GitHub a étendu, le 13 octobre 2026, son dispositif de secret scanning à deux nouveaux types de clés : les clés API Anthropic, désormais bloquées par défaut en push protection, et les jetons OAuth2 de Salesforce Marketing Cloud, couverts par un nouveau partenariat. Une clé Cloudsmith rejoint également la liste des détecteurs automatiques. Pour les équipes qui manipulent des clés d’API de modèles de langage dans leurs dépôts, la bascule change concrètement ce qui se passe au moment du git push.
Ce qui change concrètement au moment du push
Jusqu’ici, une clé Anthropic exposée dans un dépôt public finissait par être détectée après coup, puis transmise au partenaire pour révocation. Avec la mise à jour, les clés API de service et les clés API utilisateur Anthropic sont intégrées à la push protection par défaut : un commit qui en contient une est bloqué avant d’atteindre GitHub, sur tout dépôt où le secret scanning est actif, y compris les dépôts publics gratuits.
$ git push origin main
remote: error: GH013: Repository rule violations found
remote:
remote: — Push cannot contain secrets —
remote:
remote: Anthropic API Key
remote: locations:
remote: - commit: 7e4f21a
remote: path: config/settings.py:14
remote:
remote: (?) To push, remove the secret from your commit(s),
remote: or allow the push at:
remote: https://github.com/OWNER/REPO/security/secret-scanning/unblock/...
Trois détecteurs, deux logiques différentes
La mise à jour ne traite pas tous les nouveaux partenaires de la même façon : seules les clés Anthropic basculent en blocage par défaut, Salesforce et Cloudsmith n’étant couverts pour l’instant qu’en détection.
| Fournisseur | Secret détecté | Push protection par défaut |
|---|---|---|
| Anthropic | Clé API de service, clé API utilisateur | Oui (nouveau) |
| Salesforce | Jeton OAuth2 Marketing Cloud | Détection uniquement |
| Cloudsmith | Clé API | Détection uniquement |
Pour les dépôts publics, un mécanisme existait déjà en amont de cette mise à jour : GitHub est partenaire de scanning de secrets avec Anthropic depuis 2024, et transmet les clés exposées trouvées dans des dépôts publics afin que le fournisseur les révoque. La nouveauté du 13 octobre porte sur le blocage préventif à la source, avant que la clé ne soit seulement visible dans l’historique public.
L’angle mort qui reste : l’historique déjà publié
La push protection agit sur les nouveaux commits, pas rétroactivement sur un historique Git déjà poussé. Une clé Anthropic qui circule depuis plusieurs mois dans un dépôt, même privé, n’est pas automatiquement neutralisée par cette mise à jour : elle continue de dépendre de la détection existante et, pour les comptes GitHub Advanced Security, du blocage sur dépôts privés.
Depuis le 13 octobre 2026, un commit contenant une clé API Anthropic est bloqué avant même d’atteindre GitHub, sur tout dépôt où le secret scanning est actif.
Une clé déjà exposée dans l’historique d’un dépôt, même ancien, reste valide tant qu’elle n’a pas été révoquée manuellement. Le blocage au push ne dispense pas d’un audit de l’historique existant ni de la rotation des clés déjà commises, un réflexe proche de celui recommandé pour tout socle de sécurité minimal.
Ce qu’il faut retenir
L’extension du secret scanning aux clés Anthropic ferme une fenêtre d’exposition réelle pour les équipes qui intègrent des appels à l’API Claude dans leur code, en bloquant la fuite au moment du push plutôt qu’après coup. Ce n’est pas la première extension du genre : GitHub avait déjà élargi la détection aux clés Lovable et Supabase début octobre, et procède par vagues de partenaires successives plutôt que par refonte unique. Reste que la protection ne couvre que les nouveaux pushs : les clés déjà présentes dans un historique Git demandent toujours une revue et une rotation manuelles.
C’est le genre de mise à jour que je recommande de vérifier sur ses propres dépôts plutôt que de supposer acquise : la push protection par défaut ne s’applique qu’aux dépôts où le secret scanning est actif, et tous les comptes ne l’ont pas activé de la même manière selon l’ancienneté du dépôt. Un audit rapide de la configuration de sécurité, sur les projets qui appellent une API de modèle de langage, prend moins de temps qu’une rotation de clé en urgence un dimanche soir. — Simon Janvier
Source primaire : GitHub Changelog, « Secret scanning blocks Anthropic keys by default, adds Salesforce », 13 octobre 2026.
