Secret Scanning

このスキルは、GitHub secret scanningの設定 — 漏洩認証情報の検出、シークレットpushの防止、カスタムパターンの定義、アラート管理 — に関する手順ガイダンスを提供します。

このスキルを使用する場合

次の内容に関する要求が含まれる場合、このスキルを使用してください：

• リポジトリまたは組織のシークレットスキャンの有効化または設定
• シークレットがリポジトリに到達する前にブロックするためのpush protectionの設定
• 正規表現を使用したカスタムシークレットパターンの定義
• コマンドラインからのブロックされたpushの解決
• シークレットスキャンアラートのトリアージ、却下、または修復
• push protectionの委任バイパスの設定
• secret_scanning.yml によるシークレットスキャンからのディレクトリの除外
• アラートタイプ（ユーザー、パートナー、push protection）の理解
• 有効性チェックまたは拡張メタデータチェックの有効化
• コミット前のローカルコード変更のシークレットスキャン（MCP / AIコーディングエージェント経由）— 推奨プラグインについては、下記の AI Coding Agents経由のPre-Commit Scanning セクションを参照してください

Secret Scanningの仕組み

Secret scanningは、以下全体にわたって公開された認証情報を自動的に検出します：

• すべてのブランチの完全なGitヒストリ
• Issue説明、コメント、タイトル（オープンおよびクローズ済み）
• Pull requestのタイトル、説明、コメント
• GitHub Discussionsのタイトル、説明、コメント
• WikiおよびシークレットGist

利用可能性

リポジトリタイプ	利用可能性
パブリックリポジトリ	自動、無料
プライベート/内部（組織所有）	GitHub Secret Protection on Team/Enterprise Cloudが必須
ユーザー所有	Enterprise Managed Usersを備えたEnterprise Cloud

コアワークフロー — Secret Scanningの有効化

ステップ1：Secret Protectionを有効化

1. リポジトリの Settings → Advanced Security に移動
2. "Secret Protection" の隣の Enable をクリック
3. Enable Secret Protection をクリックして確認

組織の場合は、セキュリティ設定を使用して大規模に有効化します：

• Settings → Advanced Security → Global settings → Security configurations

ステップ2：Push Protectionを有効化

Push protectionは、push処理中にシークレットをブロック — リポジトリに到達する前にブロック。

1. リポジトリの Settings → Advanced Security に移動
2. Secret Protectionの下で "Push protection" を有効化

Push protectionは以下をブロック：

• コマンドラインpush
• GitHub UIコミット
• ファイルアップロード
• REST APIリクエスト
• REST APIコンテンツ作成エンドポイント

ステップ3：除外を設定（オプション）

.github/secret_scanning.yml を作成して、特定のディレクトリのアラートを自動クローズ：

paths-ignore:
  - "docs/**"
  - "test/fixtures/**"
  - "**/*.example"

制限：

• paths-ignore の最大エントリ数：1,000
• ファイルサイズ：1 MB以下
• 除外パスはpush protectionチェックもスキップ

ベストプラクティス：

• 除外パスは可能な限り具体的に
• 各パスが除外される理由の説明をコメントで追加
• 除外を定期的に見直し — 古いエントリを削除
• セキュリティチームに除外について通知

ステップ4：追加機能を有効化（オプション）

非プロバイダパターン — 秘密鍵、接続文字列、汎用APIキーを検出：

• Settings → Advanced Security → "Scan for non-provider patterns" を有効化

AI駆動の汎用シークレット検出 — Copilotを使用してパスワードのような非構造化シークレットを検出：

• Settings → Advanced Security → "Use AI detection" を有効化

有効性チェック — 検出されたシークレットがまだアクティブかどうかを確認：

• Settings → Advanced Security → "Validity checks" を有効化
• GitHubは定期的にプロバイダAPIに対して検出された認証情報をテスト
• ステータスはアラートに表示：active、inactive、または unknown

拡張メタデータチェック — シークレットの所有者に関する追加コンテキスト：

• 有効性チェックが最初に有効化されている必要があります
• 修復の優先順位付けと責任チームの特定に役立ちます

コアワークフロー — ブロックされたPushを解決

Push protectionがコマンドラインからpushをブロックした場合：

オプションA：シークレットを削除

シークレットが最新のコミットにある場合：

# ファイルからシークレットを削除
# その後、コミットを修正
git commit --amend --all
git push

シークレットが以前のコミットにある場合：

# シークレットを含む最初のコミットを見つける
git log

# そのコミット前で対話的リベースを開始
git rebase -i <COMMIT-ID>~1

# 問題のあるコミットについて 'pick' を 'edit' に変更
# シークレットを削除して、以下を実行：
git add .
git commit --amend
git rebase --continue
git push

オプションB：Push Protectionをバイパス

1. pushエラーメッセージで返されたURLにアクセス（同一ユーザーとして）
2. バイパスの理由を選択：
   • It's used in tests — アラートが作成され自動クローズ
   • It's a false positive — アラートが作成され自動クローズ
   • I'll fix it later — オープンアラートが作成
3. Allow me to push this secret をクリック
4. 3時間以内に再pushを実行

オプションC：バイパス権限をリクエスト

委任バイパスが有効で、バイパス権限がない場合：

1. pushエラーからURLにアクセス
2. シークレットが安全である理由を説明するコメントを追加
3. Submit request をクリック
4. 承認/拒否の通知メールを待つ
5. 承認された場合はコミットをpush；拒否された場合はシークレットを削除

詳細なバイパスおよび委任バイパスワークフローについては、references/push-protection.md を検索してください。

カスタムパターン

正規表現を使用して組織固有のシークレットパターンを定義します。

クイックセットアップ

1. Settings → Advanced Security → Custom patterns → New pattern
2. パターン名とシークレット形式のregexを入力
3. サンプルテスト文字列を追加
4. Save and dry run をクリックしてテスト（最大1,000件の結果）
5. 誤検知の結果を確認
6. Publish pattern をクリック
7. オプションでパターンのpush protectionを有効化

スコープ

カスタムパターンは以下で定義できます：

• リポジトリレベル — そのリポジトリのみに適用
• 組織レベル — secret scanningが有効化されたすべてのリポジトリに適用
• エンタープライズレベル — すべての組織全体に適用

Copilot支援パターン生成

Copilotシークレットスキャンを使用して、シークレットタイプのテキスト説明からregexを生成（オプションでサンプル文字列を含む）。

詳細なカスタムパターン設定については、references/custom-patterns.md を検索してください。

アラート管理

アラートタイプ

タイプ	説明	表示
ユーザーアラート	リポジトリで見つかったシークレット	セキュリティタブ
Push protectionアラート	バイパス経由でpushされたシークレット	セキュリティタブ（フィルタ：bypassed: true）
パートナーアラート	プロバイダに報告されたシークレット	リポジトリに表示されない（プロバイダのみ）

アラートリスト

• デフォルトアラート — サポートされているプロバイダパターンおよびカスタムパターン
• 汎用アラート — 非プロバイダパターンおよびAI検出シークレット（リポジトリあたり5,000件に限定）

修復の優先順位

1. 認証情報を即座にローテーション — これが重要なアクション
2. 文脈についてアラートを確認（位置、コミット、作成者）
3. 有効性ステータスを確認：active（緊急）、inactive（低優先度）、unknown
4. 必要に応じてGitヒストリから削除（時間がかかり、ローテーション後は不要なことが多い）

アラートを却下

文書化された理由で却下：

• False positive — 検出された文字列は実際のシークレットではない
• Revoked — 認証情報は既にリボーク済み
• Used in tests — シークレットはテストコードのみに存在

詳細なアラートタイプ、有効性チェック、REST APIについては、references/alerts-and-remediation.md を検索してください。

AI Coding Agents経由のPre-Commit Scanning

AIコーディングエージェント内でコミット前にコード変更のシークレットをスキャンするには、run_secret_scanning MCPツールと専用スキャンスキルを提供する Advanced Securityプラグイン をインストール。

GitHub Copilot CLI:

/plugin install advanced-security@copilot-plugins

Visual Studio Code:

• Copilot Chatで Chat: Plugins を開く（または @agentPlugins を使用）して、advanced-security プラグインをインストール
• その後、Copilot Chatで /secret-scanning を実行

参照：Advanced Security Plugin — Secret Scanning Skill

Secret scanning in AI coding agents via the GitHub MCP Server (2026年3月)での発表

リファレンスファイル

詳細なドキュメントについては、必要に応じて以下のリファレンスファイルを読み込んでください：

• references/push-protection.md — Push protection機構、バイパスワークフロー、委任バイパス、ユーザーpush protection
  • 検索パターン：bypass、delegated、bypass request、command line、REST API、user push protection
• references/custom-patterns.md — カスタムパターン作成、正規表現構文、dry run、Copilot正規表現生成、スコープ
  • 検索パターン：custom pattern、regex、dry run、publish、organization、enterprise、Copilot
• references/alerts-and-remediation.md — アラートタイプ、有効性チェック、拡張メタデータ、汎用アラート、シークレット削除、REST API
  • 検索パターン：user alert、partner alert、validity、metadata、generic、remediation、git history、REST API