Сведения о проверках допустимости

Проверки достоверности и расширенные проверки метаданных помогают вам расставить приоритеты при устранении раскрытых учетных данных, которые представляют немедленные угрозы безопасности.

Кто может использовать эту функцию?

Secret scanning is available for the following repository types:

  • Public repositories: Secret scanning runs automatically for free.
  • Organization-owned private and internal repositories: Available with GitHub Secret Protection enabled on GitHub Team or GitHub Enterprise Cloud.
  • User-owned repositories: Available on GitHub Enterprise Cloud with Enterprise Managed Users. Available on GitHub Enterprise Server when the enterprise has GitHub Secret Protection enabled.

Find out how to run a free secret risk assessment

В этой статье

Сведения о проверках допустимости

Проверка валидности, функция secret scanning, проверяет, активен ли обнаруженный секрет и может ли быть использован. Это помогает расставить приоритеты в исправлении, сосредоточившись в первую очередь на тайнах, которые подтверждены как активные.

Вы можете включить автоматическую проверку достоверности обнаруженных секретов. После включения GitHub периодически проверяет достоверность обнаруженного учетного дата, отправляя секрет эмитенту и тестируя его по API, предоставленным этим сервисом. Проверки действительности секретов доступны многими поставщиками услуг, и поддержка продолжает расширяться, поскольку GitHub сотрудничает с дополнительными сервисами.

GitHub ставит в приоритет конфиденциальность при проверке достоверности учетных данных. Обычно мы делаем запросы GET, выбираем наименее навязчивые конечные точки и не возвращаем личную информацию.

GitHub отображает статус валидации секрета в режиме предупреждения, так что вы можете увидеть, является ли секрет active, inactiveили же статус валидации — unknown. При необходимости можно выполнить по запросу проверку действительности секрета в представлении оповещений.

О расширенных проверках метаданных

Примечание.

Расширенные проверки метаданных в конфигурациях безопасности сейчас находятся в публичном предварительном просмотре и могут измениться.

Расширенные проверки метаданных предоставляют дополнительную контекстную информацию о обнаруженных секретах. В других инструментах их часто называют анализаторами .

Вы можете включить расширенные проверки метаданных, если проверки действительности включены. Затем вы получите информацию, которая поможет вам:

  •         **Получите более глубокое представление об обнаруженных секретах**: узнайте, кому принадлежит секрет.

  •         **Расставьте приоритеты** в устранении: Понимайте масштаб и влияние каждого раскрытого секрета.

  •         **Улучшите реагирование на инциденты**: быстро определяйте ответственные команды или отдельных лиц в случае утечки секрета.

  •         **Улучшите соответствие нормативным требованиям**: убедитесь, что секреты соответствуют политикам управления и безопасности вашей организации.

  •         **Уменьшите количество ложных срабатываний**: используйте дополнительный контекст, чтобы определить, требует ли обнаружение действий.

Конкретные доступные метаданные зависят от того, что поставщик сервиса использует с GitHub. Не все типы секретов поддерживают расширенные проверки метаданных. Дополнительные сведения см. в разделе Оценка оповещений от сканирования секретов.

Начало проверки валидности и расширенной проверки метаданных

Примечание.

Начиная с 18 февраля 2026 года, GitHub автоматически будет включать расширенные проверки метаданных для репозиториев, в которых включена проверка действительности. Для репозиториев, управляемых конфигурациями безопасности, GitHub обновляет эти конфигурации и применяет эту функцию к прикреплённым репозиториям. Это одноразовый переход, чтобы помочь организациям получить выгоду от улучшенных метаданных без ручной настройки.

Вы можете включить проверку достоверности и расширенные метаданные на уровне репозитория, организации или предприятия, чтобы помочь определить, какие раскрытые учетные данные представляют наибольшие непосредственные риски безопасности.

Для крупных организаций мы рекомендуем использовать конфигурации безопасности для реализации этих функций на уровне организации или предприятия. Конфигурации безопасности позволяют централизованно управлять настройками secret scanning и применять их последовательно во многих репозиториях.

Чтобы приступить к работе, выполните приведенные действия.