GitHub: блокировка слияния кода с секретами

9 сентября 2026 года GitHub представил правило, которое не позволяет слить pull request, если его коммиты добавляют секреты с незакрытыми предупреждениями. Функция доступна в public preview пользователям GitHub Secret Protection или GitHub Advanced Security — это не автоматически включённая защита всех репозиториев.

Что проверяется

Перед слиянием должны выполняться два условия: сканирование последнего коммита завершено, а предупреждения о секретах, внесённых этим запросом, разрешены. По умолчанию правило работает с открытыми pull request и шаблонами провайдеров. Пользовательские и общие шаблоны можно добавить отдельно.

Как начать проверку

1. Администратору нужно открыть раздел Repository → Rulesets в настройках репозитория, организации или предприятия.
2. Создать либо отредактировать набор правил для выбранных веток и добавить Require secret scanning alerts are resolved.
3. Редакция рекомендует начать с тестовой ветки: проверить завершение сканирования и показ результата перед слиянием. Не вставляйте рабочие ключи ради эксперимента.

Границы защиты

Это дополнительная проверка перед слиянием, а не замена push protection, которая останавливает секрет при отправке кода в репозиторий. Заблокированное слияние не означает, что уже отправленный ключ нигде не оказался.

Для безопасного отката пилота заранее сохраните исходные настройки: администратор сможет вернуть изменение только тестового набора правил, не снимая защиту рабочих веток. Описаны возможности официального анонса; редакция не проводила собственный тест функции.

Новые слова простыми словами

Pull request

Предложение внести изменения из одной ветки кода в другую, с обсуждением и проверками перед принятием.

Ruleset

Набор требований, которым должны соответствовать операции с выбранными ветками репозитория.

Public preview

Открытая предварительная версия: её поведение и условия ещё могут измениться.

---

Проверяемые источники

• Block pull requests with exposed secrets from merging