Acerca de secret scanning
Si tu proyecto se comunica con un servicio externo, puedes utilizar un token o llave privada para autenticación. Los tokens y llaves privadas son ejemplos de secretos que puede emitir un proveedor de servicios. Si registras un secreto en un repositorio, cualquiera que tenga acceso de lectura al mismo puede utilizarlo para acceder al servicio externo con tus privilegios. Te recomendamos que almacenes los secretos en una ubicación dedicada y segura fuera del repositorio de tu proyecto.
Secret scanning examinará todo el historial de Git en todas las ramas presentes en el repositorio de GitHub para buscar secretos.
Secret scanning está disponible en GitHub.com de dos formas:
-
. Se ejecuta automáticamente en todos los repositorios públicos. Cualquier secuencia que coincida con los patrones que hayan proporcionado los socios del escaneo de secretos se reportarán directamente al socio relevante.
-
. Las organizaciones que usan GitHub Enterprise Cloud con una licencia para GitHub Advanced Security pueden habilitar y configurar exámenes adicionales en los repositorios que pertenecen a la organización. Las cadenas que coinciden con los patrones proporcionados por los partners de exámenes de secretos, por otros proveedores de servicios o definidos por su organización, se notifican como alertas en la pestaña "Seguridad" de los repositorios. Si una cadena de un repositorio público coincide con un patrón de partner, también se le notifica al partner. Para más información, consulta la documentación de GitHub Enterprise Cloud.
Los proveedores de servicio pueden asociarse con GitHub para proporcionar sus formatos de secreto para el escaneo de los mismos. Para obtener información sobre nuestro programa de partners, vea "Programa de partners de Secret scanning".
Acerca de
Cuando haces público a un repositorio o cuando subes cambios a un repositorio público, GitHub siempre escanea el código en busca de los secretos que coinciden con los patrones socios. Si secret scanning detecta un posible secreto, lo notificamos al proveedor del servicio que emitió el secreto. El proveedor de servicios valida la secuencia y luego decide si debería revocar el secreto, emitir uno nuevo o contactarte directamente. Su acción dependerá de los riesgos asociados contigo o con ellos. Para más información, vea "Secretos admitidos para patrones de asociados".
No puedes cambiar la configuración del secret scanning en los repositorios públicos.
Nota: Las organizaciones que utilizan GitHub Enterprise Cloud con la GitHub Advanced Security pueden habilitar el en cualquier repositorio de su propiedad, incluidos los privados. Para obtener más información, vea la documentación de GitHub Enterprise Cloud.