GitHub ha aggiornato il 5 novembre Secret Scanning aggiungendo SpaceX come partner. Il programma permette di riconoscere token e credenziali appartenenti a formati supportati e, nei casi previsti, informare il fornitore affinché possa revocarli. L’aggiornamento amplia anche la copertura di altri detector.
Il rilevamento riduce il tempo in cui un segreto pubblicato resta utilizzabile, ma non garantisce la rimozione da cronologia, fork o cache. Quando un token compare in un commit va revocato e sostituito, poi occorre capire come sia entrato nel codice. Cancellare la stringa nell’ultimo commit non è sufficiente.
Sviluppatori italiani che lavorano con API e infrastrutture satellitari devono usare vault, variabili protette e scanner locali prima del push. Le imprese dovrebbero attivare push protection dove disponibile e definire eccezioni controllate. La presenza di un partner specifico non significa che ogni formato segreto sia riconosciuto.
GitHub dovrà misurare falsi positivi e velocità di revoca. I repository privati richiedono la stessa attenzione di quelli pubblici, perché account compromessi o errori di visibilità possono esporli. Una strategia completa comprende credenziali a breve durata, privilegi minimi e rotazione automatica, non soltanto scansione a posteriori.