Acerca de la página de alertas del secret scanning
Cuando el secret scanning se habilita en un repositorio o se insertan confirmaciones en un repositorio con secret scanning habilitado, GitHub examina el contenido en busca de secretos que coincidan con los patrones definidos por proveedores de servicios.
Cuando el secret scanning detecte un secreto, GitHub generará una alerta. GitHub muestra una alerta en la pestaña Seguridad del repositorio.
Para ayudarle a evaluar las alertas de forma más eficaz, GitHub separa las alertas en dos listas:
- Alertas predeterminadas
- Alertas experimentales
Lista de alertas predeterminadas
La lista de alertas predeterminadas muestra alertas que se relacionan con los patrones admitidos y los patrones personalizados especificados. Esta es la vista principal de las alertas.
Lista de alertas experimentales
La lista de alertas experimentales muestra alertas relacionadas con patrones que no son de proveedor (como claves privadas), o secretos genéricos detectados mediante IA (por ejemplo, contraseñas). Estos tipos de alertas pueden tener una tasa más alta de falsos positivos o secretos usados en las pruebas. Puede alternar con la lista de alertas experimentales de la lista de alertas predeterminadas.
Además, las alertas que se incluyen en esta categoría:
- Se limitan en cantidad a 5000 alertas por repositorio (esto incluye alertas abiertas y cerradas).
- No se muestran en las vistas de resumen de información general sobre seguridad, solo en la vista "Secret scanning".
- Solo muestran las cinco primeras ubicaciones detectadas en GitHub para los patrones que no son de proveedor, y solo la primera ubicación detectada para secretos genéricos detectados por IA.
Para que GitHub busque patrones que no son de proveedor y secretos genéricos, primero debes habilitar las características para el repositorio o la organización. Para obtener más información, consulta Habilitación del análisis de secretos para patrones que no son de proveedor y Habilitación de la detección de secretos genéricos del análisis de secretos de Copilot".
GitHub seguirá liberando nuevos patrones y tipos de secretos en la lista de alertas experimentales y los promoverá a la lista predeterminada cuando se complete la característica (por ejemplo, cuando tengan un volumen bajo y una tasa de falsos positivos adecuados).
Visualización de alertas
Las alertas de secret scanning se muestran en la pestaña Seguridad del repositorio.
- En GitHub, navegue hasta la página principal del repositorio.
- En el nombre del repositorio, haz clic en Seguridad. Si no puedes ver la pestaña "Seguridad", selecciona el menú desplegable y, a continuación, haz clic en Seguridad.
- En la barra lateral de la izquierda, en "Alertas de vulnerabilidad", haz clic en Secret scanning .
- Opcionalmente, cambia a "Experimentales" para ver las alertas de patrones que no son de proveedor o secretos genéricos detectados mediante IA.
- En "Secret scanning", haz clic en la alerta que quieres ver.
Filtrado de alertas
Puedes aplicar varios filtros a la lista de alertas para ayudarte a encontrar las alertas que te interesan. Puedes usar los menús desplegables situados encima de la lista de alertas o escribir los calificadores enumerados en la tabla en la barra de búsqueda.
| Calificador: | Descripción |
|---|---|
is:open | Muestra alertas abiertas. |
is:closed | Muestra alertas cerradas. |
is:publicly-leaked | Muestra alertas de secretos que se han encontrado en un repositorio público. |
is:multi-repository | Muestra alertas de secretos que se han encontrado en más de un repositorio dentro de la misma organización o empresa. |
bypassed: true | Muestra alertas de secretos en los que se ha omitido la protección de inserción. Para más información, consulta Acerca de la protección de inserción. |
validity:active | Muestra alertas de secretos que se sabe que ya no están activos. Solo se aplica a los tokens de GitHub a menos que habilites comprobaciones de validez.Para obtener más información sobre los estados de validez, consulta Evaluación de alertas del examen de secretos. |
validity:inactive | Muestra alertas de secretos que ya no están activos. |
validity:unknown | Muestra alertas de secretos en los que se desconoce el estado de validez del secreto. |
secret-type:SECRET-NAME | Muestra alertas para un tipo de secreto específico, por ejemplo, secret-type:github_personal_access_token. Para obtener una lista de los tipos de secretos compatibles, consulta Patrones de examen de secretos admitidos. |
provider:PROVIDER-NAME | Muestra alertas para un proveedor específico, por ejemplo, provider:github. Para obtener una lista de los asociados compatibles, consulta Patrones de examen de secretos admitidos. |
results:default | Muestra alertas para los secretos admitidos y los patrones personalizados. Para obtener una lista de los patrones compatibles, consulta Patrones de examen de secretos admitidos. |
results:experimental | Muestra alertas para patrones que no son de proveedor, como claves privadas. Para obtener una lista de los patrones que no son de proveedor compatibles, consulta Patrones de examen de secretos admitidos. Para obtener más información sobre los secretos genéricos detectados mediante IA, consulta Detección responsable de secretos genéricos con el análisis de secretos de Copilot. |