GitHub ajoute des commentaires confidentiels aux avis de sécurité des dépôts

GitHub a introduit des commentaires confidentiels pour les avis de sécurité des dépôts, permettant aux mainteneurs de discuter en interne des rapports de vulnérabilité sans partager ces notes avec les rapporteurs externes ou les collaborateurs invités.

Contrôle des discussions internes

Avant cette mise à jour, tout commentaire publié sur un avis de sécurité GitHub était visible par l'ensemble des participants associés au rapport. Les mainteneurs qui évaluaient des abus suspects, géraient une coordination interne sensible ou examinaient la télémétrie devaient fréquemment déplacer leurs discussions hors de la plateforme pour éviter de révéler prématurément des détails aux rapporteurs.

Avec le nouveau système, les utilisateurs peuvent sélectionner une option de confidentialité sous la zone de texte avant de publier. Les éléments confidentiels apparaissent avec un marquage distinct dans la chronologie de l'avis et restent masqués pour tout utilisateur ne disposant pas des autorisations d'écriture sur le dépôt.

Règles d'accès et limitations de l'API

Les droits d'accès à ces commentaires s'alignent dynamiquement sur les autorisations du dépôt. Si un utilisateur perd son accès en écriture au dépôt, il perd automatiquement la possibilité de consulter les commentaires confidentiels existants. Afin de répondre aux exigences de conformité des entreprises, GitHub enregistre la consultation de ces commentaires dans le journal d'audit de l'organisation.

Les développeurs doivent toutefois noter plusieurs contraintes fonctionnelles. Les paramètres de visibilité d'un commentaire ne peuvent plus être modifiés après sa publication. De plus, si les intégrations basées sur l'API GraphQL peuvent accéder aux commentaires confidentiels, ces derniers sont exclus des réponses fournies par l'API REST.

Disponibilité selon les offres

Les commentaires confidentiels sont disponibles pour les dépôts publics ayant activé la signalisation privée des vulnérabilités. La fonctionnalité est accessible avec les comptes GitHub Free, GitHub Pro, GitHub Team et GitHub Enterprise Cloud.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Confidential comments on repository security advisories