GitHub、公開リポジトリへの鍵漏えい検知にトリアージとAPIを追加

何が発表されたか

GitHub は2026年10月23日、public monitoring の機能拡張を changelog で公開した。public monitoring は、公開リポジトリに漏えいしたシークレットを検知し、メンバーシップや検証済みドメインをもとに自組織・自エンタープライズに紐づけて通知する仕組み。今回追加されたのは次の3点。

• アラートのトリアージ: 管理者がアラートを dismissed / fixed としてクローズでき、任意のコメントを添えられる。再オープンも可能。操作履歴のタイムラインを確認でき、リポジトリ、コミットした人、シークレットの種類、紐づけの方法、オープン/クローズの状態で絞り込める。
• 有効性チェック: 対応プロバイダのトークンについて、有効かどうかを継続的に確認する。アラート上で Active / Inactive / Unknown が表示されるため、まだ生きているトークンから対処できる。
• REST API と Webhook: アラートのメタデータ、シークレットの種類、紐づけ情報、露出した場所を返す REST エンドポイントが用意された。自組織に新たな漏えいが紐づけられた際に通知するエンタープライズレベルの Webhook イベントも追加された。

注意点として、GitHub はアラートをクローズしても資格情報が無効化されるわけではなく、公開リポジトリから当該シークレットが消えるわけでもないと明記している。

開発者への影響

• 提供範囲は GitHub Enterprise Cloud のパブリックプレビュー（データレジデンシー利用分を含む）。有効化とアラート設定の管理ができるのはエンタープライズの管理者とエンタープライズ・セキュリティマネージャー。
• GitHub Advanced Security または GitHub Secret Protection のライセンスに追加費用なしで含まれる。
• API と Webhook が入ったことで、漏えい検知を自前のチケット管理やSlack通知、鍵の自動ローテーション処理につなぐ運用が組める。従来のように画面を見に行く前提から、イベント駆動で回す形に寄せられる。
• 有効性チェックにより、「漏れたが既に失効済みの鍵」と「今も使える鍵」を切り分けられる。アラートが多い組織では対応の優先順位付けに直結する。