GitHub 針對 Enterprise Cloud 用戶的公開外流監控（public monitoring）功能做了更新，這項功能原本就會掃描公開網路上是否出現企業自己的憑證或密鑰（secret），這次更新讓安全團隊可以更方便地處理找到的警示，也能知道外流的憑證到底還能不能用，解決過去只能看到警示、卻很難判斷優先順序與後續處理的問題。
新功能讓管理者可以直接把警示標記為已處理或重新開啟，加上留言說明，並查看完整的異動紀錄，也能依照 repository、提交者、憑證類型、處理狀態做篩選。系統還會針對有支援的服務商，持續自動檢查外流憑證目前是「有效」「失效」還是「無法確認」。另外也開放 REST API 查詢警示，並支援 secret_scanning_public_monitoring_alert 這個 webhook 事件，讓外部系統可以即時收到外流通知。
對企業的資安團隊來說，知道「外流的密碼或金鑰現在還能不能用」遠比只收到一則警示重要，因為真正有效的憑證才需要立刻處理，這次更新把驗證結果直接標示出來，等於幫團隊先做好第一輪的優先順序判斷，再透過 API 與 webhook 接進既有的事件應變流程，減少人工比對的時間。這項功能包含在現有的 GitHub Advanced Security 或 Secret Protection 授權裡，不需要額外付費。
這則消息比較偏向企業資安管理，跟剛開始學程式的孩子關係不大，但背後的概念值得記住：程式碼如果不小心把密碼、金鑰這類「secret」寫進去並公開上傳，是很常見也很危險的錯誤，GitHub 這類平台花很多力氣在偵測這件事，也提醒大家寫程式時要養成不把密碼直接寫在程式碼裡的習慣。
資安平台功能開發工具