Création d’une configuration de sécurité personnalisée

Créez une custom security configuration pour répondre aux besoins de sécurité spécifiques des référentiels de votre organisation.

Qui peut utiliser cette fonctionnalité ?

Propriétaires de l’organisation, gestionnaires de sécurité et membres de l’organisation avec le rôle d’administrateur

Dans cet article

À propos de custom security configurations

Nous vous recommandons de sécuriser votre organisation avec la GitHub-recommended security configuration, puis d’évaluer les résultats de sécurité sur vos dépôts avant de configurer les custom security configurations. Pour plus d’informations, consultez « Application de la configuration de sécurité recommandée par GitHub dans votre organisation ».

Avec les custom security configurations, vous pouvez créer des collections de paramètres d’activation pour les produits de sécurité de GitHub pour répondre aux besoins de sécurité spécifiques de votre organisation. Par exemple, vous pouvez créer une custom security configuration différente pour chaque groupe de référentiels afin de refléter leurs différents niveaux de visibilité, de tolérance au risque et d’impact.

Vous pouvez également choisir d’inclure ou non les fonctionnalités GitHub Code Security ou GitHub Secret Protection dans une configuration. Si vous le faites, gardez à l’esprit que ces fonctionnalités entraînent des coûts d’utilisation (ou nécessitent des licences GitHub Advanced Security) lorsqu’elles sont appliquées à des référentiels privés et internes. Pour plus d’informations, consultez À propos de GitHub Advanced Security.

Important

L’ordre et les noms de certains paramètres diffèrent selon que vous utilisez des licences pour le produit d’origine GitHub Advanced Security ou pour les deux nouveaux produits : GitHub Code Security et GitHub Secret Protection. Consultez Créer une configuration GitHub Advanced Security ou Créer une configuration Secret Protection and Code Security .

Création d’une configuration Secret Protection and Code Security

  1. Dans le coin supérieur droit de GitHub, sélectionnez votre photo de profil, puis cliquez sur Vos organisations.

  2. Sous le nom de votre organisation, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

    Capture d’écran des onglets dans le profil d’une organisation. L’onglet « Paramètres » est présenté en orange foncé.

  3. Dans la section « Sécurité » de la barre latérale, sélectionnez le menu déroulant Advanced Security, puis cliquez sur Configurations.

  4. Dans la section « Security configurations », cliquez sur Nouvelle configuration.

  5. Pour vous aider à identifier votre custom security configuration et clarifier son objectif sur la page « Security configurations », nommez votre configuration et créez une description.

  6. Vous pouvez également activer « Secret Protection », une fonctionnalité payante pour les référentiels privés et internes . L’activation de Secret Protection active les alertes pour secret scanning. De plus, vous pouvez choisir d’activer, de désactiver ou de conserver les paramètres existants pour les fonctionnalités suivantes secret scanning :

  7. Vous pouvez également activer « Code Security », une fonctionnalité payante pour les référentiels privés et internes . Vous pouvez choisir d’activer, de désactiver ou de conserver les paramètres existants pour les fonctionnalités suivantes code scanning :

  8. Toujours sous « Code Security », dans le tableau « Analyse des dépendances », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités d’analyse des dépendances suivantes :

  9. Pour le « Signalement privé des vulnérabilités », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants. Pour en savoir plus sur les rapports de vulnérabilité privés, consultez Configuration de rapports de vulnérabilité privés pour un dépôt.

  10. Vous pouvez également, dans la section « Stratégie », utiliser des options supplémentaires pour contrôler la manière dont la configuration est appliquée :

    • Utilisation par défaut pour les référentiels nouvellement créés. Sélectionnez le menu déroulant Aucun , puis cliquez sur Publique, Privé et interne, ou Tous les référentiels.

      Remarque

      La security configuration par défaut d’une organisation est uniquement appliquée automatiquement aux nouveaux référentiels créés dans votre organisation. Si un référentiel est transféré dans votre organisation, vous devez toujours appliquer manuellement une security configuration au référentiel.

    • Appliquer la configuration. Bloquer les propriétaires de référentiels de blocs pour qu’ils ne modifient pas les fonctionnalités activées ou désactivées par la configuration (les fonctionnalités qui ne sont pas définies ne sont pas appliquées). Sélectionnez Appliquer dans le menu déroulant.

  11. Pour terminer la création de votre custom security configuration, cliquez sur Enregistrer la configuration.

Remarque

Si un utilisateur de votre entreprise tente de modifier l'état d'activation d'une fonctionnalité dans une configuration imposée à l'aide de l'API REST, l'appel à l'API semblera réussir, mais aucun état d'activation ne sera modifié.

Certaines situations peuvent compromettre l'application des security configurations pour un référentiel. Par exemple, l'activation de code scanning ne s'appliquera pas à un référentiel si :

  • GitHub Actions est initialement activée sur le référentiel, mais est ensuite désactivée dans le référentiel.
  • Les GitHub Actions requises par les code scanning configurations ne sont pas disponibles dans le référentiel.
  • La définition des langues qui ne doivent pas être analysées à l'aide de code scanning est modifiée.

Création d’une configuration GitHub Advanced Security

  1. Dans le coin supérieur droit de GitHub, sélectionnez votre photo de profil, puis cliquez sur Vos organisations.

  2. Sous le nom de votre organisation, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

    Capture d’écran des onglets dans le profil d’une organisation. L’onglet « Paramètres » est présenté en orange foncé.

  3. Dans la section « Sécurité » de la barre latérale, sélectionnez le menu déroulant Advanced Security, puis cliquez sur Configurations.

  4. Dans la section « Configurations de sécurité », cliquez sur Nouvelle configuration.

  5. Pour faciliter l’identification de votre custom security configuration et clarifier son objectif sur la page « Nouvelle configuration », nommez votre configuration et créez une description.

  6. Sur la ligne « Fonctionnalités GitHub Advanced Security », choisissez d’inclure ou d’exclure les fonctionnalités GitHub Advanced Security (GHAS).

  7. Dans le tableau « Secret scanning », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités de sécurité suivantes :

  8. Dans le tableau « Code scanning », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour la configuration par défaut de code scanning.

  9. Dans le tableau « Analyse des dépendances », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités d’analyse des dépendances suivantes :

  10. Pour le « Signalement privé des vulnérabilités », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants. Pour en savoir plus sur les rapports de vulnérabilité privés, consultez Configuration de rapports de vulnérabilité privés pour un dépôt.

  11. Vous pouvez également, dans la section « Stratégie », utiliser des options supplémentaires pour contrôler la manière dont la configuration est appliquée :

    • Utilisation par défaut pour les référentiels nouvellement créés. Sélectionnez le menu déroulant Aucun , puis cliquez sur Publique, Privé et interne, ou Tous les référentiels.

      Remarque

      La security configuration par défaut d’une organisation est uniquement appliquée automatiquement aux nouveaux référentiels créés dans votre organisation. Si un référentiel est transféré dans votre organisation, vous devez toujours appliquer manuellement une security configuration au référentiel.

    • Appliquer la configuration. Bloquer les propriétaires de référentiels de blocs pour qu’ils ne modifient pas les fonctionnalités activées ou désactivées par la configuration (les fonctionnalités qui ne sont pas définies ne sont pas appliquées). Sélectionnez Appliquer dans le menu déroulant.

  12. Pour terminer la création de votre custom security configuration, cliquez sur Enregistrer la configuration.

Étapes suivantes

Pour appliquer votre custom security configuration aux référentiels de votre organisation, consultez Application d’une configuration de sécurité personnalisée.

Pour savoir comment modifier votre custom security configuration, consultez Modification d’une configuration de sécurité personnalisée.