GitHub、Actionsのワークフローログ内のシークレットを検出
GitHubGitHub ActionsシークレットスキャンCI/CD
GitHubがシークレットスキャンの対象をGitHub Actionsのワークフローログへ拡大した（パブリックプレビュー）。実行完了時にログを走査し、アラート一覧にログへのリンク付きで表示される。既定では無効で、Enterpriseのポリシー設定から有効化が必要。既存ログは遡って走査されない。
何が発表されたか
- GitHubは2026年11月9日、シークレットスキャンがGitHub Actionsのワークフローログ内のシークレットを検出できるようになったと発表した。パブリックプレビューでの提供。
- 従来の対象はIssue、Wiki、Discussion、プルリクエストだった。ここにワークフローログが加わる。
- ワークフロー実行が完了した時点でログをプロバイダーパターンで走査し、検出結果はリポジトリのシークレットスキャンのアラート一覧に、該当ログへのリンク付きで表示される。対応する種類には有効性チェックが行われ、ログが削除された後もアラートは残る。
- 対象は GitHub Secret Protection または GitHub Advanced Security を利用する GitHub Enterprise Cloud。GHE.com のデータレジデンシー構成も含む。
取るべき対応
- 既定では無効。Enterprise のオーナーが enterprise settings → Policies → Advanced Security を開き、「All repositories」のドロップダウンを Enabled にすることで有効になる。適用されるのは、該当ライセンスでシークレットスキャンが既に有効なリポジトリのみ。
- 有効化後に完了したワークフロー実行だけが走査対象で、既存のログは遡って走査されない。過去分の確認が必要なら別途の対応が必要になる。
- プレビュー中はこのアラートについて通知が送られない。検知に気づくには、アラート一覧を定期的に確認する運用を組む必要がある。
- 検出対象外のものがある点にも注意したい。汎用パターン、カスタムパターン、AIが検出するシークレット、そしてActions側で既にマスクされているシークレットは検出されない。ログに出る値を減らす設計自体は引き続き必要。