Gitleaks في CI: امنع API Key قبل ما يدخل main

ليه fetch-depth: 0؟ عشان لو عايز تفحص التاريخ المتاح للـ PR بدقة أعلى. الـ trade-off هنا إن checkout ممكن يزيد من 5 ثواني إلى 15 أو 25 ثانية في repo كبير، لكنك تكسب رؤية أفضل بدل فحص snapshot ضيق.

استخدم baseline بدون ما تدفن المشكلة

لو أول تشغيل طلع 80 finding قديم، متقفلش الفحص بالكامل. اعمل baseline، ثم خلي أي finding جديد يفشل الـ PR.

الرقم الواقعي: في repo عمره 4 سنين، ممكن تلاقي 30 إلى 100 إنذار أول مرة. بعد baseline مضبوط، الفحص اليومي غالبًا يطلع صفر. المهم إن baseline ما يبقاش مقبرة. راجعه مرة كل شهر وامسح منه الأسرار التي تم تدويرها.

Push protection مش بديل كامل

GitHub secret scanning وpush protection مهمين جدًا، خصوصًا للأنماط المدعومة. لكن التوثيق نفسه يوضح إن الدعم مرتبط بأنواع secrets محددة، وإن بعض الحالات زي pushes الكبيرة أو أنواع غير مدعومة قد لا يتم منعها بنفس الشكل. لذلك خليه طبقة ثانية، مش الطبقة الوحيدة.

الترتيب العملي يكون كده: Gitleaks محليًا، Gitleaks في CI، GitHub push protection، ثم rotation policy واضحة. لو secret اتسرب فعلًا، لا تكتفي بحذف commit. اعتبر المفتاح محروقًا ودوّره فورًا.

الـ trade-off هنا

بتكسب تقليل احتمال تسريب مفاتيح production، وتخلي الخطأ يظهر في PR بدل production incident. بتخسر وقت CI إضافي، وبعض false positives، ووقت إعداد baseline. لو كل PR عندك بياخد 6 دقائق أصلًا، إضافة 30 ثانية مقبولة. لو CI عندك حساس جدًا للوقت، شغّل الفحص على الملفات المتغيرة في PR، واعمل فحص كامل مجدول بالليل.

متى لا تستخدم هذه الطريقة

لا تستخدم Gitleaks كبديل عن Vault أو AWS Secrets Manager أو Doppler. هو لا يخزن الأسرار ولا يدوّرها. ولا تعتمد عليه وحده لو عندك متطلبات امتثال صارمة؛ في الحالة دي تحتاج secret scanning مركزي، صلاحيات أقل، audit logs، وسياسة rotation. كذلك لو repo فيه ملفات binary ضخمة أو history فوضوي جدًا، ابدأ بفحص directory الحالي ثم خطط لتنظيف التاريخ لاحقًا.

مصادر

• Gitleaks official repository and usage documentation
• GitHub Docs: working with secret scanning and push protection
• GitHub Docs: secret scanning detection scope and limitations

الخطوة التالية

افتح repo واحد مهم عندك النهارده، شغّل gitleaks dir . --redact، ثم ضيف GitHub Action أعلاه على PR واحد فقط. لو طلع false positives، اعمل baseline بدل تعطيل الفحص.