GitHubは2026年10月20日、認証情報などの秘密情報を見つけるシークレット検出の改善と不具合修正を発表しました。2026年11月12日には、一部の監査ログで企業を識別する値の形式を変更する予定です。監査ログを外部の監視や通知に連携している会社は、表示名に依存した絞り込みがないか確認が必要です。
監査ログのbusiness値が表示名からslugへ
変更対象は、該当するsecret_scanning_alert.*イベントと、secret_scanning_push_protection.bypassです。これらの監査ログに含まれるbusiness値が、エンタープライズの表示名から、識別に使う文字列のslugへ変わります。
businessの型は文字列のままです。イベント名と、数値のbusiness_idも変わりません。今回の確認ポイントは、イベントそのものを取得できるかだけではなく、取得後の処理が表示名を前提にしていないかです。
GitHubは、表示名で絞り込む連携について、変更前に表示名とslugの両形式に対応するか、business_idを使うよう推奨しています。ログの受信が続いていても、絞り込み条件から外れれば、その後の通知や集計に影響する可能性があります。
却下リクエストのWebhookにも変更があります。外部へ通知を送るWebhookに、リポジトリ内の要求番号を示すexemption_request.numberが追加されました。GitHubは、連携間で同じ要求を照合する際、リポジトリと要求番号の組み合わせを使うよう案内しています。
符号化されたトークンの失効処理も拡充
公開プレビュー中の失効処理は、Base64という形式で符号化されたGitHubトークンにも対応しました。対象は、github.com上でシークレット検出を有効にした非公開・内部リポジトリです。
対象のトークンは、従来型ときめ細かな個人アクセストークン、OAuthアクセストークン、GitHub Appユーザーアクセストークンです。失効処理では、符号化されたトークンの値を自動で復号します。この機能は公開プレビューであり、正式提供としての発表ではありません。
カスタムパターンの編集後も、再走査で一致する既存アラートは開いた状態を維持します。また、コマンドラインからのプッシュで検出後に別ルールが動いた場合、バイパス要求のAPI・Webhook詳細が空になる不具合などを修正しました。
APIのエラー応答にも変更があります。カスタムパターンAPIで走査サービスが不正な引数を拒否した場合、応答は500ではなく422になります。エラー番号ごとに処理を分けている連携は、こちらも確認対象です。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 対象の監査ログを取得し、
businessの表示名で絞り込んでいる会社です。2026年11月12日の変更に向けて、連携側の条件を見直す必要があります。
- 影響する: github.comの非公開・内部リポジトリでシークレット検出を有効にし、公開プレビュー中の失効処理を使う会社です。符号化済みトークンが対応対象に加わります。
- 影響しない: 対象の監査ログを取り込んでいない会社は、今回の
business値変更に伴うログ連携の修正対象ではありません。ただし、ほかの改善や修正の影響は別に確認してください。
- 影響しない: 企業の識別に数値の
business_idだけを使う連携では、その識別値は変わりません。表示名を別の処理で使っていないかは確認が必要です。
