GitHub ajoute un filtre de volume aux signalements privés de vulnérabilités. Dans son annonce du 1er octobre 2026, la plateforme présente des limites quotidiennes destinées à réduire les soumissions massives qui encombrent les mainteneurs de projets.
Les nouveaux rapports sont concernés
Les plafonds portent sur le nombre de nouveaux signalements qu’un même compte peut transmettre chaque jour, à la fois à un dépôt et sur GitHub dans son ensemble. Une fois une limite atteinte, le chercheur reçoit un message lui demandant de réessayer plus tard. Les commentaires sur les avis de sécurité déjà ouverts ne sont pas concernés.
Les administrateurs peuvent également fixer un plafond quotidien global pour leur dépôt et ajouter des chercheurs de confiance à une liste exemptée des limitations. L’annonce ne donne pas de seuil numérique par défaut : impossible d’en déduire un quota universel.
Une fonction réservée aux dépôts publics concernés
Cette évolution s’applique aux dépôts publics où le signalement privé est activé, sur GitHub Free, Pro, Team et Enterprise Cloud. Elle ne signifie pas que tous les dépôts disposent automatiquement de ce canal.
La documentation officielle décrit une transmission confidentielle aux responsables du dépôt, par le formulaire de sa page Advisories ou par l’API REST. L’activation se fait dans les paramètres Advanced Security. Les notifications restent liées aux abonnements et préférences des utilisateurs.
Moins de bruit ne signifie pas moins de failles
Notre lecture : cette mesure peut aider une petite équipe à organiser la réception des rapports, mais elle ne remplace ni leur analyse ni la correction du logiciel. Une liste de confiance doit notamment rester une décision de l’administrateur, pas une reconnaissance automatique de la validité d’un signalement.
Le changement concerne donc le traitement des soumissions, et non une garantie de sécurité. Nous n’avons pas testé ces réglages sur un dépôt : cet article décrit l’annonce et le fonctionnement documenté, sans mesurer leur efficacité réelle.
