GitHub Secret Scanning 2026, 공개 저장소 API 키 유출·Push Protection 기준
API 키 유출 대응은 탐지보다 회전, 감사, 예외 승인 흐름이 더 중요하다. GitHub Secret Scanning은 저장소 보안 기능 이름으로 끝나지 않는다. 개발자가 토큰을 커밋했을 때 누가 몇 분 안에 키를 폐기하고, 어떤 로그로 사용 흔적을 확인하며, 어떤 예외를 승인할지 정하는 운영 체계다. 이번 GitHub 변경에서 봐야 할 부분은 새 detector 목록보다 public monitoring, push protection 기본값 확대, webhook payload의 secret_category 추가다. 이 조건이면 단순 알림 구독보다 보안팀의 라우팅 정책과 개발팀의 우회 승인 절차를 먼저 정해야 한다. 핵심 요약 GitHub Secret Scanning은 저장소 안의 토큰뿐 아니라 이슈, PR, Discussions, wiki, secret gist 같은 비코드 표면까지 확인한다. Public monitoring은 엔터프라이즈 소유 저장소 밖의 공개 저장소 유출까지 멤버와 검증 도메인 기준으로 연결해 보여준다. Push Protection은 유출 후 알림이 아니라 push 시점 차단이므로 우회 사유, 감사 로그, 관리자 알림 정책이 같이 필요하다. Webhook의 secret_category는 default와 generic 탐지를 구분해 자동화 큐를 나눌 때 실무 가치가 크다. 이 글이 필요한 사람 GitHub Enterprise 또는 조직 저장소에서 API 키 유출 대응 SLA를 정해야 하는 보안 관리자 개발자 경험을 해치지 않으면서 push protection 우회 정책을 설계해야 하는 플랫폼 엔지니어 GitHub webhook, REST API, SIEM, 티켓 시스템을 연결해 secret alert를 처리하려는 DevSecOps 담당자 외주, 개인 계정, 공개 저장소 커밋에서 회사 도메인 유출을 추적해야 하는 보안 운영팀 GitHub Advanced Security 또는 Secret Protection 비용을 실제 리스크 감...
