5 ноября GitHub сообщила об обновлении secret scanning: SpaceX стала партнёром программы, а сервис получил детектор starlink_public_api_v2_secret. На Mentoring.digital объясняем, что меняется в обнаружении утечек и обработке предупреждений.
Новый тип секрета и партнёрская программа
Когда партнёрский секрет обнаруживается в публичном репозитории, GitHub передаёт сведения его издателю. Партнёр может отозвать или заменить учётные данные до злоупотребления ими. Из этого не следует, что любой найденный секрет уже автоматически отозван.
В объявлении GitHub отдельно различает партнёрские секреты и пользовательские предупреждения. Эти механизмы нельзя считать одинаковым подтверждением того, что инцидент полностью устранён.
Как уточнили существующие детекторы
Для ряда секретов Alibaba, AWS и Google улучшено подавление непарных совпадений после словарной фильтрации. У OpenVSX уточнён контекст старых токенов, чтобы не принимать посторонние UUID за учётные данные.
Детектор Logfire от Pydantic Services сверяет документированные длину и набор символов. Для Tencent после префикса требуются и буквы, и цифры, что помогает исключать некоторые имена функций. Это изменения правил обнаружения, а не гарантия отсутствия ложных срабатываний.
Что проверить команде
Редакционная рекомендация: для предупреждения установите владельца ключа, место использования и фактический статус отзыва. После замены проверьте зависимые интеграции. Удаление строки из последнего коммита само по себе не доказывает, что опубликованные ранее учётные данные безопасны.
Не вставляйте рабочие секреты в учебный репозиторий ради проверки детектора. Разобрать безопасный процесс работы с учётными данными можно с ментором по инфраструктуре.
