Créer une configuration de sécurité personnalisée pour votre entreprise

À propos de custom security configurations

Nous recommandons de sécuriser votre entreprise avec la GitHub-recommended security configuration, puis d'évaluer les résultats de sécurité sur vos dépôts avant de configurer les custom security configurations. Pour plus d’informations, consultez « Appliquer la configuration de sécurité recommandée par GitHub à votre entreprise ».

Avec custom security configurations, vous pouvez créer des collections de paramètres d'activation pour les produits de sécurité de GitHub afin de répondre aux besoins de sécurité spécifiques de votre entreprise. Par exemple, vous pouvez créer une custom security configuration différente pour chaque organisation ou groupe d'organisations afin de refléter leurs exigences de sécurité uniques et leurs obligations de conformité.

Vous pouvez également choisir d’inclure ou non les fonctionnalités GitHub Code Security ou GitHub Secret Protection dans une configuration.

Si vous le faites, gardez à l’esprit que ces fonctionnalités entraînent des coûts d’utilisation (ou nécessitent des licences GitHub Advanced Security) lorsqu’elles sont appliquées à des référentiels privés et internes. Pour plus d’informations, consultez « À propos de GitHub Advanced Security ».

Création d’une configuration Secret Protection and Code Security

1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil.

2. En fonction de votre environnement, cliquez sur Votre entreprise ou sur Vos entreprises, puis cliquez sur l'entreprise que vous souhaitez consulter.

3. En haut de la page, cliquez sur Paramètres.

4. Dans la barre latérale gauche, cliquez sur Advanced Security.

5. Dans la section « Security configurations », cliquez sur Nouvelle configuration.

6. Pour vous aider à identifier votre custom security configuration et clarifier son objectif sur la page « Security configurations », nommez votre configuration et créez une description.

7. Vous pouvez également activer « Secret Protection », une fonctionnalité payante pour les référentiels privés et internes . L’activation de Secret Protection active les alertes pour secret scanning. De plus, vous pouvez choisir d’activer, de désactiver ou de conserver les paramètres existants pour les fonctionnalités suivantes secret scanning :

   • Contrôles de validité. Pour en savoir plus sur les vérifications de validité des modèles de partenaire, consultez Évaluation des alertes à partir de l’analyse des secrets.
   • Modèles non-fournisseurs. Pour en savoir plus sur l’analyse des modèles non-fournisseurs, consultez Modèles d’analyse de secrets pris en charge et Affichage et filtrage des alertes à partir de l’analyse des secrets.
   • Analyser les mots de passe génériques. Pour en savoir plus, consultez Détection responsable des secrets génériques avec l’analyse des secrets Copilot.
   • Protection push. Pour en savoir plus sur la protection d’envoi (push), consultez À propos de la protection push.
   • Empêcher les rejets d’alertes directs. Pour en savoir plus, consultez Activation du rejet d’alerte délégué pour l’analyse des secrets.

8. Vous pouvez également activer « Code Security », une fonctionnalité payante pour les référentiels privés et internes . Vous pouvez choisir d’activer, de désactiver ou de conserver les paramètres existants pour les fonctionnalités suivantes code scanning :

   • Configuration par défaut. Pour en savoir plus sur la configuration par défaut, consultez Définition de la configuration par défaut pour l’analyse du code.

     Remarque

     Pour créer une configuration que vous pouvez appliquer à tous les référentiels, quelle que soit la configuration actuelle code scanning, sélectionnez « Activé avec configuration avancée autorisée ». Ce paramètre active la configuration par défaut uniquement dans les référentiels où l'analyse CodeQL n'est pas activement exécutée. Option disponible à partir de GitHub Enterprise Server 3.19.

   • Type d’exécuteur. Si vous souhaitez cibler des exécuteurs spécifiques pour code scanning, vous pouvez choisir d’utiliser des exécuteurs étiquetés personnalisés à cette étape. Consultez Définition de la configuration par défaut pour l’analyse du code.
   • Empêcher les rejets d’alertes directs. Pour en savoir plus, consultez Activation du rejet d’alerte délégué pour l’analyse du code.

9. Toujours sous « Code Security », dans le tableau « Analyse des dépendances », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités d’analyse des dépendances suivantes :

   • Graphe des dépendances. Pour en savoir plus sur graphe des dépendances, consultez À propos du graphe de dépendances.

     Conseil

     Lorsque « Code Security » et le graphe des dépendances sont activés, cela permet la révision des dépendances, consultez À propos de la vérification des dépendances.

   • Soumission automatique des dépendances. Pour en savoir plus sur la soumission automatique des dépendances, consultez Configuration de la soumission automatique des dépendances pour votre dépôt.
   • Les alertes Dependabot. Pour plus d’informations sur Dependabot, consultez À propos des alertes Dependabot.
   • Mises à jour de sécurité. Pour en savoir plus sur les mises à jour de sécurité, consultez À propos des mises à jour de sécurité Dependabot.

10. Pour le « Signalement privé des vulnérabilités », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants. Pour en savoir plus sur les rapports de vulnérabilité privés, consultez Configuration de rapports de vulnérabilité privés pour un dépôt.

11. Vous pouvez également, dans la section « Stratégie », utiliser des options supplémentaires pour contrôler la manière dont la configuration est appliquée :

    • Utilisation par défaut pour les référentiels nouvellement créés. Sélectionnez le menu déroulant Aucun , puis cliquez sur Publique, Privé et interne, ou Tous les référentiels.

      Remarque

      La security configuration par défaut d’une organisation est uniquement appliquée automatiquement aux nouveaux référentiels créés dans votre organisation. Si un référentiel est transféré dans votre organisation, vous devez toujours appliquer manuellement une security configuration au référentiel.

    • Appliquer la configuration. Bloquer les propriétaires de référentiels de blocs pour qu’ils ne modifient pas les fonctionnalités activées ou désactivées par la configuration (les fonctionnalités qui ne sont pas définies ne sont pas appliquées). Sélectionnez Appliquer dans le menu déroulant.

12. Pour terminer la création de votre custom security configuration, cliquez sur Enregistrer la configuration.

Création d’une configuration GitHub Advanced Security

1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil.

2. En fonction de votre environnement, cliquez sur Votre entreprise ou sur Vos entreprises, puis cliquez sur l'entreprise que vous souhaitez consulter.

3. En haut de la page, cliquez sur Paramètres.

4. Dans la barre latérale gauche, cliquez sur Advanced Security.

5. Dans la section supérieure, cliquez sur Nouvelle configuration.

6. Pour faciliter l’identification de votre custom security configuration et clarifier son objectif sur la page « Nouvelle configuration », nommez votre configuration et créez une description.

7. Sur la ligne « Fonctionnalités GitHub Advanced Security », choisissez d’inclure ou d’exclure les fonctionnalités GitHub Advanced Security (GHAS).

8. Dans le tableau « Secret scanning », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités de sécurité suivantes :

   • Contrôles de validité. Pour en savoir plus sur les vérifications de validité des modèles de partenaire, consultez Évaluation des alertes à partir de l’analyse des secrets.
   • Modèles non-fournisseurs. Pour en savoir plus sur l’analyse des modèles non-fournisseurs, consultez Modèles d’analyse de secrets pris en charge et Affichage et filtrage des alertes à partir de l’analyse des secrets.
   • Analyser les mots de passe génériques. Pour en savoir plus, consultez Détection responsable des secrets génériques avec l’analyse des secrets Copilot.
   • Protection push. Pour en savoir plus sur la protection d’envoi (push), consultez À propos de la protection push.
   • Empêcher les rejets d’alertes directs. Pour en savoir plus, consultez Activation du rejet d’alerte délégué pour l’analyse des secrets.

9. Dans le tableau « Code scanning », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour la configuration par défaut de code scanning.

   • Configuration par défaut. Pour en savoir plus, consultez Définition de la configuration par défaut pour l’analyse du code.

     Remarque

     Pour créer une configuration que vous pouvez appliquer à tous les référentiels, quelle que soit la configuration actuelle code scanning, sélectionnez « Activé avec configuration avancée autorisée ». Ce paramètre active la configuration par défaut uniquement dans les référentiels où l'analyse CodeQL n'est pas activement exécutée. Option disponible à partir de GitHub Enterprise Server 3.19.

   • Type d’exécuteur. Si vous souhaitez cibler des exécuteurs spécifiques pour code scanning, vous pouvez choisir d’utiliser des exécuteurs étiquetés personnalisés à cette étape. Consultez Définition de la configuration par défaut pour l’analyse du code.
   • Empêcher les rejets d’alertes directs. Pour en savoir plus, consultez Activation du rejet d’alerte délégué pour l’analyse du code.

10. Dans le tableau « Analyse des dépendances », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités d’analyse des dépendances suivantes :

    • Graphe des dépendances. Pour en savoir plus sur graphe des dépendances, consultez À propos du graphe de dépendances.

      Conseil

      Lorsque « GitHub Advanced Security » et le graphe des dépendances sont activés, cela permet la révision des dépendances, consultez À propos de la vérification des dépendances.

    • Soumission automatique des dépendances. Pour en savoir plus sur la soumission automatique des dépendances, consultez Configuration de la soumission automatique des dépendances pour votre dépôt.
    • Les alertes Dependabot. Pour plus d’informations sur Dependabot, consultez À propos des alertes Dependabot.
    • Mises à jour de sécurité. Pour en savoir plus sur les mises à jour de sécurité, consultez À propos des mises à jour de sécurité Dependabot.

11. Pour le « Signalement privé des vulnérabilités », choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants. Pour en savoir plus sur les rapports de vulnérabilité privés, consultez Configuration de rapports de vulnérabilité privés pour un dépôt.

12. Vous pouvez également, dans la section « Stratégie », utiliser des options supplémentaires pour contrôler la manière dont la configuration est appliquée :

    • Utilisation par défaut pour les référentiels nouvellement créés. Sélectionnez le menu déroulant Aucun , puis cliquez sur Publique, Privé et interne, ou Tous les référentiels.

      Remarque

      La security configuration par défaut d’une organisation est uniquement appliquée automatiquement aux nouveaux référentiels créés dans votre organisation. Si un référentiel est transféré dans votre organisation, vous devez toujours appliquer manuellement une security configuration au référentiel.

    • Appliquer la configuration. Bloquer les propriétaires de référentiels de blocs pour qu’ils ne modifient pas les fonctionnalités activées ou désactivées par la configuration (les fonctionnalités qui ne sont pas définies ne sont pas appliquées). Sélectionnez Appliquer dans le menu déroulant.

13. Pour terminer la création de votre custom security configuration, cliquez sur Enregistrer la configuration.

Étapes suivantes

Pour configurer éventuellement des paramètres supplémentaires secret scanning pour l'entreprise, consultez Configuration des paramètres d’analyse de secrets supplémentaires pour votre entreprise.

Pour appliquer votre custom security configuration aux référentiels de votre organisation, consultez Application d’une configuration de sécurité personnalisée.

Pour savoir comment modifier votre custom security configuration, consultez Modification d’une configuration de sécurité personnalisée.