À propos de la page d'alerte secret scanning
Quand vous activez l’secret scanning pour un dépôt ou que vous poussez des commits sur un dépôt où l’secret scanning est activée, GitHub recherche dans le contenu des secrets qui correspondent aux modèles définis par les fournisseurs de services et à tous les modèles personnalisés définis dans votre entreprise, organisation ou dépôt.
Lorsque secret scanning détecte un secret, GitHub génère une alerte. GitHub affiche une alerte sous l’onglet Sécurité du dépôt.
Pour vous aider à trier les alertes plus efficacement, GitHub sépare les alertes en deux listes :
- Alertes à haut niveau de confiance.
- Alertes Autres.
Liste des alertes à haut niveau de confiance
La liste des alertes « à haut niveau de confiance » affiche les alertes relatives aux modèles pris en charge et aux modèles personnalisés spécifiés. Cette liste est toujours l'affichage par défaut de la page alertes.
Liste des alertes Autres
La liste des alertes « Autres » affiche des alertes qui concernent des modèles non fournisseurs (tels que des clés privées). Ces types d'alertes ont un taux plus élevé de faux positifs.
En outre, les alertes qui appartiennent à cette catégorie :
- Sont limitées en quantité à 5 000 alertes par référentiel (cela inclut les alertes ouvertes et fermées).
- Ne sont pas affichés dans les vues récapitulatives de la vue d'ensemble de la sécurité, mais uniquement dans la vue « Secret scanning ».
- Seuls les cinq premiers emplacements détectés sont affichés sur GitHub pour les modèles non fournisseurs.
Pour que GitHub recherche des motifs non fournisseurs, vous devez d'abord activer la fonctionnalité pour votre référentiel ou votre organisation. Pour plus d'informations, consultez « Activation de l’analyse du secret des modèles non fournisseurs. »
Affichage des alertes
Les alertes pour secret scanning s’affichent sous l’onglet Sécurité du référentiel.
- Dans votre instance GitHub Enterprise Server, accédez à la page principale du dépôt.
- Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.
- Dans la barre latérale gauche, sous « Alertes de vulnérabilité », cliquez sur Secret scanning .
- Si vous le souhaitez, vous pouvez basculer sur « Autre » pour consulter les alertes relatives aux modèles non fournisseurs.
- Sous « Secret scanning », cliquez sur l’alerte que vous souhaitez afficher.
Filtrage des alertes
Vous pouvez appliquer différents filtres à la liste des alertes pour vous aider à trouver celles qui vous intéressent. Vous pouvez utiliser les menus déroulants au-dessus de la liste des alertes ou entrer les qualificateurs répertoriés dans la table dans la barre de recherche.
| Qualificateur | Description |
|---|---|
is:open | Affiche les alertes ouvertes. |
is:closed | Affiche les alertes fermées. |
validity:active | Affiche des alertes pour les secrets qui sont connus comme actifs. Pour plus d'informations sur les états de validité, consultez « Évaluation des alertes à partir de l’analyse des secrets ». |
validity:inactive | Affiche des alertes pour les secrets qui ne sont plus actifs. |
validity:unknown | Affiche des alertes pour les secrets où l'état de validité du secret est inconnu. |
secret-type:SECRET-NAME | Affiche des alertes pour un type de secret spécifique, par exemple secret-type:github_personal_access_token. Pour une liste des types de secret pris en charge, consultez « Modèles d’analyse de secrets pris en charge. » |
provider:PROVIDER-NAME | Affiche des alertes pour un fournisseur spécifique, par exemple provider:github. Pour obtenir la liste des partenaires pris en charge, consultez « Modèles d’analyse de secrets pris en charge ». |
confidence:high | Affiche des alertes pour les secrets à haut niveau de confiance, qui sont liés aux secrets pris en charge et aux modèles personnalisés. Pour obtenir la liste des modèles à haut niveau de confiance pris en charge, consultez « Modèles d’analyse de secrets pris en charge .» |
confidence:other | Affiche des alertes pour les motifs non liés au fournisseur, tels que les clés privées. Pour obtenir la liste des modèles non fournisseurs pris en charge, consultez « Modèles d’analyse de secrets pris en charge. » |