret scanning recherche les secrets dans l’historique Git de toutes les branches présentes dans votre référentiel GitHub. Secret scanning recherche également les descriptions des problèmes et les commentaires pour les secrets.
Vous pouvez également activer secret scanning pour plusieurs référentiels dans une organisation en même temps. Pour plus d’informations, consultez « Sécurisation de votre organisation ».
-
Dans GitHub.com, accédez à la page principale du dépôt.
-
Sous le nom de votre dépôt, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.
-
Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité et analyse du code.
-
Faites défiler vers le bas de la page, puis cliquez sur Activer pour secret scanning. Si vous voyez un bouton Désactiver, cela signifie que l’secret scanning est déjà activée pour le dépôt.
-
Si vous souhaitez activer la protection des poussées, cliquez sur Activer à droite de « Protection des poussées ». Lorsque vous activez la protection par émission de données pour votre organisation ou votre référentiel, secret scanning vérifie également les envois des secrets avec un taux de confiance élevé (ceux identifiés avec un taux faible de faux positifs). Secret scanning liste les secrets qu’elle détecte afin que l’auteur puisse passer en revue les secrets et les supprimer ou, si nécessaire, autoriser ces secrets à être poussés. Pour plus d’informations, consultez « Protection des poussées pour les référentiels et les organisations ».
Activation des alertes d’analyse des secrets pour les utilisateurs pour tous vos dépôts publics
Vous pouvez activer les alertes d’analyse des secrets pour les utilisateurs pour tous vos dépôts publics via les paramètres de votre compte personnel.
-
Dans le coin supérieur droit d’une page, cliquez sur votre photo de profil, puis sur Paramètres.
-
Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité et analyse du code.
-
Sous « Sécurité et analyse du code », à droite de Secret scanning, cliquez sur Désactiver tout ou Activer tout.
-
Si vous le souhaitez, pour activer automatiquement l’secret scanning pour les nouveaux dépôts publics que vous créez, sous « Secret scanning », cochez la case « Activer automatiquement pour les nouveaux dépôts publics ».
Exclusion de répertoires de alertes d’analyse des secrets pour les utilisateurs
Vous pouvez configurer un fichier secret_scanning.yml pour exclure les répertoires de secret scanning, notamment quand vous utilisez la protection push. Par exemple, vous pouvez exclure des répertoires qui contiennent des tests ou du contenu généré de manière aléatoire.
-
Dans GitHub.com, accédez à la page principale du dépôt.
-
Au-dessus de la liste de fichiers, sélectionnez le menu déroulant Ajouter un fichier , puis cliquez sur Créer un fichier.
Vous pouvez également cliquer sur dans l’arborescence de fichiers à gauche.
-
Dans le champ du nom de fichier, tapez .github/secret_scanning.yml.
-
Sous Modifier le nouveau fichier, tapez
paths-ignore:
suivi des chemins que vous souhaitez exclure de l’secret scanning.paths-ignore: - "foo/bar/*.js"
Vous pouvez utiliser des caractères spéciaux tels que
*
pour filtrer les chemins. Pour plus d’informations sur les modèles de filtre, consultez « Syntaxe de workflow pour GitHub Actions ».Remarques :
- S’il y a plus de 1 000 entrées dans
paths-ignore
, l’secret scanning n’exclut que les 1 000 premiers répertoires des analyses. - Si la taille de secret_scanning.yml est supérieure à 1 Mo, l’secret scanning ignore la totalité du fichier.
- S’il y a plus de 1 000 entrées dans
Vous pouvez également ignorer des alertes individuelles de l’secret scanning. Pour plus d’informations, consultez « Gestion des alertes à partir de l’analyse des secrets ».