Sobre as verificações de validade
Você pode habilitar verificações de validade para segredos identificados como tokens de provedor de serviços para seu repositório. Uma vez habilitadas, o GitHub fará verificações periódicas da validade de uma credencial detectada enviando o segredo diretamente ao provedor, como parte do programa de parceria de verificação de segredo do GitHub. Para saber mais sobre nosso programa de parceiros, confira "Programa de verificação de segredo de parceiros".
O GitHub exibe o status de validação do segredo na exibição de alertas para que você possa ver se o segredo está active ou inactive ou se o status da validação é unknown. Opcionalmente, você pode executar uma verificação de validade "sob demanda" para o segredo na exibição de alerta.
Além disso, você pode optar por habilitar as verificações de validade para encontrar padrões de parceiros. Uma vez habilitado, o GitHub fará verificações periódicas da validade de uma credencial detectada enviando o segredo diretamente ao provedor, como parte do programa de parceria de verificação de segredo formal do GitHub. O GitHub normalmente faz solicitações GET para verificar a validade da credencial, seleciona os pontos de extremidade menos intrusivos e os que não retornam informações pessoais.
O GitHub exibe o status de validação do segredo na exibição de alertas.
Você pode filtrar por status de validação na página de alertas para ajudar a priorizar em quais alertas você precisa agir.
Note
O GitHub normalmente faz solicitações GET para verificar a validade da credencial, seleciona os pontos de extremidade menos intrusivos e os que não retornam informações pessoais.
Para obter mais informações sobre verificações de validade, consulte "Avaliando alertas da verificação de segredos".
Habilitando verificações de validade
-
Em GitHub, acesse a página principal do repositório.
-
Abaixo do nome do repositório, clique em Configurações. Caso não consiga ver a guia "Configurações", selecione o menu suspenso , clique em Configurações.
-
Na seção "Segurança" da barra lateral, clique em Segurança de código e análise.
-
Em Secret scanning, marque a caixa de seleção ao lado da opção "Verificar automaticamente se um segredo é válido enviando-o ao parceiro relevante".
Também é possível usar a API REST para habilitar verificações de validade para padrões de parceiros para seu repositório. Para obter mais informações, confira "Pontos de extremidade da API REST para repositórios".
Como alternativa, os proprietários e administradores da organização podem habilitar o recurso para todos os repositórios nas configurações da organização ou da empresa. Para obter mais informações sobre como habilitar nível da organização, confira "Creating a custom security configuration". Para obter mais informações sobre como habilitar no nível empresarial, consulte "AUTOTITLE" e "Pontos de extremidade da API REST para segurança e análise de código corporativo".