シークレットスキャンからのアラートの解決

アラートの修正

シークレットがリポジトリにコミットされたら、シークレットが侵害されたと考える必要があります。 GitHub では、侵害されたシークレットに対して次のアクションが推奨されます。

GitHubにコミットされたシークレットが有効であることを確認します。
古いトークンを使用するすべてのサービスを確認して更新します。 GitHub personal access tokenの場合は、侵害されたトークンを削除し、新しいトークンを作成します。「個人用アクセストークンを管理する」を参照してください。
シークレットプロバイダーに応じて、承認されていないアクティビティがないかセキュリティログを確認します。

メモ

Secret scanning は、対応するトークンがリポジトリから削除されたときにアラートを自動的に閉じません。これらのアラートは、 GitHubのアラート一覧で手動で閉じる必要があります。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [ Security ] タブをクリックします。[ Security] タブが表示されない場合は、ドロップダウンメニューを選択し、[ Security] をクリックします。
左側のサイドバーの [脆弱性アラート] で、[ Secret scanning] をクリックします。
[Secret scanning] で、表示するアラートをクリックします。
アラートを無視するには、[次の状態として閉じる] ドロップダウンメニューを選び、アラートを解決する理由をクリックします。
必要に応じて、[コメント] フィールドに無視のコメントを追加します。無視のコメントはアラートタイムラインに追加され、監査と報告の間に正当な理由として使用できます。
[アラートをクローズする] をクリックします。