GitHub、シークレットスキャンの検出器を改善　SpaceXを連携先に追加

何が発表されたか

GitHub は2026年11月5日、シークレットスキャンの検出器を更新したと発表した。

• 新規検出器: SpaceX の starlink_public_api_v2_secret をリポジトリ内で検出する
• 誤検知の低減: Alibaba、AWS、Google、OpenVSX、Pydantic Services、Tencent の各検出器でフィルタリングを改善した。例として Tencent はトークンのプレフィックスの後に英字と数字の両方を要求するようになった
• 連携先の追加: SpaceX がシークレットスキャンのパートナープログラムに参加した。公開リポジトリで SpaceX のシークレットが見つかった場合、GitHub が提供元へ通知し、失効や再発行ができるようにする

発表では利用者側に必要な作業は挙げられていない。「Partner」のシークレットは公開リポジトリで検出されると発行元へ自動通知され、「User」のシークレットは公開・非公開いずれのリポジトリでもアラートが生成される、という仕組みが示されている。

取るべき対応

影響を受けるのは GitHub でコードを管理しているすべての開発者・制作会社で、とくに AWS・Google・Alibaba・Tencent の各クラウドの鍵をリポジトリで扱っているチームに関係する。

• 誤検知の低減が入ったため、これまでノイズが多くてシークレットスキャンのアラートを無視する運用になっていた場合は、この機会に通知の確認フローを戻しておきたい
• 既存のアラートを一度棚卸しし、実際に有効な鍵が含まれていたものがないか確認する
• Starlink の公開API v2 を使っている場合は、鍵が公開リポジトリに入ると SpaceX 側へ自動通知される前提になったことを把握しておく
• 期限や強制的な移行は示されていないため、緊急対応が必要な変更ではない

検出器の改善は自動的に適用されるため、設定変更そのものは不要で、アラートの運用側の見直しが実務上のポイントになる。