GitHub розширив захист від випадкового потрапляння API-ключів у репозиторії. В оновленні від 13 жовтня 2026 року компанія додала до стандартного покриття push protection два типи ключів Anthropic: anthropic_service_api_key та anthropic_user_api_key. Для невеликих команд, які інтегрують ШІ у власні продукти, практичний висновок простий: перевірити налаштування захисту саме тих репозиторіїв, де працюють з інтеграцією.
Що змінилося
За повідомленням GitHub, secret scanning отримав детектори для обох зазначених типів ключів Anthropic, а також для cloudsmith_api_key. До розширення стандартного покриття push protection у цьому анонсі належать лише два типи Anthropic. Додавання детектора Cloudsmith саме по собі не підтверджує таке ж розширення для нього.
Secret scanning шукає підтримувані секрети, а push protection може зупинити надсилання змін із ними до репозиторію. Це різні механізми, і саме тут важлива обережність із формулюванням «за замовчуванням».
Що перевірити команді
У релізі GitHub говорить про автоматичне блокування для репозиторіїв з увімкненим secret scanning. Водночас інструкція з налаштування окремо вимагає ввімкнути Push protection. Тому анонс не варто сприймати як підтвердження, що потрібний захист уже діє в кожному вашому репозиторії.
Власнику репозиторію або відповідальному адміністратору варто відкрити Settings, перейти до Advanced Security і перевірити фактичний стан Secret Protection та Push protection. Якщо налаштування контролює організація, уточніть їх у її адміністратора. Не перевіряйте функцію, додаючи справжній ключ у код.
Для публічних репозиторіїв secret scanning працює автоматично й безкоштовно. Для приватних і внутрішніх репозиторіїв організацій він доступний із GitHub Secret Protection на GitHub Team або GitHub Enterprise Cloud. Команді з приватним кодом потрібно перевірити і налаштування, і доступність функції у своєму плані.
Де проходить межа захисту
Документація GitHub пояснює, що push protection підтримує лише найновіші версії токенів, які система може впевнено розпізнати. Відсутність блокування не доводить, що в змінах немає секретів, і не означає покриття всіх ключів Anthropic.
Редакційна рекомендація для малого бізнесу: визначити відповідального за перевірку налаштувань і розгляд сповіщень, а ключі тримати поза вихідним кодом. Якщо ключ уже розкрито, потрібна окрема реакція на витік, а не лише зміна налаштувань сканування. Цей анонс описує розширення покриття; він не містить оцінки зекономлених коштів чи доказів запобігання конкретному інциденту.
підготовлено редакцією НАДАЛІ з використанням ШІ
Повідомлення GitHub перевірено 13 жовтня 2026 року; три сторінки документації повторно перевірено 14 жовтня 2026 року. Дата анонсу: 13 жовтня 2026 року.
