DCOD Cybersécurité DCOD Cybersécurité
💡 Ne manquez plus l’essentiel
Les derniers articles
  • DCOD vuln - Image en 3D réaliste d’un cadenas ouvert posé sur un circuit imprimé, symbolisant une faille de sécurité ou une vulnérabilité informatique dans un environnement technologique.
    Les vulnérabilités à suivre – 1 sep 2025
  • Homme masqué en hoodie, représentant un hacker, utilisant un smartphone dans un environnement numérique avec du code informatique en arrière-plan et une paire de menottes illustrée, symbolisant une arrestation.
    Un hacker de Scattered Spider condamné à 10 ans pour SIM-swapping
  • DCOD hebdo - Illustration numérique d’un bouclier vert symbolisant la cybersécurité, intégré dans une interface technologique avec un fond de circuits électroniques et la silhouette discrète d’un individu encapuchonné en arrière-plan.
    Les actus cybersécurité du 31 août 2025
  • Illustration représentant une alerte en cybersécurité avec un cadenas rouge déverrouillé, les logos de WhatsApp et Apple, sur un fond binaire rouge symbolisant une faille de sécurité numérique.
    WhatsApp : faille zero-click critique sur iOS et macOS corrigée
  • Image illustrant un bouclier numérique avec une serrure, représentant la cybersécurité, accompagnée du texte "10 directives cyber" en vert fluo sur fond technologique sombre, avec le logo "dcod" en bas à droite.
    Les 10 directives essentielles pour renforcer sa cybersécurité en 2025
Toutes les catégories
  • Actualités
  • Cyber-attaques / fraudes
  • Failles / vulnérabilités
  • Pertes / vols de données
  • Cybercrime
  • Intelligence artificielle
  • Analyses / rapports
  • Biens communs
  • Analyses / Rapports
  • Législation
DCOD Cybersécurité DCOD Cybersécurité
La cybersécurité en clair

Actus et tendances décodées chaque jour par Marc Barbezat, pour les professionnels et passionnés du numérique.

DCOD Cybersécurité DCOD Cybersécurité DCOD Cybersécurité DCOD Cybersécurité DCOD Cybersécurité
  • Cyberattaques
  • Vulnérabilités
  • Vols de données
  • Cybercrime
  • IA
  • Failles / vulnérabilités
  • À la une
  • Biens communs cybersécurité

39 millions de secrets exposés sur GitHub en 2024 : une faille critique

  • 12 avril 2025
  • 3 minutes de lecture

Offrez un café pour soutenir cette veille indépendante.

☕ Je soutiens DCOD

📚💡️idée de lecture : Cybersécurité Nouvelle Génération: Défendre Contre les Attaques Intelligentes grâce à l'IA — 📘 Voir sur Amazon (affilié)

En 2024, GitHub a vu 39 millions de secrets exposés. Une alerte majeure qui pousse la plateforme à renforcer ses outils de sécurité.

En 2024, GitHub a détecté plus de 39 millions de fuites de secrets sur sa plateforme. Un chiffre vertigineux qui met en lumière une réalité trop souvent minimisée : les secrets exposés (clés API, jetons d’accès, mots de passe, etc.) sont une porte d’entrée royale pour les cyberattaquants. Face à cette menace croissante, GitHub annonce une évolution majeure de ses dispositifs de sécurité.

Des fuites qui prolifèrent avec la vitesse du développement

Chaque jour, des millions de lignes de code sont poussées sur GitHub. Et avec elles, des secrets. Par erreur, par facilité ou par méconnaissance, ces informations critiques se retrouvent trop souvent en clair dans les dépôts.

Plus surprenant encore, une partie non négligeable de ces expositions résulte d’actes volontaires de développeurs, pensant à tort que leurs répértoires sont suffisamment privés. D’autres incidents proviennent de manipulations malheureuses, comme rendre public un répertoire par inadvertance ou oublier une révocation de jeton.

Les attaquants, eux, sont à l’affût. Un seul secret compromis peut suffire à initier un mouvement latéral vers des systèmes critiques. D’autant que les identifiants « longue durée » peuvent rester actifs plusieurs mois, voire années.

Du code source sur Github

Une défense renforcée par GitHub Advanced Security

Face à l’ampleur du phénomène, GitHub renforce sa stratégie. Sa solution Advanced Security s’enrichit de deux composants phares : Secret Protection et Code Security, désormais disponibles en produits indépendants pour les organisations de toutes tailles.

Le pilier de cette protection reste le push protection, activé par défaut sur les dépôts publics. Ce mécanisme bloque automatiquement les secrets identifiés avant même qu’ils ne soient poussés. Il s’appuie sur des détecteurs co-conçus avec des fournisseurs comme AWS, Google Cloud ou OpenAI, garantissant une précision élevée et peu de faux positifs.

Scanner, alerter, réagir : des outils gratuits pour tous

GitHub propose désormais un scan ponctuel gratuit pour toutes les organisations. Cette analyse couvre l’ensemble des dépôts, même privés ou archivés, et identifie les secrets déjà exposés. Aucun secret n’est stocké : les résultats livrent un diagnostic clair, accompagné d’actions concrètes à mener.

En cas de détection, GitHub envoie une alerte à l’émetteur du secret (via ses partenaires) pour qu’il puisse révoquer, restreindre ou mettre en quarantaine les accès.

Pour les petites équipes, ces outils étaient jusqu’ici inaccessibles sans souscrire à GitHub Enterprise. Ce n’est plus le cas : ils sont intégrés aux offres Team et disponibles en add-on.

Bonnes pratiques et automatisation : les clés d’une protection durable

À l’heure où les fuites se multiplient, la meilleure parade reste la prévention. Cela commence par des bonnes pratiques de gestion de secrets : principe du moindre privilège, génération sécurisée, rotation régulière et révocation rapide.

Mais la véritable clé réside dans l’automatisation. Moins il y a d’interventions humaines, moins le risque d’erreur est élevé. Des outils comme GitHub Copilot participent aussi à la détection précoce de secrets non structurés, tels que les mots de passe enfouis dans le code.

Enfin, pour les CISO et RSSI, l’intégration de ces contrôles dans les pipelines CI/CD, associée à une gouvernance stricte des dérogations, devient essentielle pour réduire durablement le risque.

Pour rappel, un pipeline CI/CD (pour « Continuous Integration / Continuous Deployment ») est un processus automatisé qui enchaîne les étapes du développement logiciel : tests, analyses, validations et déploiement. Dans ce cadre, des outils comme la détection de secrets peuvent être intégrés pour bloquer toute fuite avant même que le code ne soit mis en production. C’est un levier majeur de sécurité, car il permet d’assurer un contrôle continu, fiable et reproductible du code livré.

Les secrets ne devraient jamais quitter le coffre. Et GitHub profite dans son article référencé ci-dessous de bien le rappeler.

Pour en savoir plus

GitHub a découvert 39 millions de fuites secrètes en 2024. Voici ce que nous faisons pour vous aider.

Si vous savez où chercher, les secrets exposés sont faciles à trouver. Les secrets sont censés empêcher tout accès non autorisé, mais entre de mauvaises mains, ils peuvent être exploités en quelques secondes, et c’est généralement le cas. Pour vous donner une idée de l’ampleur de…

Lire la suite sur The GitHub Blog
GitHub a découvert 39 millions de fuites secrètes en 2024. Voici ce que nous faisons pour vous aider.

(Re)découvrez également:

Fausses étoiles sur GitHub : un risque croissant pour les développeurs

GitHub fait face à un problème de fausses étoiles, augmentant les risques de malwares et compromettant la confiance des utilisateurs dans les projets.

Lire la suite sur dcod.ch
Fausses étoiles sur GitHub : un risque croissant pour les développeurs

💡 Ne manquez plus l'essentiel
Recevez les analyses et tendances cybersécurité directement dans votre boîte mail.

💡 Note : Certaines images ou extraits présents dans cet article proviennent de sources externes citées à des fins d’illustration ou de veille. Ce site est indépendant et à but non lucratif. 👉 En savoir plus sur notre cadre d’utilisation.

Vous appréciez ces analyses ?
Soutenez DCOD en offrant un café ☕

Oui pour un café merci !
Etiquettes
  • code source
  • Développement
  • GitHub
Marc Barbezat

Le créateur et l'éditeur de DCOD.CH - Restons en contact !

📚 Pour prolonger la réflexion ou approfondir certains points abordés, voici quelques lectures recommandées par DCOD :

Des idées de lecture cybersécurité

Page frontale du livre Cybersécurité : tests d’intrusion des systèmes d’informations web

Cybersécurité : tests d’intrusion des systèmes d’informations web: Le guide des vulnérabilités web

Amplifiez vos compétences en cybersécurité avec ce guide exhaustif sur le pentesting et le bug bounty ! Conçu pour les pentesters, les bug hunters, les développeurs, et en fait toute personne curieuse de plonger dans le monde fascinant de la cybersécurité.

📘 Voir sur Amazon
Page frontale du livre Cybersécurité: Le guide du débutant

Cybersécurité: Le guide du débutant

Si vous voulez un guide étape par étape sur la cybersécurité, plus un cours gratuit complet sur la sécurité en ligne, plus un accès à une formidable communauté de hackers, ce livre est pour vous !

📘 Voir sur Amazon
Page frontale du livre 100 Faits à Savoir sur la Cybersécurité

Les fondamentaux de la cybersécurité: Comprendre et appliquer les principes essentiels

🤔À l’ère du numérique, la sécurité informatique est un enjeu crucial pour toute organisation.Sécurité des systèmes et des réseaux, du cloud, des applications, sécurité défensive et offensive, piratage psychologique…

📘 Voir sur Amazon

🛒 Les liens ci-dessus sont affiliés : en commandant via ces liens, vous soutenez la veille DCOD sans frais supplémentaires 🙏

📚💡️idée de lecture : Cybersécurité Nouvelle Génération: Défendre Contre les Attaques Intelligentes grâce à l'IA — 📘 Voir sur Amazon (affilié)

Abonnez-vous au canal Telegram

Offrez un café pour soutenir cette veille indépendante.

☕ Je soutiens DCOD
Ne manquez plus l’essentiel
Abonnez-vous au canal Whatsapp
Le podcast cybersécurité DCOD
Les derniers articles
  • DCOD vuln - Image en 3D réaliste d’un cadenas ouvert posé sur un circuit imprimé, symbolisant une faille de sécurité ou une vulnérabilité informatique dans un environnement technologique.
    Les vulnérabilités à suivre – 1 sep 2025
    • 01.09.25
  • Homme masqué en hoodie, représentant un hacker, utilisant un smartphone dans un environnement numérique avec du code informatique en arrière-plan et une paire de menottes illustrée, symbolisant une arrestation.
    Un hacker de Scattered Spider condamné à 10 ans pour SIM-swapping
    • 01.09.25
  • DCOD hebdo - Illustration numérique d’un bouclier vert symbolisant la cybersécurité, intégré dans une interface technologique avec un fond de circuits électroniques et la silhouette discrète d’un individu encapuchonné en arrière-plan.
    Les actus cybersécurité du 31 août 2025
    • 31.08.25
  • Illustration représentant une alerte en cybersécurité avec un cadenas rouge déverrouillé, les logos de WhatsApp et Apple, sur un fond binaire rouge symbolisant une faille de sécurité numérique.
    WhatsApp : faille zero-click critique sur iOS et macOS corrigée
    • 31.08.25
  • Image illustrant un bouclier numérique avec une serrure, représentant la cybersécurité, accompagnée du texte "10 directives cyber" en vert fluo sur fond technologique sombre, avec le logo "dcod" en bas à droite.
    Les 10 directives essentielles pour renforcer sa cybersécurité en 2025
    • 31.08.25
Abonnez-vous au canal Telegram
💡 Ne manquez plus l'essentiel. Recevez les analyses et tendances cybersécurité directement dans votre boîte mail.
DCOD Cybersécurité DCOD Cybersécurité
  • Marc Barbezat
  • A propos / Contact
  • Politique de Confidentialité
La cybersécurité en clair. Actus et tendances décodées par Marc Barbezat

Input your search keywords and press Enter.