GitHub memperluas Secret Scanning ke log workflow GitHub Actions. Fitur ini tersedia dalam public preview untuk enterprise di GitHub Enterprise Cloud yang memakai GitHub Secret Protection atau GitHub Advanced Security, termasuk lingkungan GHE.com dengan data residency.

Pengumuman GitHub pada 9 November 2026 menutup salah satu celah yang sering luput dari pemeriksaan keamanan. Secret tidak selalu masuk ke source code atau riwayat commit. Ia bisa muncul ketika skrip build mencetak environment variable, alat deployment menampilkan konfigurasi terlalu banyak, atau sebuah program menulis token ke standard output. Semua itu kemudian tersimpan di log workflow dan dapat dibaca oleh orang yang punya akses ke repository.

Dalam alur barunya, GitHub memindai log setelah sebuah workflow selesai. Scanner mencari pola secret dari provider yang didukung. Temuan masuk ke daftar alert Secret Scanning repository, bersama alert yang berasal dari kode dan konten lain. Alert tersebut menyertakan tautan kembali ke log workflow yang menjadi lokasi temuan. Untuk jenis secret yang mendukungnya, GitHub juga menjalankan validity check agar tim dapat memprioritaskan kredensial yang masih aktif.

Ada satu detail yang penting untuk respons insiden: menghapus log tidak menghapus alert. GitHub mengatakan alert tetap tersedia setelah log workflow dihapus. Ini masuk akal secara operasional, karena menghapus bukti lokasi kebocoran bukan berarti token sudah tidak berlaku. Jika kredensial masih aktif, tim tetap perlu mencabut atau merotasinya melalui layanan penerbit.

Fitur ini tidak aktif secara default. Enterprise owner perlu membukanya dari pengaturan enterprise, melalui Policies lalu Advanced Security, dan memilih Enabled pada kebijakan Secret Scanning for Actions workflow logs. Kebijakan itu hanya berlaku pada repository yang sudah mengaktifkan Secret Scanning dan berada di bawah lisensi yang memenuhi syarat.

Cakupannya juga lebih sempit daripada namanya. Hanya workflow run yang selesai setelah fitur diaktifkan yang akan dipindai. Log lama tidak diproses ulang, sehingga mengaktifkan kebijakan hari ini tidak otomatis membersihkan jejak kebocoran yang terjadi minggu lalu. Tim yang membutuhkan pemeriksaan historis tetap harus menggunakan proses audit atau alat lain.

GitHub juga mengecualikan beberapa jenis temuan dari preview ini. Generic patterns, custom patterns, secret yang dideteksi AI, dan secret yang sudah dimask oleh GitHub Actions tidak termasuk dalam pemindaian tersebut. Dengan kata lain, fitur ini bukan pengganti penuh untuk masking variable, aturan pipeline, custom detector, atau kebiasaan tidak mencetak kredensial ke output.

Batasan yang paling mudah terlewat adalah soal notifikasi. Selama public preview, alert yang berasal dari log workflow tidak mengirim notifikasi. Administrator atau tim keamanan harus membuka daftar Secret Scanning alert secara langsung untuk menemukannya. Organisasi yang mengaktifkan fitur tanpa menentukan siapa yang memeriksa daftar itu berisiko memiliki scanner yang bekerja, tetapi temuan yang tidak pernah ditindaklanjuti.

Perubahan ini lebih berguna dibaca sebagai lapisan deteksi tambahan daripada jaminan bahwa log CI aman. GitHub Actions tetap perlu diperlakukan sebagai permukaan yang bisa membocorkan kredensial. Permission workflow sebaiknya dibatasi, secret tidak dicetak untuk debugging, dan log deployment perlu ditinjau dengan asumsi bahwa pembaca repository mungkin juga dapat melihat output tertentu.

Ada pula pertanyaan praktis saat alert ditemukan. Karena alert bertahan setelah log dihapus, langkah pertama bukan sekadar membersihkan workflow history. Tim perlu memastikan jenis kredensialnya, memeriksa status validitas bila tersedia, melakukan revoke atau rotate, lalu menelusuri apakah token yang sama muncul di run lain. Setelah itu, workflow perlu diperbaiki agar kebocoran tidak berulang.

Bagi pengguna GitHub Enterprise Cloud yang memenuhi syarat, public preview ini layak diuji pada repository yang memiliki pipeline deployment atau integrasi pihak ketiga. Namun pengujiannya perlu disertai prosedur triase dan rotasi secret. Tanpa itu, perluasan area pemindaian hanya menambah daftar alert baru—bukan mempercepat perbaikan.

Sumber GitHub Changelog, 9 November 2026: https://github.blog/changelog/2026-11-09-secret-scanning-detects-secrets-in-github-actions-workflow-logs Dokumentasi pendukung GitHub tentang Secret Scanning: https://docs.github.com/en/code-security/concepts/secret-security/secret-scanning Dokumentasi GitHub tentang validity checks: https://docs.github.com/en/code-security/concepts/secret-security/validity-checks