13 октября 2026 года GitHub сообщил о новых детекторах secret scanning для секретов Anthropic, Salesforce и Cloudsmith. Два типа ключей Anthropic включены в Push Protection по умолчанию: если в репозитории включён secret scanning, GitHub автоматически блокирует отправку коммитов с такими ключами. Это относится и к бесплатным публичным репозиториям. В объявлении GitHub Changelog также описаны детектор Salesforce и передача некоторых найденных секретов поставщикам.
Какие секреты обнаруживает GitHub
В список новых типов вошли ключи Anthropic anthropic_service_api_key и anthropic_user_api_key, а также токен Salesforce Marketing Cloud salesforce_marketing_cloud_api_oauth2_token. GitHub сообщает и о новых типах секретов Cloudsmith, но в объявлении, приведённом здесь, не перечисляет их названия.
Для разработчика это означает, что GitHub добавил распознавание указанных секретов при сканировании репозиториев. Но наличие детектора само по себе не означает, что отправка каждого обнаруженного типа будет автоматически остановлена: Push Protection по умолчанию отдельно подтверждена для двух типов Anthropic.
Когда блокируется отправка коммита
По объявлению GitHub, оба типа ключей Anthropic включены в Push Protection по умолчанию. В репозиториях, где включён secret scanning, коммиты с такими секретами автоматически блокируются при отправке; GitHub отдельно указывает, что это распространяется и на бесплатные публичные репозитории.
Для токена Salesforce объявлено о добавлении детектора, но не о включении этого типа в Push Protection по умолчанию. Поэтому владельцам репозиториев не следует считать автоматическую блокировку Salesforce подтверждённой на основании этой записи: GitHub сообщает об обнаружении, а правило блокировки по умолчанию — только для двух типов Anthropic.
Кому GitHub передаёт найденные секреты
GitHub сообщает, что секрет поставщика, найденный в публичном репозитории, передаётся соответствующему партнёру. По описанию компании, партнёр может отозвать или заменить учётные данные до того, как ими успеют воспользоваться. Salesforce названа новым партнёром программы secret scanning.
Для пользовательских секретов GitHub создаёт оповещения, если они найдены в публичных или приватных репозиториях. Это отдельный сценарий от передачи секрета поставщика: в объявлении передача партнёру описана для находок в публичных репозиториях.
Что учитывать владельцам репозиториев
Изменение касается команд и разработчиков, которые хранят код на GitHub и используют Anthropic или Salesforce Marketing Cloud. Чтобы сработала описанная блокировка ключей Anthropic, в репозитории должен быть включён secret scanning. Для Salesforce подтверждён новый детектор, но не блокировка Push Protection по умолчанию.
В объявлении GitHub не приводит независимых испытаний точности детекторов или оценки числа затронутых репозиториев и не уточняет доступность функций для всех тарифов. Поэтому из него нельзя определить охват изменения за пределами описанных настроек и типов секретов.
