Résolution des alertes à partir de l’analyse des secrets

Après avoir examiné les détails d’une alerte d’analyse secrète, vous devez corriger, puis fermer l’alerte.

Qui peut utiliser cette fonctionnalité ?

Propriétaires de référentiels, propriétaire d’organisations, gestionnaires de sécurité et utilisateurs avec le rôle d’administrateur

Dans cet article

Correction des alertes

Une fois qu’un secret a été commité dans un dépôt, vous devez considérer le secret comme compromis. GitHub recommande les actions suivantes pour les secrets compromis :

  • Vérifiez que le secret validé sur GitHub est valide. Consultez Exécution d’une vérification de validité à la demande.
  • Pour les secrets détectés dans les référentiels privés, signalez le secret divulguée à GitHub, qui le traitera comme n’importe quel secret divulguée publiquement et le révoque. S’applique à GitHub personal access token uniquement. Consultez Signaler un secret divulgué.
  • Passez en revue et mettez à jour tous les services qui utilisent l’ancien jeton. Pour GitHub personal access token, supprimez le jeton compromis et créez un nouveau jeton. Consultez Gestion de vos jetons d'accès personnels.
  • Selon le fournisseur de secret, vérifiez vos journaux de sécurité pour toute activité non autorisée.

Si un secret est détecté dans un dépôt public sur GitHub et qu’il correspond également à un modèle de partenaire, le secret potentiel est automatiquement signalé au fournisseur de services. Pour les détails des modèles de partenaires pris en charge, consultez Modèles d’analyse de secrets pris en charge.

Alertes de fermeture

Note

Secret scanning ne ferme pas automatiquement les alertes lorsque le jeton correspondant a été supprimé du référentiel. Vous devez fermer manuellement ces alertes dans la liste des alertes sur GitHub.

  1. Sur GitHub, accédez à la page principale du référentiel.

  2. Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.

    Capture d’écran d’un en-tête de dépôt montrant les onglets. L’onglet « Sécurité » est mis en évidence avec un encadré orange foncé.

  3. Dans la barre latérale gauche, sous « Alertes de vulnérabilité », cliquez sur Secret scanning .

  4. Sous « Secret scanning », cliquez sur l’alerte que vous souhaitez afficher.

  5. Pour ignorer une alerte, sélectionnez le menu déroulant « Fermer comme », puis cliquez sur un motif pour résoudre une alerte.

    Capture d’écran d’une alerte secret scanning. Un menu déroulant, intitulé « Fermer en tant que », est développé et mis en évidence par un contour orange foncé.

  6. Si vous le souhaitez, dans le champ « Commentaire », ajoutez un commentaire pour l’action Ignorer. Le commentaire de l’action Ignorer est ajouté à la chronologie des alertes et peut être utilisé comme justification lors de l’audit et de la création de rapports. Vous pouvez afficher l’historique de toutes les alertes ignorées et les commentaires de rejet dans la chronologie des alertes. Vous pouvez également récupérer ou définir un commentaire à l’aide de l’API Secret scanning. Le commentaire est contenu dans le champ resolution_comment. Pour plus d’informations, consultez Points de terminaison d’API REST pour l’analyse de secrets dans la documentation de l’API REST.

  7. Cliquez sur Fermer l’alerte.

Étapes suivantes