Sobre a secret scanning
Se o seu projeto se comunicar com um serviço externo, você pode usar um token ou uma chave privada para autenticação. Tokens e chaves privadas são exemplos de segredos que um provedor de serviços pode publicar. Se você marcar um segredo em um repositório, qualquer pessoa que tenha acesso de leitura ao repositório pode usar o segredo para acessar o serviço externo com seus privilégios. Recomendamos que você armazene segredos em um local dedicado e seguro fora do repositório do seu projeto.
A Secret scanning verificará todo o histórico do Git em todos os branches presentes no repositório do GitHub em busca de segredos.
O Secret scanning está disponível no GitHub.com em duas formas:
-
. É executado automaticamente em todos os repositórios públicos. As cadeias de caracteres que correspondem aos padrões fornecidos por parceiros da verificação de segredos são relatadas diretamente ao parceiro relevante.
-
. As organizações que usam GitHub Enterprise Cloud com uma licença para GitHub Advanced Security podem habilitar e configurar a verificação adicional de repositórios pertencentes à organização. Todas as cadeias de caracteres que correspondem aos padrões fornecidos por parceiros de verificação secretos, por outros provedores de serviços ou definidas por sua organização, são relatadas como alertas na guia "Segurança" dos repositórios. Se uma cadeia de caracteres em um repositório público corresponder a um padrão de parceiro, ela também será relatada ao parceiro. Para obter mais informações, consulte a documentação de GitHub Enterprise Cloud.
Os provedores de serviço podem fazer parceria com o GitHub para fornecer os respectivos formatos de segredo para verificação. Para saber mais sobre nosso programa de parceiros, confira "Programa de parceiros da Secret scanning"
Sobre o
Ao tornar público um repositório ou enviar por push de alterações em um repositório público, GitHub sempre digitaliza o código para segredos que correspondem a padrões de parceiros. Se secret scanning detecta um segredo em potencial, notificamos o provedor de serviços que emitiu o segredo. O prestador do serviço irá validar a string e, em seguida, decidirá se deve revogar o segredo, emitir um novo segredo ou entrar em contato com você diretamente. A sua ação dependerá dos riscos que associados a você ou a eles. Para obter mais informações, confira "Segredos compatíveis para padrões de parceiro".
Você não pode alterar a configuração de secret scanning em repositórios públicos.
Observação: as organizações que usam o GitHub Enterprise Cloud com o GitHub Advanced Security também podem habilitar a em qualquer repositório do qual sejam o proprietário, incluindo os repositórios privados. Para obter mais informações, confira a documentação do GitHub Enterprise Cloud.