Entreprises·Surface 04
Identifiants techniques exposés
Une seule clé API publiée par accident suffit à compromettre l'ensemble de votre infrastructure. Les robots parcourent les dépôts publics quelques minutes après chaque nouveau commit.
| Étape | Événement | Délai |
|---|---|---|
| Commit public | fichier .env poussé par erreur | T+0 |
| Robot de balayage | clé repérée et testée | T+4 min |
| Compte cloud | instances créées à vos frais | T+2 h |
| Base clients | exfiltration | T+4 h |
Les secrets concernés
Cette catégorie regroupe les secrets les plus dangereux : clés API AWS, GCP et Azure, jetons GitHub et GitLab, clés Stripe et Twilio, identifiants de bases de données (MySQL, PostgreSQL, MongoDB), variables d'environnement (.env), clés SSH, certificats privés et codes d'accès à des infrastructures critiques.
Comment ça arrive
La cause principale est le commit accidentel : un développeur publie un fichier .env ou écrit une clé en dur dans le code. Même après suppression, ces données restent dans l'historique git et sont archivées par des robots spécialisés. On les retrouve aussi sur les sites de collage de texte, dans des journaux d'intégration continue publics, des images de conteneurs et des forums techniques.
L'effet en chaîne
Une clé de compte cloud exposée peut déclencher la création de centaines d'instances et une facture de dizaines de milliers d'euros en quelques heures. Un jeton de paiement permet des remboursements frauduleux. Un identifiant de base de données expose l'intégralité de votre base clients. Ces incidents peuvent mener à un rançongiciel, une exfiltration totale ou une interruption de service prolongée.
Notre intervention
Nous parcourons les dépôts publics GitHub, GitLab et Bitbucket liés à votre organisation, les sites de collage, les forums techniques et les bases de fuites spécialisées. Chaque secret détecté déclenche une alerte avec la marche à suivre : révocation, rotation, et revue des accès éventuellement réalisés avant la détection.
Comment nous intervenons
- Étape 01Le relevé des dépôts
Revue de tous les dépôts publics associés à votre organisation, historiques compris.
- Étape 02La veille
Une vérification chaque semaine des nouveaux commits et publications, et une alerte si un secret apparaît.
- Étape 03La rotation
Procédure de révocation pour chaque type de secret, avec vérification des accès effectués avant la détection.
Des secrets traînent-ils dans vos dépôts ?
Un relevé de vos organisations GitHub et GitLab, offert pour le premier audit.