Skip to main content

Évaluation des alertes à partir de l’analyse des secrets

Découvrez les fonctionnalités supplémentaires qui peuvent vous aider à évaluer les alertes et à hiérarchiser leur correction, telles que la vérification de la validité d’un secret.

Qui peut utiliser cette fonctionnalité ?

People with admin access to a repository can view Alertes d’analyse de secrets for the repository.

Alertes d’analyse des secrets pour les partenaires s’exécute automatiquement sur les référentiels publics et les packages npm publiques pour informer les fournisseurs de services des fuites de secrets sur GitHub.

Les Alertes d’analyse des secrets pour les utilisateurs sont disponibles gratuitement sur tous les dépôts publics appartenant à l’utilisateur. Les organisations qui utilisent GitHub Enterprise Cloud avec une licence pour GitHub Advanced Security peuvent également activer alertes d’analyse des secrets pour les utilisateurs sur leurs dépôts privés et internes. De plus, alertes d’analyse des secrets pour les utilisateurs sont disponibles et en version bêta sur les référentiels appartenant à l’utilisateur pour GitHub Enterprise Cloud avec Enterprise Managed Users. Pour plus d’informations, consultez « À propos des alertes d’analyse des secrets » et « À propos de GitHub Advanced Security ».

Pour plus d’informations sur la façon dont vous pouvez essayer GitHub Advanced Security gratuitement, consultez « Configuration d’un essai de GitHub Advanced Security ».

À propos de l’évaluation des alertes

Certaines fonctions supplémentaires peuvent vous aider à évaluer les alertes afin de mieux les hiérarchiser et les gérer. Vous pouvez :

Vérification de la validité d'un secret

Les vérifications de validité vous aident à classer par ordre de priorité les alertes en vous indiquant quels secrets sont active ou inactive. Un secret active est un secret qui pourrait encore être exploité, de sorte que ces alertes doivent être examinées et corrigées comme une priorité.

Par défaut, GitHub vérifie la validité des jetons GitHub et affiche l’état de validation du jeton dans l’affichage des alertes.

ValiditéÉtatResult
Secret actifactiveGitHub a vérifié auprès du fournisseur de ce secret et a constaté que le secret est actif
Secret éventuellement actifunknownGitHub ne prend pas encore en charge les vérifications de validation pour ce type de jeton
Secret éventuellement actifunknownGitHub n’a pas pu vérifier ce secret
Secret inactifinactiveVous devez vous assurer qu’aucun accès non autorisé n’a déjà eu lieu

Les vérifications de validité des modèles partenaires sont disponibles sur tous les types de référentiels sur GitHub. Pour utiliser cette caractéristique, vous devez disposer d’une licence pour GitHub Advanced Security.

Pour plus d'informations sur la façon d'activer la vérification de validité pour les modèles partenaires, consultez « Activation des vérifications de validité pour votre référentiel ». Pour plus d'informations sur les modèles de partenaires actuellement pris en charge, consultez « Modèles d’analyse de secrets pris en charge ».

Vous pouvez utiliser l’API REST pour récupérer une liste indiquant le statut de validation le plus récent pour chacun de vos jetons. Pour plus d'informations, consultez « Points de terminaison d’API REST pour l’analyse de secrets » dans la documentation de l'API REST. Vous pouvez également utiliser des webhooks pour être informé de l’activité liée à une alerte secret scanning. Pour plus d’informations, consultez l’événement secret_scanning_alert dans « Événements et charges utiles du webhook ».

Exécution d'une vérification de validité à la demande

Une fois que vous avez activé les vérifications de validité des modèles de partenaires pour votre référentiel, vous pouvez effectuer une vérification de validité « à la demande » pour n'importe quel secret pris en charge en cliquant sur Vérifier le secret dans la vue d'alerte. GitHub envoie le modèle au partenaire concerné et affiche l’état de validation du secret dans la vue d’alerte.

Capture d'écran de l'interface utilisateur montrant une alerte secret scanning. Un bouton intitulé « Vérifier le secret » est mis en évidence par un contour orange.

Examen des métadonnées de jeton GitHub

Note

Les métadonnées des jetons GitHub sont actuellement en version bêta publique et sont susceptibles d’être modifiées.

Dans la vue d’une alerte de jeton GitHub active, vous pouvez passer en revue certaines métadonnées relatives au jeton. Ces métadonnées peuvent vous aider à identifier le jeton et à déterminer les étapes de correction à prendre.

Les jetons, comme personal access token et d’autres informations d’identification, sont considérés comme des informations personnelles. Pour plus d’informations sur l’utilisation des jetons GitHub, consultez Déclaration de confidentialité et Stratégies d’utilisation acceptable de GitHub.

Capture d’écran de l’interface utilisateur d’un jeton GitHub, montrant les métadonnées de jeton.

Les métadonnées des jetons GitHub sont disponibles pour les jetons actifs dans n’importe quel dépôt où l’analyse des secrets est activée. Si un jeton a été révoqué ou si son état ne peut pas être validé, les métadonnées ne sont pas disponibles. GitHub révoque automatiquement les jetons GitHub dans les dépôts publics, il est donc peu probable que les métadonnées des jetons GitHub dans les dépôts publics soient disponibles. Les métadonnées suivantes sont disponibles pour les jetons GitHub actifs :

MétadonnéesDescription
Nom du secretNom donné au jeton GitHub par son créateur
Propriétaire du secretHandle GitHub du propriétaire du jeton
Créé leDate de création du jeton
A expiré leDate d’expiration du jeton
Dernière utilisation leDate de la dernière utilisation du jeton
AccèsSi le jeton dispose ou non d’un accès à l’organisation

Seules les personnes disposant d’autorisations d’administrateur dans le référentiel contenant un secret divulgué peuvent afficher les détails de l’alerte de sécurité et les métadonnées de jeton pour une alerte. Les propriétaires d’entreprise peuvent demander un accès temporaire au référentiel à cet effet. Si l’accès est accordé, GitHub avertit le propriétaire du référentiel contenant le secret divulgué, reportez l’action dans le propriétaire du référentiel et dans les journaux d’audit d’entreprise et activez l’accès pendant 2 heures. Pour plus d’informations, consultez « Accès aux dépôts appartenant aux utilisateurs dans votre entreprise ».

Étapes suivantes