À propos de l’secret scanning
Si votre projet communique avec un service externe, vous pouvez utiliser un jeton ou une clé privée pour l’authentification. Les jetons et les clés privées sont des exemples de secrets qu’un fournisseur de services peut émettre. Si vous archivez un secret dans un dépôt, toute personne disposant d’un accès en lecture au dépôt peut l’utiliser pour accéder au service externe avec vos privilèges. Nous vous recommandons de stocker les secrets dans un emplacement dédié et sécurisé en dehors du dépôt de votre projet.
L’Secret scanning recherche les secrets dans l’ensemble de votre historique Git sur toutes les branches présentes dans votre dépôt GitHub, même si le dépôt est archivé. Secret scanning analyse également les descriptions des problèmes et les commentaires pour les secrets.
Secret scanning analyse également les titres, descriptions et commentaires dans les problèmes historiques ouverts et fermés, et signale les fuites de secrets en tant qu’alertes sur GitHub. Une notification est envoyée au partenaire approprié quand un modèle de partenaire historique est détecté.
Remarque : Secret scanning pour l’historique des fuites accidentelles des secrets est actuellement en version bêta et peut faire l’objet de modifications.
L’Secret scanning est disponible sur GitHub.com sous deux formes :
-
Alertes d’analyse des secrets pour les partenaires. S’exécute automatiquement sur tous les dépôts publics et les packages npm publics. Toutes les chaînes qui correspondent aux modèles fournis par les partenaires d’analyse des secrets sont signalées directement au partenaire approprié. Pour plus d’informations, consultez la section « À propos des alertes d’analyse des secrets pour les partenaires » ci-dessous.
-
Alertes d’analyse des secrets pour les utilisateurs. Vous pouvez activer et configurer une analyse supplémentaire pour les dépôts appartenant à des organisations qui utilisent GitHub Enterprise Cloud pour tous les dépôts publics (gratuitement) et pour les dépôts privés et internes lorsque vous disposez d’une licence pour GitHub Advanced Security.
Toutes les chaînes qui correspondent aux modèles fournis par les partenaires d’analyse des secrets, par d’autres fournisseurs de services ou définis par vous ou votre organisation sont signalées comme alertes sous l’onglet Sécurité des dépôts. Si une chaîne dans un dépôt public correspond à un modèle de partenaire, elle est également signalée au partenaire. Pour plus d’informations, consultez la section « À propos des alertes d’analyse des secrets pour les utilisateurs » ci-dessous.
Vous pouvez auditer les actions effectuées en réponse aux alertes secret scanning à l’aide des outils GitHub. Pour plus d’informations, consultez « Audit des alertes de sécurité ».
Les fournisseurs de services peuvent collaborer avec GitHub afin de fournir leurs formats de secret pour l’analyse. Pour en savoir plus sur notre programme de partenariat, consultez « Programme de partenariat d’analyse des secrets ».
Vous pouvez également activer l’secret scanning en tant que protection des poussées (push) pour un dépôt ou une organisation. Quand vous activez cette fonctionnalité, l’secret scanning empêche les contributeurs de pousser du code comportant un secret détecté. Pour continuer, les contributeurs doivent supprimer le ou les secrets de la poussée ou, si nécessaire, contourner la protection. Les administrateurs peuvent également spécifier un lien personnalisé qui s’affiche au contributeur lorsqu’un envoi (push) est bloqué. Ce lien peut contenir des ressources spécifiques à l’organisation destinées à aider les contributeurs. Pour plus d’informations, consultez « Protection des poussées (push) avec l’analyse des secrets ».
À propos des alertes d’analyse des secrets pour les partenaires
Quand vous rendez un dépôt public ou que vous poussez des modifications vers un dépôt public, GitHub Enterprise Cloud analyse toujours le code à la recherche des secrets qui correspondent aux modèles de partenaires. Les packages publics du registre npm sont également analysés. Secret scanning analyse également les descriptions des problèmes et les commentaires pour les secrets. Si l’secret scanning détecte un secret potentiel, nous indiquons au fournisseur de services qui a émis le secret. Le fournisseur de services valide la chaîne, puis décide de révoquer ou non le secret, d’émettre un nouveau secret ou de vous contacter directement. Son action dépend des risques associés pour vous ou lui. Pour plus d’informations, consultez « Modèles d’analyse des secrets ».
Vous ne pouvez pas changer la configuration de l’secret scanning pour les modèles de partenaires sur les référentiels publics.
À propos des alertes d’analyse des secrets pour les utilisateurs
Les Alertes d’analyse des secrets pour les utilisateurs sont disponibles gratuitement sur tous les dépôts publics , et pour les dépôts privés et internes appartenant à des organisations utilisant GitHub Enterprise Cloud avec une licence pour GitHub Advanced Security. Lorsque vous activez l’secret scanning pour un dépôt, GitHub analyse le code à la recherche de modèles qui correspondent aux secrets utilisés par de nombreux fournisseurs de services. Une fois l’analyse terminée, GitHub envoie une alerte par e-mail aux propriétaires de l’entreprise et de l’organisation, même si aucun secret n’a été trouvé.
Secret scanning analyse également les descriptions des problèmes et les commentaires pour les secrets. Lorsqu’un secret pris en charge est divulgué, GitHub Enterprise Cloud génère une alerte secret scanning. GitHub exécute également régulièrement une analyse complète de l’historique Git du contenu existant dans les dépôts GitHub Advanced Security où l’secret scanning est activée, et envoie des notifications d’alerte selon les paramètres de notification d’alerte de l’secret scanning. Pour plus d’informations, consultez « Secrets pris en charge pour les alertes utilisateur ».
Remarque : Secret scanning pour les descriptions et les commentaires des problèmes est en version bêta publique et peut faire l’objet de modifications.
Si vous êtes administrateur de référentiel, vous pouvez activer les alertes d’analyse des secrets pour les utilisateurs pour n’importe quel référentiel, y compris les référentiel archivés. Les propriétaires d’organisation peuvent également activer les alertes d’analyse des secrets pour les utilisateurs pour tous les dépôts ou pour tous les nouveaux dépôts au sein d’une organisation. Pour plus d’informations, consultez « Gestion des paramètres de sécurité et d’analyse pour votre dépôt » et « Gestion des paramètres de sécurité et d’analyse pour votre organisation ».
Vous pouvez également définir des modèles secret scanning pour un référentiel, une organisation ou une entreprise. Pour plus d’informations, consultez « Définition de modèles personnalisés pour l’analyse des secrets ».
GitHub stocke les secrets détectés en utilisant le chiffrement symétrique, à la fois en transit et au repos.
Accès aux Alertes d’analyse de secrets
Quand vous activez l’secret scanning pour un dépôt ou que vous poussez des commits sur un dépôt où l’secret scanning est activée, GitHub recherche dans le contenu de ces commits des secrets qui correspondent aux modèles définis par les fournisseurs de services et à tous les modèles personnalisés définis dans votre entreprise, organisation ou dépôt. Secret scanning analyse également les descriptions des problèmes et les commentaires pour les secrets. GitHub also runs a scan of all historical code content in repositories with secret scanning enabled when a new partner pattern or custom pattern is added or updated.
Si l’secret scanning détecte un secret, GitHub génère une alerte.
- GitHub envoie une alerte par e-mail aux administrateurs du dépôt et aux propriétaires de l’organisation. Vous recevrez une alerte si vous surveillez le référentiel , si vous avez activé les notifications pour les alertes de sécurité ou pour toutes les activités sur le référentiel , et si, dans vos paramètres de notification, vous avez choisi de recevoir des notifications par e-mail pour les référentiels que vous surveillez.
- Si le contributeur qui a commité le secret n’ignore pas le dépôt, GitHub envoie également une alerte par e-mail au contributeur. Les e-mails contiennent un lien vers l’alerte d’secret scanning associée. L’auteur du commit peut ensuite afficher l’alerte dans le dépôt et résoudre l’alerte.
- GitHub affiche une alerte sous l’onglet Sécurité du dépôt.
Pour plus d’informations sur l’affichage et la résolution des Alertes d’analyse de secrets, consultez « Gestion des alertes à partir de l’analyse des secrets ».
Pour plus d’informations sur la configuration des notifications pour Alertes d’analyse de secrets, consultez « Configuration des notifications pour les alertes d’analyse des secrets ».
Les administrateurs de référentiel et les propriétaires d’organisation peuvent accorder aux utilisateurs et aux équipes l’accès aux Alertes d’analyse de secrets. Pour plus d’informations, consultez « Gestion des paramètres de sécurité et d’analyse pour votre dépôt ».
Vous pouvez utiliser la vue d’ensemble de la sécurité pour voir au niveau de l’organisation les référentiels où l’secret scanning est activée et les alertes trouvées. Pour plus d’informations, consultez « À propos de la vue d’ensemble de la sécurité ».
Vous pouvez également utiliser l’API REST pour monitorer les résultats de l’secret scanning sur vos référentiels. Pour plus d’informations sur les points de terminaison d’API, consultez « Analyse de secrets ».