GitHub הרחיבה ב־5 בנובמבר 2026 את מנגנון Secret Scanning שלה, והוסיפה את SpaceX לתוכנית השותפים של סריקת הסודות. העדכון אינו רק הוספת שם לרשימה: הוא כולל גלאי חדש לסוד מסוג starlink_public_api_v2_secret, לצד שיפורים שמטרתם לצמצם התראות שווא בגלאים של Alibaba, AWS, Google, OpenVSX, Pydantic Services ו־Tencent.
מה חדש בפועל
כאשר GitHub מזהה סוד של שותף במאגר ציבורי, הוא מעביר את הממצא ישירות לספק שהנפיק את הסוד. במקרה החדש, SpaceX יכולה לפעול לביטול או להחלפת פרטי הגישה לפני שנעשה בהם שימוש לרעה. במקביל, GitHub מציינת שסודות מסוג “User” יוצרים התראה למנהלי המאגר במאגרים ציבוריים או פרטיים.
- שותף חדש: SpaceX הצטרפה לתוכנית Secret Scanning Partner Program.
- סוג סוד חדש:
starlink_public_api_v2_secret. - פחות רעש: נוספו מסננים שמדכאים התאמות לא מזווגות או ערכים שנראים כמו סודות אך אינם כאלה.
- כיסוי רחב יותר: GitHub סורקת גם היסטוריית Git, ענפים, Issues, Pull Requests, Discussions, Wikis ו־Gists בהתאם לזכאות ולתצורה.
למה הפחתת False Positives חשובה לא פחות מגלאי חדש
מערכת שמתריעה יותר מדי גורמת לצוותים להתעלם מהתראות. בעדכון הזה GitHub מדייקת את ההתאמות: למשל, בגלאי מפתחות AWS ו־Alibaba תודחק התאמה לא מזווגת כאשר סינון מילוני הסיר את הסוד המשלים; ב־OpenVSX הוחמר הקשר ההתאמה עבור אסימונים ישנים כדי לא לסמן UUID אקראי; וב־Pydantic Logfire הותאמו האורך וקבוצת התווים לפורמט המתועד.
המשמעות לצוותי AppSec ו־DevSecOps היא פחות זמן לבדיקת רעש ויותר יכולת לתעדף סודות פעילים. GitHub תומכת גם בבדיקות תקפות עבור סוגים מסוימים, אך פעולה ראשונה לאחר חשיפה נשארת זהה: לבטל או לסובב את הסוד מיד. מחיקת הסוד מהיסטוריית Git לבדה אינה מבטלת גישה שכבר דלפה.
מה כדאי לעשות עכשיו
- לוודא ש־Secret Scanning ו־Push Protection מופעלים בכל המאגרים הזכאים.
- לסקור התראות חדשות לפי סוג הסוד והספק, ולא רק לפי חומרת המאגר.
- להגדיר תהליך אוטומטי לביטול, החלפה ותיעוד של סוד שנחשף.
- לבדוק Custom Patterns לסודות פנימיים שאינם מכוסים בגלאים המובנים.
- להעביר סודות למנהל סודות ייעודי ולהימנע מהטמעה בקוד, בקובצי תצורה וב־CI logs.
מקורות
- GitHub Changelog — Secret scanning upgrades detectors, adds SpaceX as partner
- GitHub Docs — Secret scanning
תמונה: SpaceX / Unsplash. מקור הקובץ: Unsplash. שימוש לפי Unsplash License, המתיר שימוש מסחרי באתר וברשתות חברתיות. שימוש מערכתי; אין טענה לחסות.
