Les entreprises peuvent désormais s’associer à GitHub pour que leurs propres formats de secrets soient intégrés au système de détection automatique de fuites. Ce programme de partenariat permet, en cas de découverte d’un secret dans une source publique, de transmettre un message directement à un point de terminaison HTTP choisi par le fournisseur de services. L’idée est simple : empêcher l’abus de jetons ou de clés exposés accidentellement dans des dépôts.

GitHub effectue déjà un scan exhaustif de l’historique Git, des dépôts publics comme privés, pour identifier les identifiants codés en dur. Lorsqu’un secret standard est repéré, une alerte est générée dans l’onglet Sécurité et qualité du dépôt. Mais pour les secrets spécifiques à une organisation ou à un service particulier, le mécanisme passe par ce partenariat.

Pour adhérer, il faut contacter l’adresse [email protected]. Le processus exige de fournir des informations précises sur le secret à surveiller : un nom lisible par l’humain, une expression régulière (regex) conçue pour être la plus précise possible – afin de minimiser les faux positifs –, et l’URL d’un service d’alerte. Selon docs.github.com, il faut implémenter une vérification de signature dans ce service récepteur pour s’assurer que le message provient bien de GitHub et n’est pas malveillant.

Ce système ne se contente pas de notifier ; il permet une action en aval. Lorsque GitHub détecte une correspondance pour un secret partenaire dans un contexte public, le payload JSON est envoyé. Ce paquet contient le jeton trouvé, son type unique, l’URL où il apparaît, et la source (qu’il s’agisse du contenu, d’un commit ou d’un titre de pull request).

Le niveau de détail est notable. Le payload répertorie des sources précises, incluant npm pour les paquets, ou action_logs si le secret est trouvé dans un flux de travail GitHub Actions public. De plus, GitHub insiste sur la nécessité de valider les en-têtes HTTP fournis, notamment Github-Public-Key-Identifier et Github-Public-Key-Signature, en utilisant l’algorithme ECDSA-NIST-P256V1-SHA256.

Au-delà de la détection automatique

Ce modèle de détection s’ajoute à une capacité d’extension déjà présente. GitHub propose également la possibilité d’étendre le scan avec des motifs génériques ou des schémas personnalisés pour des secrets non liés à des fournisseurs externes. On peut même utiliser l’IA pour générer ces regex pour des cas complexes. De plus, l’outil permet d’activer des vérifications de validité. Si cette option est activée, le scan peut contacter le service émetteur du secret pour confirmer si celui-ci est toujours actif ou s’il a déjà été révoqué. C’est un pas vers une remédiation plus intelligente, car il permet de prioriser la correction des fuites réelles.

Évolutions récentes du programme

Le programme voit d’ailleurs des évolutions constantes. Récemment, GitHub a intégré SpaceX comme partenaire, ajoutant la détection spécifique au secret starlink_public_api_v2_secret. Par ailleurs, des améliorations ciblées ont été apportées aux détecteurs d’Alibaba, AWS, Google et Tencent, visant à réduire les faux positifs en affinant la manière dont les clés sont interprétées. Par exemple, pour AWS, des suppressions de correspondances non appariées ont été mises en place lors du filtrage par dictionnaire.

Les secrets partenaires sont transmis directement au fournisseur et n’apparaissent pas dans les alertes du dépôt. En revanche, les secrets créés par l’utilisateur génèrent des alertes dans les dépôts, qu’ils soient publics ou privés.

Il reste à observer comment les entreprises vont calibrer leurs regex. Une regex trop permissive risque de submerger les équipes d’opérations avec des fausses alertes, tandis qu’une regex trop stricte pourrait manquer des fuites critiques. Le déploiement de ce partenariat déplace une partie de la responsabilité de la détection vers l’écosystème des fournisseurs, formalisant ainsi une chaîne de confiance entre les développeurs, GitHub et les services d’identité.

Sources

• Secret scanning partner program – GitHub Docs, docs.github.com
• Secret scanning – GitHub Docs, docs.github.com
• Secret scanning upgrades detectors, adds SpaceX as partner, GitHub, 5 novembre 2026

Crédits photo

• Image en une : Wikimedia Foundation Servers-8055 13, par Victorgrigas, CC BY-SA 3.0, via Wikimedia Commons (recadrée)