GitHub sır taramasına SpaceX ortaklığı ve yeni dedektör iyileştirmeleri

SpaceX sır taraması ortaklık programına katıldı

GitHub, sır taraması (secret scanning) kapsamını genişlettiğini duyurdu. Bu kapsamda SpaceX artık bir sır taraması ortağı olarak ortaklık programında yer alıyor. SpaceX'in sır türü starlink_public_api_v2_secret olarak adlandırıldı.

Ortaklık programı kapsamında bir ortağın sırrı herkese açık bir depoda bulunduğunda GitHub bunu sır sahibine iletiyor. SpaceX örneğinde de kimlik bilgisinin kötüye kullanılmasını önlemek amacıyla sır, iptal veya döndürme yapılabilmesi için SpaceX'e iletiliyor.

Ortak sırlarının otomatik olarak sır sahibine bildirilmesi yalnızca bu sırların herkese açık depolarda bulunması durumunda gerçekleşiyor. Kullanıcı sırları ise herkese açık veya özel depolarda bulunduğunda sır taraması uyarıları oluşturuyor.

Yeni dedektör: starlink_public_api_v2_secret

GitHub artık depolarınızda starlink_public_api_v2_secret türünü otomatik olarak tespit ediyor. Yeni dedektör, sır taramasının mevcut kapsamına eklenen tespit yeteneklerinden biri.

Yanlış pozitifleri azaltan dedektör güncellemeleri

Alibaba, AWS, Google, OpenVSX, Pydantic Services ve Tencent dedektörleri ek yanlış pozitif filtreleme içeriyor. GitHub'ın açıklamasına göre bu iyileştirmeler desteklenen sırlar için yanlış pozitif eşleşmeleri azaltmayı amaçlıyor.

Alibaba dedektöründe iyileştirme, sözlük filtrelemesi tüm uygun yardımcı sırları kaldırdığında eşleşmeyen eşleşmeleri bastırıyor. AWS tarafında aynı yaklaşım aws_access_key_id, aws_session_token ve aws_temporary_access_key_id dedektörleri için uygulanıyor.

Google dedektörlerinde de benzer filtreleme devreye giriyor. google_cloud_storage_access_key_secret için sözlük filtrelemesi tüm uygun yardımcı anahtar tanımlayıcılarını kaldırdığında eşleşmeyen eşleşmeler bastırılıyor. Aynı mantık google_cloud_storage_service_account_access_key_id ve google_cloud_storage_user_access_key_id dedektörlerinde de geçerli.

OpenVSX dedektörü için iyileştirme, eski belirteçlerde bağlam eşleştirmesini sıkılaştırarak ilgisiz UUID'lerin kimlik bilgisi olarak değerlendirilmesini önlüyor. Pydantic Services Inc. logfire_token dedektöründe ise belgelenen belirteç uzunluğu ve karakter kümesi eşleştirilerek yer tutucu değerler ile herkese açık tarayıcı belirteçleri hariç tutuluyor.

Tencent tencent_cloud_secret_id dedektöründeki iyileştirme, işlev adları gibi alfabetik tanımlayıcıları hariç tutmak için belirteç önekinden sonra hem harf hem de rakam gerektiriyor.

Değişiklik günlüğü ve belgeler

İlgili değişiklik günlüğü girişi 5 Kasım 2026 tarihli. GitHub, sır taraması ve desteklenen sırların tam listesi hakkında daha fazla bilgi için belgelerine yönlendiriyor.