Configuration de rapports de vulnérabilité privés pour un dépôt

Les propriétaires et administrateurs de dépôts publics peuvent permettre aux chercheurs en sécurité de signaler des vulnérabilités de façon sécurisée dans le dépôt en activant les rapports de vulnérabilité privés.

Qui peut utiliser cette fonctionnalité ?

Propriétaires de référentiels, propriétaire d’organisations, gestionnaires de sécurité et utilisateurs avec le rôle d’administrateur

Dans cet article

L’activation des rapports de vulnérabilités privées offre aux chercheurs de sécurité un moyen sécurisé et structuré de divulguer des vulnérabilités directement dans votre dépôt. Une fois activé, les chercheurs peuvent soumettre des rapports sans recourir à la divulgation publique ou aux canaux informels. Pour plus d’informations sur les rapports de vulnérabilité privés et sur la façon dont il s’adapte à la divulgation coordonnée, consultez À propos de la divulgation coordonnée des vulnérabilités de sécurité.

Les instructions de cet article font référence à l’activation au niveau d’un dépôt. Pour plus d’informations sur l’activation de la fonctionnalité au niveau d’une organisation, consultez la section À propos de la divulgation coordonnée des vulnérabilités de sécurité.

Activation ou désactivation des rapports de vulnérabilité privés pour un dépôt

  1. Sur GitHub, accédez à la page principale du référentiel.

  2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

    Capture d’écran d’un en-tête de dépôt montrant les onglets. L’onglet « Paramètres » est mis en évidence avec un encadré orange foncé.

  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Advanced Security.

  4. Sous « Advanced Security », à droite de « Rapports de vulnérabilité privés », cliquez sur Activer ou Désactiver pour activer ou désactiver la fonctionnalité, respectivement.

           ![Capture d’écran de la page « Sécurité et analyse du code », montrant le paramètre « Rapports de vulnérabilités privés ». Le bouton « Activer » est indiqué en orange.](/assets/images/help/security/private-vulnerability-reporting-enable-or-disable-repo.png)

Lorsque les rapports de vulnérabilité privés sont activés, les chercheurs de sécurité voient un bouton Signaler une vulnérabilité sur la page « Avis » du dépôt, ce qui leur permet de soumettre un rapport privé.

Capture d’écran montrant le bouton « Signaler une vulnérabilité » pour un dépôt où les rapports de vulnérabilité privés ont été activés.

Les chercheurs en sécurité peuvent également utiliser l’API REST pour signaler en privé les failles de sécurité. Consultez « Points de terminaison d’API REST pour les avis de sécurité de référentiels ».

Configuration des notifications pour la création de rapports de vulnérabilités privés

Lorsqu’une nouvelle vulnérabilité est signalée en privé dans un référentiel, GitHub avertit les administrateurs de référentiel et les gestionnaires de sécurité si :

  • Ils surveillent le référentiel pour toutes les activités ou sont abonnés aux notifications « Alertes de sécurité ».
  • Ils ont activé les notifications pour le dépôt.

Les notifications dépendent des préférences de notification de l’utilisateur. Vous recevrez une notification par e-mail si :

  • Vous observez le référentiel avec toutes les activités sélectionnées, ou avec les alertes de sécurité (disponibles sous Personnalisé) sélectionnées.
  • Dans vos paramètres de notification, sous Abonnements, puis sous Espion, vous avez sélectionné pour recevoir des notifications par e-mail.

  1. Sur GitHub, accédez à la page principale du référentiel.

  2. Pour commencer à surveiller le dépôt, sélectionnez Surveiller.

    Capture d’écran de la page principale du dépôt. Un menu déroulant intitulé « Surveiller » est mis en évidence avec un encadré orange.

  3. Dans le menu déroulant, sélectionnez Toutes les activités pour recevoir des notifications pour toutes les activités, ou sélectionnez Personnalisé, puis les alertes de sécurité pour recevoir des notifications uniquement pour les alertes de sécurité.

  4. Accédez aux paramètres de notification de votre compte personnel. Ceux-ci sont disponibles sur https://github.com/settings/notifications.

  5. Dans la page des paramètres de notification, sous « Abonnements », puis sous « Espion », cliquez sur la liste déroulante Me notifier .

  6. Sélectionnez « E-mail » comme option de notification, puis cliquez sur Enregistrer.

    Capture d’écran des paramètres de notification pour un compte d’utilisateur. Sous « Abonnements » et « Surveillance », une case à cocher, intitulée « Email », est mise en évidence en orange.

Pour plus d’informations sur la configuration des préférences de notification, consultez Gestion des paramètres de sécurité et d’analyse pour votre dépôt et Configuration de vos paramètres de surveillance pour un référentiel spécifique.