GitHub amplia bloqueio automático de chaves expostas antes do push

O GitHub ampliou a cobertura do secret scanning e da proteção de push. Repositórios com o recurso habilitado, incluindo projetos públicos gratuitos, passam a bloquear automaticamente novos tipos de credenciais antes que sejam enviados ao histórico.

A lista agora inclui chaves da APIclub e da Mistral, tokens OAuth da PostHog e chaves da Resend. O Lovable Labs também entrou no programa de parceiros, permitindo que chaves encontradas em repositórios públicos sejam encaminhadas ao provedor para resposta.

Alertas de Cohere, GoCardless e Square ganharam metadados adicionais quando disponíveis. O painel pode mostrar proprietário, datas de criação e expiração, projeto e organização ligados ao segredo, reduzindo o tempo necessário para avaliar impacto.

O bloqueio no push é uma barreira importante, mas não substitui rotação e credenciais de curta duração. Uma chave que chegou a um commit local, log, artefato ou mensagem deve ser tratada como potencialmente exposta, mesmo quando o envio remoto foi impedido.