Skip to main content
Nous publions des mises à jour fréquentes de notre documentation, et la traduction de cette page peut encore être en cours. Pour obtenir les informations les plus actuelles, consultez la documentation anglaise.
All products
Sécurité du code

Configuration de l’analyse des secrets pour vos dépôts

Rechercher des secrets2 sur 8 dans le parcours d’apprentissage
Suivant:Définition de modèles personnalisés pour l’analyse des secrets

Dans cet article

Vous pouvez configurer la façon dont GitHub recherche dans vos dépôts des secrets divulgués et génère des alertes.

Qui peut utiliser cette fonctionnalité

People with admin permissions to a repository can enable secret scanning for the repository.

Alertes d’analyse des secrets pour les partenaires s’exécute automatiquement sur les référentiels publics et les packages npm publiques pour informer les fournisseurs de services des fuites de secrets sur GitHub.com.

Les Alertes d’analyse des secrets pour les utilisateurs sont disponibles gratuitement sur tous les dépôts publics. Les organisations qui utilisent GitHub Enterprise Cloud avec une licence pour GitHub Advanced Security peuvent également activer alertes d’analyse des secrets pour les utilisateurs sur leurs dépôts privés et internes. Pour plus d’informations, consultez « À propos de l’analyse des secrets » et « À propos de GitHub Advanced Security ».

Activation de alertes d’analyse des secrets pour les utilisateurs

Vous pouvez activer alertes d’analyse des secrets pour les utilisateurs pour tout dépôt appartenant à une organisation . Une fois activée, secret scanning recherche les secrets dans l’historique Git de toutes les branches présentes dans votre référentiel GitHub. Secret scanning analyse également les descriptions des problèmes et les commentaires pour les secrets.

Remarque : Secret scanning pour les descriptions et les commentaires des problèmes est en version bêta publique et peut faire l’objet de modifications.

Remarque : Si votre organisation appartient à un compte d’entreprise, un propriétaire d’entreprise peut également activer l’secret scanning au niveau de l’entreprise. Pour plus d’informations, consultez « Gestion des fonctionnalités GitHub Advanced Security pour votre entreprise ».

  1. Dans GitHub.com, accédez à la page principale du dépôt. 1. Sous le nom de votre dépôt, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

    Capture d’écran d’un en-tête de dépôt montrant les onglets. L’onglet « Paramètres » est mis en évidence avec un encadré orange foncé.

  2. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité et analyse du code.

  3. Si Advanced Security n’est pas déjà activé pour le dépôt, à droite de « GitHub Advanced Security », cliquez sur Activer. Activez GitHub Advanced Security pour votre dépôt

  4. Passez en revue l’impact de l’activation d’Advanced Security, puis cliquez sur Activer GitHub Advanced Security pour ce dépôt.

  5. Quand vous activez Advanced Security, l’secret scanning peut être automatiquement activée pour le dépôt en raison des paramètres de l’organisation. Si « Secret scanning » s’affiche avec un bouton Activer, vous devez toujours activer l’secret scanning en cliquant sur Activer. Si vous voyez un bouton Désactiver, l’secret scanning est déjà activée.

    Capture d’écran de la section « Secret scanning » de la page « Sécurité et analyse du code », avec le bouton « Activer » mis en évidence dans un contour orange foncé.

  6. Si vous souhaitez activer la protection des poussées, cliquez sur Activer à droite de « Protection des poussées ». Lorsque vous activez la protection des poussées, secret scanning vérifie également les poussées des secrets avec un taux de confiance élevé (ceux identifiés avec un taux faible de faux positifs). Secret scanning liste les secrets qu’elle détecte afin que l’auteur puisse passer en revue les secrets et les supprimer ou, si nécessaire, autoriser ces secrets à être poussés. Pour plus d’informations, consultez « Protection des poussées (push) avec l’analyse des secrets ». Activer la protection des poussées pour votre dépôt

Exclusion de répertoires de alertes d’analyse des secrets pour les utilisateurs

Vous pouvez configurer un fichier secret_scanning.yml pour exclure les répertoires de secret scanning, notamment quand vous utilisez la protection push. Par exemple, vous pouvez exclure des répertoires qui contiennent des tests ou du contenu généré de manière aléatoire.

  1. Dans GitHub.com, accédez à la page principale du dépôt.

  2. Au-dessus de la liste de fichiers, sélectionnez le menu déroulant Ajouter un fichier , puis cliquez sur Créer un fichier.

    Vous pouvez également cliquer sur dans l’arborescence de fichiers à gauche.

    Capture d’écran de la page principale du référentiel. Au-dessus de la liste des fichiers, un bouton, intitulé « Ajouter un fichier », est indiqué en orange foncé. Dans l’arborescence de fichiers du dépôt, un bouton, avec l’icône du signe plus, est également encadré en orange foncé.

  3. Dans le champ du nom de fichier, tapez .github/secret_scanning.yml.

  4. Sous Modifier le nouveau fichier, tapez paths-ignore: suivi des chemins que vous souhaitez exclure de l’secret scanning.

    paths-ignore:
  - "foo/bar/*.js"

    Vous pouvez utiliser des caractères spéciaux tels que * pour filtrer les chemins. Pour plus d’informations sur les modèles de filtre, consultez « Syntaxe de workflow pour GitHub Actions ».

    Remarques :

    • S’il y a plus de 1 000 entrées dans paths-ignore, l’secret scanning n’exclut que les 1 000 premiers répertoires des analyses.
    • Si la taille de secret_scanning.yml est supérieure à 1 Mo, l’secret scanning ignore la totalité du fichier.

Vous pouvez également ignorer des alertes individuelles de l’secret scanning. Pour plus d’informations, consultez « Gestion des alertes à partir de l’analyse des secrets ».

Pour aller plus loin

PrécédentÀ propos de l’analyse des secretsSuivantDéfinition de modèles personnalisés pour l’analyse des secrets