Alertas de escaneo secreto

Acceso y soporte del proveedor

Abra Descripción general → Alertas de seguridad → Alertas de escaneo secreto. Los administradores necesitan acceso de administración al repositorio; Los administradores del sistema pueden inspeccionar todos los repositorios. Los espectadores no pueden acceder a los datos de alerta. Las listas, opciones de filtro, contadores, detalles, actividad del repositorio y métricas del panel aplican las mismas restricciones de acceso.

GitHub admite este tipo de alerta a través de sus API de seguridad. GitLab asigna vulnerabilidades de escaneo de dependencias, SAST y detección de secretos a las vistas de alerta correspondientes, sujetas a permisos de instancia/licencia y token. Actualmente, Forgejo y Gitea informan que estos tipos no son compatibles. Una advertencia para un tipo no disponible no falla en otros ámbitos de sincronización.

Revisar los resultados

Utilice filtros de búsqueda y repositorio disponible, proveedor, gravedad y estado, clasificación, columnas visibles y paginación. Los estados incluyen OPEN, RESOLVED y DISMISSED; La gravedad incluye crítica, alta, media, baja, informativa y desconocida. Los filtros secretos incluyen además el tipo de secreto y el proveedor de secreto; nunca ingrese un valor secreto real. Los límites de fecha actualizados y la búsqueda de texto por tipo específico ayudan a limitar las listas grandes. Seleccione un hallazgo para inspeccionar el tipo de secreto, la ubicación segura, el estado de detección y los metadatos del proveedor sin el valor del secreto. Repovio almacena metadatos incluidos en la lista permitida únicamente; las cargas útiles del proveedor sin procesar, las credenciales, los fragmentos de token y los valores secretos nunca se conservan. Los campos faltantes pueden reflejar las capacidades del proveedor en lugar de un error de procesamiento.

Utilice Abrir en proveedor para investigar y corregir. Repovio no descarta, resuelve, vuelve a abrir ni edita alertas. La primera lectura exitosa por repositorio y tipo de alerta establece una línea de base silenciosa. Las transiciones abiertas, resueltas, descartadas o reabiertas posteriores pueden activar la suscripción a canales de notificacion.

Datos vacíos, no disponibles y obsoletos

Borre los filtros y verifique la membresía de la administración si no aparecen hallazgos. Inspeccione Tareas de sincronización en busca de tipos no admitidos o advertencias de permisos. Es posible que las cuentas GitHub OAuth existentes necesiten reautorización con security_events; ver Proveedor OAuth. Reintentar cargas fallidas después de la recuperación; La ausencia de hallazgos visibles no es prueba de que el proveedor haya escaneado el repositorio o de que todos los tipos de alerta sean compatibles.