Verificação de Segredos

Esta habilidade fornece orientação procedural para configurar a verificação de segredos do GitHub — detectando credenciais vazadas, prevenindo pushes de segredos, definindo padrões personalizados e gerenciando alertas.

Quando Usar Esta Habilidade

Use esta habilidade quando a solicitação envolver:

• Habilitar ou configurar a verificação de segredos para um repositório ou organização
• Configurar proteção de push para bloquear segredos antes que cheguem ao repositório
• Definir padrões de segredos personalizados com expressões regulares
• Resolver um push bloqueado pela linha de comando
• Triar, dispensar ou remediar alertas de verificação de segredos
• Configurar bypass delegado para proteção de push
• Excluir diretórios da verificação de segredos via secret_scanning.yml
• Entender os tipos de alerta (usuário, parceiro, proteção de push)
• Habilitar verificações de validade ou verificações de metadados estendidos
• Verificar o código local em busca de segredos antes de confirmar (via MCP / agente de codificação de IA) — consulte a seção Verificação Pré-Commit via Agentes de Codificação de IA abaixo para o plugin recomendado

Como Funciona a Verificação de Segredos

A verificação de segredos detecta automaticamente credenciais expostas em:

• Histórico Git completo em todos os branches
• Descrições, comentários e títulos de issues (abertas e fechadas)
• Títulos, descrições e comentários de pull requests
• Títulos, descrições e comentários de Discussões do GitHub
• Wikis e gists de segredos

Disponibilidade

Fluxo de Trabalho Principal — Habilitar Verificação de Segredos

Etapa 1: Habilitar Proteção de Segredos

1. Navegue até as Configurações do repositório → Segurança Avançada
2. Clique em Habilitar ao lado de "Proteção de Segredos"
3. Confirme clicando em Habilitar Proteção de Segredos

Para organizações, use configurações de segurança para habilitar em escala:

• Configurações → Segurança Avançada → Configurações globais → Configurações de segurança

Etapa 2: Habilitar Proteção de Push

A proteção de push bloqueia segredos durante o processo de push — antes que cheguem ao repositório.

1. Navegue até as Configurações do repositório → Segurança Avançada
2. Habilite "Proteção de push" em Proteção de Segredos

A proteção de push bloqueia segredos em:

• Pushes de linha de comando
• Commits na interface do GitHub
• Uploads de arquivos
• Requisições da API REST
• Endpoints de criação de conteúdo da API REST

Etapa 3: Configurar Exclusões (Opcional)

Crie .github/secret_scanning.yml para fechar automaticamente alertas para diretórios específicos:

paths-ignore:
  - "docs/**"
  - "test/fixtures/**"
  - "**/*.example"

Limites:

• Máximo de 1.000 entradas em paths-ignore
• O arquivo deve ter menos de 1 MB
• Caminhos excluídos também pulam as verificações de proteção de push

Melhores práticas:

• Seja o mais específico possível com os caminhos de exclusão
• Adicione comentários explicando por que cada caminho está sendo excluído
• Revise as exclusões periodicamente — remova entradas desatualizadas
• Informe a equipe de segurança sobre as exclusões

Etapa 4: Habilitar Recursos Adicionais (Opcional)

Padrões não fornecedores — detecta chaves privadas, strings de conexão, chaves de API genéricas:

• Configurações → Segurança Avançada → habilite "Verificar padrões não fornecedores"

Detecção de segredos genéricos com IA — usa o Copilot para detectar segredos não estruturados como senhas:

• Configurações → Segurança Avançada → habilite "Usar detecção de IA"

Verificações de validade — verifica se os segredos detectados ainda estão ativos:

• Configurações → Segurança Avançada → habilite "Verificações de validade"
• O GitHub testa periodicamente as credenciais detectadas contra as APIs do fornecedor
• O status é mostrado no alerta: active, inactive ou unknown

Verificações de metadados estendidos — contexto adicional sobre quem é o proprietário de um segredo:

• Requer que as verificações de validade sejam habilitadas primeiro
• Ajuda a priorizar a remediação e identificar as equipes responsáveis

Fluxo de Trabalho Principal — Resolver Pushes Bloqueados

Quando a proteção de push bloqueia um push da linha de comando:

Opção A: Remover o Segredo

Se o segredo estiver no último commit:

# Remove the secret from the file
# Then amend the commit
git commit --amend --all
git push

Se o segredo estiver em um commit anterior:

# Find the earliest commit containing the secret
git log

# Start interactive rebase before that commit
git rebase -i <COMMIT-ID>~1

# Change 'pick' to 'edit' for the offending commit
# Remove the secret, then:
git add .
git commit --amend
git rebase --continue
git push

Opção B: Ignorar Proteção de Push

1. Visite o URL retornado na mensagem de erro do push (como o mesmo usuário)

…