GitHub Secret Scanning

Définition

GitHub Secret Scanning est une fonctionnalité de sécurité native de la plateforme GitHub qui analyse automatiquement les dépôts à la recherche de secrets et credentials exposés. Disponible gratuitement pour les dépôts publics depuis 2018, et incluse dans GitHub Advanced Security pour les dépôts privés, cette fonctionnalité protège contre l'exposition accidentelle de tokens, clés API, certificats et autres credentials sensibles dans le code source. Le service GitHub Secret Scanning fonctionne en collaboration avec des partenaires (GitHub Secret Scanning Partners) : plus de 100 fournisseurs de services (AWS, Google, Slack, Stripe, Twilio, et bien d'autres) ont partagé leurs patterns de tokens avec GitHub. Quand un token correspondant à ces patterns est détecté dans un commit, GitHub notifie automatiquement le fournisseur de service concerné qui peut alors révoquer immédiatement le token compromis, minimisant la fenêtre d'exposition même si le développeur n'a pas encore été alerté. Pour les dépôts privés avec GitHub Advanced Security, GitHub Secret Scanning ajoute des fonctionnalités supplémentaires : alerts centralisées dans l'onglet Security du dépôt avec possibilité de triage (dismiss with reason : false positive, used in tests, revoked), historique des secrets détectés, metrics de couverture, et intégration avec les webhooks pour des workflows de réponse automatisés. La fonctionnalité Push Protection est un mécanisme préventif complémentaire : elle analyse les commits avant leur publication (push) et bloque les pushs contenant des secrets détectés, avec option de contournement documenté (bypass with justification) pour les cas légitimes (tests avec valeurs factices bien identifiées). Push Protection est activable en mode "Required" pour imposer le blocage à tous les collaborateurs ou en mode "Allowed" pour les laisser contourner avec une justification. GitHub Secret Scanning se complète idéalement avec des hooks pre-commit locaux (detect-secrets, GitLeaks) pour la détection avant même le push, créant une défense en profondeur : détection locale → Push Protection → scan post-push.