GitHub представил набор из шести бесплатных настроек безопасности для открытых и частных репозиториев, которые помогают снизить риск атак и упростить работу с уязвимостями. Эти параметры объединены в мастер Protect Your Project и настраиваются примерно за 10–30 минут без регистрации в дополнительных сервисах.
В GitHub Security Lab отмечают, что многие мейнтейнеры не специализируются на безопасности и нередко пропускают важные функции в настройках репозитория. При этом игнорирование базовых параметров приводит к накоплению уязвимостей и ухудшению защиты пользователей. Protect Your Project предлагает пройти по единому сценарию включения ключевых инструментов.
Первая рекомендация — создать файл SECURITY.md. В нём авторы проекта указывают, как сообщать об уязвимостях, какие типы ошибок считаются в рамках политики и через какой канал (например, email) лучше всего отправлять отчёты. В качестве образца GitHub ссылается на политику безопасности проекта systemd.
Следующий шаг — включение Private vulnerability reporting (PVR). Эта функция позволяет исследователям отправлять конфиденциальные отчёты об уязвимостях прямо в репозиторий в виде закрытых советов, которые мейнтейнеры анализируют и раскрывают в удобный для них момент. Активация выполняется одним флажком в разделе настроек Security.
Отдельный акцент сделан на утечке секретов в открытых репозиториях. По данным отчёта GitGuardian State of Secrets Sprawl 2026, в 2025 году на публичном GitHub обнаружено 28,65 млн новых секретов, что на 34% больше, чем годом ранее. GitHub отмечает, что коммиты с участием ИИ в среднем вдвое чаще содержат секреты. В отчёте IBM Cost of a Data Breach за 2025 год средняя стоимость утечки данных оценивается в 4,44 млн долларов (10,22 млн долларов в США).
Функция secret scanning помогает перехватывать ключи и токены ещё до попадания их в репозиторий, блокируя такие коммиты локально или обнаруживая в истории. Инструмент работает как для публичных, так и для приватных репозиториев и сокращает риск случайного раскрытия чувствительных данных внутри команды или внешним пользователям.
GitHub напоминает, что безопасность проекта зависит не только от собственного кода, но и от сторонних библиотек и плагинов. Например, множество критических уязвимостей в WordPress связано с плагинами. Для управления такими рисками платформа предлагает связку Dependabot и dependency review.
Dependabot уведомляет о найденных уязвимостях в зависимостях и предлагает обновления, а dependency review показывает в pull request, какие пакеты добавляются или обновляются и есть ли по ним открытые рекомендации по безопасности. Это превращает изменения в файлах зависимостей в быструю и понятную проверку вместо сложного анализа diff.
Следующий инструмент — code scanning на базе CodeQL, который запускает статический анализ кода и выявляет типовые уязвимости вроде SQL-инъекций, командных инъекций и небезопасной десериализации. GitHub отмечает, что code scanning с CodeQL также находит небезопасные сценарии GitHub Actions. С 2019 года эта функция бесплатна для открытого кода и теперь включается в разделе Security and Quality одной кнопкой с настройкой по умолчанию.
По словам команды, многие мейнтейнеры пропускают code scanning, предполагая, что инструмент требует сложной конфигурации. GitHub утверждает, что режим по умолчанию автоматически подбирает подходящий набор правил для конкретного языка и запускает анализ на каждый pull request, без дополнительной настройки.
Шестая рекомендация — включить обязательные pull request перед слиянием в основную ветку с минимум одним одобрением. Это снижает риск прямого пуша в production с использованием скомпрометированных учётных данных, ошибочного коммита или действия уставшего разработчика. Также такая настройка делает остальные инструменты более эффективными, потому что найденные Dependabot и code scanning проблемы начинают блокировать слияние, а не остаются в отдельном разделе.
Мастер Protect Your Project позволяет последовательно активировать все шесть функций для одного репозитория за 10–15 минут. GitHub подчёркивает, что эти меры не сделают проект полностью защищённым, однако закроют «простые входы», которыми злоумышленники сейчас массово пользуются, сканируя публичные репозитории.
Автор инициативы, эксперт по кибербезопасности и ИИ Joseph, известен open source-игрой gh.io/scg, через которую более 10 000 разработчиков прокачали практические навыки по безопасности. Его обучающие видео набрали свыше 2,8 млн просмотров, а за последние четыре года он выступил с 79 докладами в 25 странах, объясняя сложные темы простым языком.
GitHub также рассказывает о дополнительных инициативах по усилению безопасности open source: финансировании мейнтейнеров, партнёрстве с программой Alpha-Omega, расширении доступа к инструментам для снижения нагрузки на команды и укрепления цепочек поставок ПО. Компания делится опытом использования CodeQL в крупномасштабной среде и показывает, как Open Source Program Office применяет новый продукт для контроля лицензий и зависимостей.
Помимо этого GitHub сообщает о выпуске Git 2.55 и разбирает ключевые изменения в проекте Git, росте числа отчётов об уязвимостях в базе GitHub Advisory Database и подходах, которые применяются для обработки этого потока с участием сообщества.
Источник: материалы GitHub и GitHub Security Lab.
