bige
Un nouveau périmètre pour le secret scanning
GitHub peut désormais analyser les logs GitHub Actions à la recherche de secrets correspondant à des motifs de fournisseurs. À la fin d’un workflow, les résultats rejoignent la liste des alertes de secret scanning avec un lien vers le log concerné. Les contrôles de validité disponibles sont aussi appliqués aux types de secrets pris en charge.
L’intérêt est concret : une valeur absente du dépôt peut tout de même fuiter dans la sortie d’une commande, un message d’erreur, un mode debug ou l’affichage accidentel d’un environnement.
Une préversion avec des limites importantes
Cette fonction est une public preview réservée aux entreprises GitHub Enterprise Cloud disposant de GitHub Secret Protection ou GitHub Advanced Security, y compris avec résidence des données sur GHE.com. Elle est désactivée par défaut et s’active dans les politiques Advanced Security de l’entreprise.
Il n’y a pas de reprise des anciens logs : seuls les workflows terminés après l’activation sont analysés. Les motifs génériques, les motifs personnalisés, les détections assistées par IA et les secrets déjà masqués ne sont pas couverts dans cette préversion. GitHub précise aussi que les alertes issues des logs ne déclenchent pas encore de notification.
Scanner ne remplace pas la prévention
Un secret écrit dans un log doit être considéré comme exposé, même si le log est supprimé ensuite. L’alerte reste d’ailleurs visible après cette suppression. La réponse consiste à révoquer ou faire tourner la valeur, vérifier les usages et corriger la commande qui l’a affichée.
La prévention reste prioritaire : limiter les permissions des tokens, préférer des identités courtes ou fédérées, masquer explicitement les valeurs sensibles, éviter les traces shell trop verbeuses et relire les artefacts de diagnostic avant de les publier.
Pour les organisations qui ne disposent pas de cette préversion, les mêmes règles s’appliquent. Un contrôle dédié peut compléter la CI, mais aucun scanner ne garantit qu’un secret inconnu ou transformé sera reconnu.