À propos des types d’alertes
À propos des Alertes de détection de secrets
Quand vous activez l’secret scanning pour un dépôt ou que vous poussez des commits sur un dépôt où l’secret scanning est activée, GitHub recherche dans le contenu des secrets qui correspondent aux modèles définis par les fournisseurs de services et à tous les modèles personnalisés définis dans votre entreprise, organisation ou dépôt.
Lorsque secret scanning détecte un secret, GitHub génère une alerte. GitHub affiche une alerte sous l’onglet Sécurité du dépôt.
Pour vous aider à trier les alertes plus efficacement, GitHub sépare les alertes en deux listes :
-
Alertes **par défaut** - Alertes génériques
Liste des alertes par défaut
La liste des alertes par défaut affiche les alertes relatives aux modèles pris en charge et aux modèles personnalisés spécifiés. Il s’agit de la vue principale des alertes.
Liste des alertes génériques
La liste des alertes génériques affiche les alertes liées à des modèles non fournisseurs (tels que les clés privées). Ces types d'alertes peuvent avoir un taux plus élevé de faux positifs ou de secrets utilisés dans les tests. Vous pouvez basculer vers la liste des alertes génériques à partir de la liste des alertes par défaut.
GitHub continuera à publier de nouveaux modèles et types de secrets sur la liste des alertes génériques et les promouvra vers la liste par défaut lorsque feature-complete (autrement dit, lorsqu’ils ont un taux de faux positifs et de volume suffisamment faible).
En outre, les alertes qui appartiennent à cette catégorie :
- Sont limitées en quantité à 5 000 alertes par référentiel (cela inclut les alertes ouvertes et fermées).
- Ne sont pas affichés dans les vues récapitulatives de la vue d’ensemble de la sécurité, mais uniquement dans la vue « Secret scanning ».
- Seuls les cinq premiers emplacements détectés sont affichés sur GitHub pour les modèles non fournisseurs.
Pour que GitHub recherche des modèles non fournisseurs, vous devez d’abord activer la fonctionnalité pour votre référentiel ou votre organisation. Pour plus d'informations, consultez Activation de l’analyse du secret pour les modèles non fournisseurs.
À propos des alertes de protection des poussées
La protection des pushes analyse les pushes à la recherche de secrets pris en charge. Si la protection des pushes détecte un secret pris en charge, le push est bloqué. Lorsqu’un contributeur contourne la protection des pushes pour envoyer un secret vers le dépôt, une alerte de protection des pushes est générée et affichée dans l’onglet Sécurité du dépôt. Pour afficher toutes les alertes de protection des pushes d’un dépôt, vous devez filtrer par bypassed: true sur la page des alertes. Pour plus d’informations, consultez « Affichage et filtrage des alertes à partir de l’analyse des secrets ».
Remarque
Les versions antérieures de certains jetons peuvent ne pas être prises en charge par la protection des poussées, car ces jetons peuvent générer un nombre plus élevé de faux positifs que leur version la plus récente. La protection des poussées peut également ne pas s’appliquer aux jetons hérités. Pour les jetons tels que les clés de stockage Azure, GitHub prend uniquement en charge les jetons récemment créés, pas les jetons qui correspondent aux modèles hérités. Pour plus d’informations sur les limitations de la protection des poussées, consultez Étendue de détection lors de l'analyse des secrets.
Lectures complémentaires
-
[AUTOTITLE](/code-security/reference/secret-security/supported-secret-scanning-patterns) -
[AUTOTITLE](/code-security/how-tos/secure-your-secrets/detect-secret-leaks/enabling-secret-scanning-for-non-provider-patterns)