Remarque : votre administrateur de site doit activersecret scanning pour votre instance GitHub Enterprise Server afin que vous puissiez utiliser cette fonctionnalité. Pour plus d’informations, consultez « Configuration de l’analyse de secrets pour votre appliance ».
Vous ne pourrez peut-être pas activer ou désactiver lsecret scanning si un propriétaire d’entreprise a défini une stratégie GitHub Advanced Security (GHAS) au niveau de l’entreprise. Pour plus d’informations, consultez « Application de stratégies de sécurité et d’analyse du code pour votre entreprise ».
Activation de analyse des secrets
Vous pouvez activer analyse des secrets pour tout dépôt appartenant à une organisation . Une fois activée, secret scanning recherche les secrets dans l’historique Git de toutes les branches présentes dans votre référentiel GitHub.
Vous pouvez également activer secret scanning pour plusieurs référentiels dans une organisation en même temps. Pour plus d’informations, consultez « Sécurisation de votre organisation ».
Remarque : Si votre organisation appartient à un compte d’entreprise, un propriétaire d’entreprise peut également activer l’secret scanning au niveau de l’entreprise. Pour plus d’informations, consultez « Gestion des fonctionnalités GitHub Advanced Security pour votre entreprise ».
-
Dans votre instance GitHub Enterprise Server, accédez à la page principale du dépôt.
-
Sous le nom de votre dépôt, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.
-
Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité et analyse du code.
-
Si Advanced Security n’est pas déjà activé pour le dépôt, à droite de « GitHub Advanced Security », cliquez sur Activer.
-
Passez en revue l’impact de l’activation d’Advanced Security, puis cliquez sur Activer GitHub Advanced Security pour ce dépôt.
-
Quand vous activez Advanced Security, l’secret scanning peut être automatiquement activée pour le dépôt en raison des paramètres de l’organisation. Si « Secret scanning » s’affiche avec un bouton Activer, vous devez toujours activer l’secret scanning en cliquant sur Activer. Si vous voyez un bouton Désactiver, l’secret scanning est déjà activée.
-
Si vous souhaitez activer la protection des poussées, cliquez sur Activer à droite de « Protection des poussées ». Lorsque vous activez la protection par émission de données pour votre organisation ou votre référentiel, secret scanning vérifie également les envois des secrets avec un taux de confiance élevé (ceux identifiés avec un taux faible de faux positifs). Secret scanning liste les secrets qu’elle détecte afin que l’auteur puisse passer en revue les secrets et les supprimer ou, si nécessaire, autoriser ces secrets à être poussés. Pour plus d’informations, consultez « Protection des poussées pour les référentiels et les organisations ».
Exclusion de répertoires de analyse des secrets
Vous pouvez configurer un fichier secret_scanning.yml pour exclure les répertoires de secret scanning, notamment quand vous utilisez la protection push. Par exemple, vous pouvez exclure des répertoires qui contiennent des tests ou du contenu généré de manière aléatoire.
-
Dans votre instance GitHub Enterprise Server, accédez à la page principale du dépôt.
-
Au-dessus de la liste des fichiers, en utilisant la liste déroulante Ajouter un fichier, cliquez sur Créer un fichier.
-
Dans le champ du nom de fichier, tapez .github/secret_scanning.yml.
-
Sous Modifier le nouveau fichier, tapez
paths-ignore:
suivi des chemins que vous souhaitez exclure de l’secret scanning.paths-ignore: - "foo/bar/*.js"
Vous pouvez utiliser des caractères spéciaux tels que
*
pour filtrer les chemins. Pour plus d’informations sur les modèles de filtre, consultez « Syntaxe de workflow pour GitHub Actions ».Remarques :
- S’il y a plus de 1 000 entrées dans
paths-ignore
, l’secret scanning n’exclut que les 1 000 premiers répertoires des analyses. - Si
secret_scanning.yml
est supérieure à 1 Mo, l’secret scanning ignore la totalité du fichier.
- S’il y a plus de 1 000 entrées dans
Vous pouvez également ignorer des alertes individuelles de l’secret scanning. Pour plus d’informations, consultez « Gestion des alertes à partir de l’analyse des secrets ».