git-secrets

Définition

git-secrets est un outil open source développé par AWS Labs permettant de prévenir l'ajout de secrets et d'informations sensibles dans les dépôts Git. git-secrets configure des hooks Git (pre-commit, commit-msg, prepare-commit-msg) qui scannent automatiquement chaque commit pour détecter des patterns correspondant à des secrets (clés AWS, mots de passe, tokens) avant que ces informations n'atteignent l'historique Git. La particularité de git-secrets est son origine et son design : développé par AWS Labs, il inclut nativement des patterns de détection pour les credentials AWS (AWS Access Key IDs avec le préfixe AKIA/ASIA/AROA, AWS Secret Access Keys), et permet d'ajouter des patterns personnalisés spécifiques à votre organisation. Cette orientation AWS en fait l'outil de référence pour les équipes déployant dans l'environnement AWS et souhaitant prévenir spécifiquement la fuite de credentials AWS. git-secrets fonctionne via un processus de configuration par dépôt (git secrets --install) ou globalement sur l'ensemble des dépôts Git d'une machine (git secrets --install ~/.git-templates/git-secrets). La configuration inclut les patterns à détecter (expressions régulières) et les patterns à autoriser (allowlist pour les faux positifs comme les exemples de documentation). Des profils préconfigurés sont disponibles (git secrets --register-aws pour les patterns AWS) et peuvent être complétés par des patterns personnalisés. Dans le contexte DevSecOps plus large, git-secrets s'inscrit dans une stratégie de défense en profondeur pour la gestion des secrets : hooks pre-commit (git-secrets, detect-secrets) pour la prévention côté développeur, push protection (GitHub Secret Scanning) comme filet de sécurité côté serveur, et scans périodiques de l'historique Git existant (GitLeaks --no-git) pour détecter des secrets précédemment committés non détectés.