Plus de 540 000 identifiants actifs encore exposés sur GitHub

Truffle Security a identifié 543 699 identifiants uniques encore actifs dans des dépôts publics sur GitHub, selon des rapports vérifiés auprès de SecurityWeek et BleepingComputer. L'entreprise a scanné 224 millions de dépôts publics en août 2025 et a découvert un total de 1 103 438 identifiants exposés. À la fin juillet 2026, elle a testé ces identifiants et constaté que plus de la moitié étaient toujours valides. La durée médiane d'exposition est de 784 jours, et certains identifiants, comme une clé AWS, datent de 2009. Environ 2 636 identifiants fonctionnent encore dans des fichiers modifiés avant 2015, et un quart de l'ensemble total a plus de quatre ans.

Impact des protections de GitHub

GitHub a activé par défaut sa fonctionnalité de protection contre les fuites accidentelles, Push Protection, en février 2024. Pourtant, 199 843 des identifiants actifs—environ 36,8 % du total—ont été exposés après cette date. Plus de la moitié (51,8 %) des identifiants fonctionnels appartiennent à des catégories que Push Protection ne bloque pas par défaut, notamment les chaînes de connexion de bases de données et les clés API Google. Dans les catégories protégées, le taux d'exposition a chuté de 53 % après l'activation de la protection, ce qui suggère que la mesure est efficace là où elle s'applique.

L'analyse montre également des disparités importantes selon le type d'identifiant. Sur 101 886 jetons npm exposés, seul un était encore fonctionnel, tandis que sur 126 963 identifiants de comptes de services Google Cloud, 69 041 étaient toujours valides au moment de l'examen. Ces variations soulignent que certains services révoquent les identifiants exposés plus rapidement que d'autres.

Recommandations et incertitudes

Les chercheurs conseillent aux organisations de faire tourner immédiatement tout identifiant exposé, de nettoyer les dépôts affectés, de scanner l'historique des modifications et de mettre en place une expiration automatique pour les secrets actifs. Bien que l'étude révèle l'ampleur de l'exposition, elle ne précise pas quelle fraction de ces identifiants a été volée et utilisée par des attaquants, laissant une incertitude quant l'impact réel sur la sécurité.

L'histoire a été vérifiée auprès de SecurityWeek et BleepingComputer, offrant une vue croisée des résultats.