GitHub a annoncé le 5 octobre 2026 cinq nouveaux types de secrets détectables par Secret Scanning. Ils concernent Lovable, Pydantic et Supabase : un élargissement du périmètre de surveillance des identifiants exposés dans les dépôts.
Quels identifiants sont concernés ?
La liste comprend lovable_api_key, logfire_token et pydantic_ai_gateway_api_key, ainsi que supabase_oauth_access_token et supabase_scoped_personal_access_token. L’annonce ne signifie pas que tous les secrets de ces services sont désormais détectés.
Notifications aux partenaires et alertes : deux circuits
Lovable rejoint aussi le programme de partenaires de GitHub. Quand un secret partenaire est repéré dans un dépôt public, GitHub le transmet à son émetteur pour qu’il puisse le révoquer ou le renouveler. Ce n’est pas une promesse de révocation automatique de chaque jeton.
La documentation officielle distingue ces notifications des alertes destinées aux responsables du dépôt. Les secrets partenaires sont signalés directement au fournisseur et n’apparaissent pas dans la liste des alertes du dépôt. Les secrets gérés par l’utilisateur suivent le circuit des alertes, sous réserve de la disponibilité du service.
La disponibilité dépend du dépôt
Le scan des dépôts publics est automatique et gratuit. Pour les dépôts privés ou internes d’une organisation, GitHub indique qu’il faut GitHub Secret Protection activé avec GitHub Team ou GitHub Enterprise Cloud.
Secret Scanning examine l’historique Git sur toutes les branches et effectue de nouveaux scans périodiques quand des types de secrets sont ajoutés. Cette détection reste une couche de surveillance : elle ne remplace pas la révocation ou le renouvellement d’un identifiant exposé, et ne garantit pas qu’aucune fuite ne passera inaperçue.
