Skip to main content

À propos de l’analyse du code

Vous pouvez utiliser l’code scanning pour rechercher des vulnérabilités de sécurité et des erreurs dans le code de votre projet sur GitHub.

Code scanning est disponible pour les dépôts appartenant à l’organisation dans GitHub Enterprise Server. Cette fonctionnalité nécessite une licence pour GitHub Advanced Security. Pour plus d’informations, consultez « À propos de GitHub Advanced Security ».

Remarque : Votre administrateur de site doit activer l’code scanning pour your GitHub Enterprise Server instance afin que vous puissiez utiliser cette fonctionnalité. Pour plus d’informations, consultez « Configuration de code scanning pour votre appliance ».

À propos de l’code scanning

Code scanning est une fonctionnalité que vous utilisez pour analyser le code dans un dépôt GitHub afin de détecter d’éventuelles vulnérabilités de sécurité et erreurs de codage. Tous les problèmes identifiés par l’analyse sont affichés dans GitHub Enterprise Server.

Vous pouvez utiliser l’code scanning pour rechercher, trier et hiérarchiser les correctifs pour les problèmes existants dans votre code. L’Code scanning empêche également les développeurs d’introduire de nouveaux problèmes. Vous pouvez planifier des analyses pour des jours et des heures spécifiques, ou déclencher des analyses quand un événement spécifique se produit dans le dépôt, comme une poussée (push).

Si l’code scanning trouve une vulnérabilité ou une erreur potentielle dans votre code, GitHub affiche une alerte dans le dépôt. Une fois que vous avez corrigé le code qui a déclenché l’alerte, GitHub ferme celle-ci. Pour plus d’informations, consultez « Gestion des alertes d’code scanning pour votre dépôt ».

Pour superviser les résultats de l’code scanning sur vos dépôts ou votre organisation, vous pouvez utiliser des webhooks et l’API d’code scanning. Pour plus d’informations sur les webhooks pour l’code scanning, consultez « Événements et charges utiles de webhook ». Pour plus d’informations sur les points de terminaison d’API, consultez « Code scanning ».

Pour bien démarrer avec l’code scanning, consultez « Configuration de l’code scanning pour un référentiel ».

À propos des outils pour l’code scanning

Vous pouvez configurer l’code scanning pour utiliser le produit CodeQL géré par GitHub ou un outil d’code scanning tiers.

À propos de l’analyse CodeQL

CodeQL est le moteur d’analyse de code développé par GitHub pour automatiser les vérifications de sécurité. Vous pouvez analyser votre code à l’aide de CodeQL et afficher les résultats sous forme d’alertes d’code scanning. Pour plus d’informations sur CodeQL, consultez « À propos de l’analyse du code avec CodeQL ».

À propos des outils d’code scanning tiers

L’Code scanning présente des caractéristiques d’interopérabilité. Elle peut fonctionner avec des outils d’analyse du code tiers qui génèrent des données SARIF (Static Analysis Results Interchange Format). Le format SARIF est un standard ouvert. Pour plus d’informations, consultez « Sortie SARIF pour l’code scanning ».

Vous pouvez exécuter des outils d’analyse tiers dans GitHub Enterprise Server en utilisant des actions ou dans un système CI externe. Pour plus d’informations, consultez « Configuration de code scanning pour un référentiel » ou « Chargement d’un fichier SARIF dans GitHub ».