6 обязательных настроек безопасности для поддерживаемых репозиториев GitHub

Что изменилось?

GitHub опубликовал практическое руководство «6 security settings every GitHub maintainer should enable this week». В нём перечислены шесть бесплатных параметров, которые любой мейнтейнер может включить прямо сейчас, чтобы закрыть самые простые, но часто эксплуатируемые пути атаки.

Ключевые настройки

1. Require pull‑request reviews before merging – обязательный код‑ревью для всех PR, что предотвращает случайный ввод уязвимого кода.
2. Enable branch protection rules – защита веток от принудительного пуша и удаления, а также требование статуса CI перед слиянием.
3. Require signed commits – подпись коммитов GPG/SSH, подтверждающая их подлинность.
4. Enable secret scanning – автоматический поиск случайно закоммиченных токенов и паролей.
5. Enable Dependabot alerts & security updates – уведомления о уязвимостях в зависимостях и автоматическое обновление патчей.
6. Enable code scanning with GitHub Advanced Security – статический анализ кода на наличие уязвимостей.

Все эти опции доступны в бесплатных планах и не требуют дополнительных расходов. В статье подчёркивается, что они не сделают ваш проект «непробиваемым», но существенно усложнят задачу злоумышленникам, закрывая «лёгкие двери».

Как включить?

Каждую настройку можно активировать в разделе Settings → Security & analysis репозитория. GitHub предоставляет пошаговые инструкции и примеры конфигураций, что упрощает процесс даже для новичков.

Почему это важно?

С ростом количества публичных репозиториев и открытого кода, автоматические проверки становятся первым рубежом защиты. По данным GitHub, более 30 % утечек данных происходит из‑за случайных коммитов с токенами, а secret scanning уже помог обнаружить более 200 000 таких инцидентов в 2025 году.

Для более детального разбора см. оригинальную публикацию на GitHub Blog.