Fuite de secrets dans dépôts Git

Définition

La fuite de secrets dans dépôts Git désigne la présence d'informations sensibles, clés d'API, identifiants de base de données, certificats privés ou jetons d'authentification, accidentellement inclus dans un dépôt de code source versionné avec le système Git et rendu public, que ce soit intentionnellement lors d'une publication en open source ou par erreur de configuration de visibilité d'un dépôt destiné à rester privé. La particularité critique de cette classe d'exposition réside dans la nature même du système de versionnage : même si le secret est supprimé dans un commit ultérieur, il demeure généralement parfaitement récupérable dans l'historique complet des versions précédentes du dépôt, sauf réécriture explicite et complète de cet historique, une opération rarement effectuée par réflexe lorsque la fuite n'est découverte que tardivement après plusieurs cycles de développement supplémentaires. Des outils automatisés spécialisés parcourent en continu les plateformes d'hébergement de code public à la recherche de motifs caractéristiques de secrets, souvent en quelques minutes après leur publication accidentelle. Pour les équipes de développement, la contre-mesure repose sur l'intégration systématique d'un outil de détection de secrets directement dans le pipeline d'intégration continue, bloquant tout commit contenant un motif suspect avant même sa publication, ainsi qu'une rotation immédiate et systématique de tout secret ayant pu être exposé, indépendamment de sa suppression ultérieure du code.