Pre-commit Secret Hook

Définition

Un Pre-commit Secret Hook (hook pre-commit de détection de secrets) est un script ou outil exécuté automatiquement par Git avant la création d'un commit, dont la mission est de détecter la présence de secrets (clés API, mots de passe, tokens, certificats privés) dans les fichiers en cours d'ajout à l'historique Git. Si des secrets sont détectés, le hook interrompt le commit et alerte le développeur, évitant ainsi l'enregistrement de credentials dans l'historique Git immuable. Le problème adressé par les pre-commit secret hooks est fondamental : une fois qu'un secret est commité dans Git, même s'il est supprimé dans un commit ultérieur, il reste permanent dans l'historique du dépôt et potentiellement dans des forks, des clones, et des sauvegardes. La suppression d'un secret de l'historique Git nécessite une réécriture de l'historique (git filter-branch, BFG Repo Cleaner) qui est perturbatrice pour l'équipe et potentiellement incomplète si des forks existent. La prévention au stade du commit est infiniment plus simple et moins risquée. Les implémentations les plus courantes de pre-commit secret hooks utilisent le framework pre-commit.com (hooks.yaml dans le dépôt) avec des intégrations pour detect-secrets (Yelp), GitLeaks, TruffleHog, ou GitGuardian ggshield. Ces outils s'installent via pip install pre-commit et se configurent via un fichier .pre-commit-config.yaml versionnée dans le dépôt, assurant que tous les développeurs du projet utilisent les mêmes hooks. La gestion des faux positifs est un aspect critique : un hook trop sensible qui bloque des tokens d'exemple, des clés de test publiques, ou des chaînes de haute entropie légitimes (hashes, encodages base64 de données non-sensibles) génère de la frustration et pousse les développeurs à désactiver le hook. Des mécanismes d'exception (inline comments git-crypt-ignore, fichiers .secrets.baseline pour detect-secrets) permettent de marquer les faux positifs pour les exclure des alertes futures sans désactiver le hook.