GitHub permet désormais de réserver certains commentaires d’un avis de sécurité aux personnes ayant un accès en écriture au dépôt. Cette option, annoncée le 2 octobre 2026, sépare les échanges internes des messages partagés avec les autres participants.
Une visibilité liée aux droits du dépôt
Un auteur de signalement ou un collaborateur invité sans droit d’écriture ne voit pas ces commentaires et ne reçoit pas de notification. L’accès suit les permissions actuelles : perdre le droit d’écriture fait aussi perdre la possibilité de les lire.
Le mode confidentiel doit être sélectionné avant l’envoi. Un commentaire publié ne peut ensuite basculer entre mode ordinaire et confidentiel. La fonction concerne les dépôts publics avec signalement privé de vulnérabilités activé, sur GitHub Free, Pro, Team et Enterprise Cloud.
Un outil de coordination, pas une divulgation publique
La documentation officielle rappelle le rôle des avis de sécurité : discuter d’une vulnérabilité en privé, préparer un correctif dans une branche dérivée privée temporaire, puis publier un avis pour informer la communauté. Ce parcours existait avant cette annonce.
La publication aide les utilisateurs à examiner l’impact de la faille et à mettre à jour leurs dépendances. Un commentaire interne et un avis rendu public répondent donc à deux besoins différents dans ce travail entre chercheurs et mainteneurs.
Le choix des destinataires devient essentiel
Notre lecture : cette séparation peut éviter de déplacer une discussion interne vers un autre outil. Elle demande néanmoins de vérifier les droits effectifs des participants avant l’envoi. Il s’agit d’un contrôle d’accès aux messages, pas d’une garantie sur la qualité du correctif.
