Liste de démarrage : atteignabilité, correctifs de sécurité et vulnérabilités exploitées
Sécurité › Vue d’ensemble (/<org>/_admin/security/overview) s’ouvre sur une carte de liste de contrôle destinée aux propriétaires de l’organisation. Elle montre ce dont l’atteignabilité, les Correctifs de sécurité et le tri des vulnérabilités connues comme exploitées ont besoin de la part de votre organisation. Chaque élément est calculé à partir de l’état actuel de votre organisation à chaque chargement de la page. Elle ne se contente jamais d’enregistrer que vous l’avez consultée.
Chaque élément indique ce qu’il est, pourquoi il compte, son état actuel, et donne un lien. Un badge le marque Fait, Action requise, À vérifier ou Facultatif. Le titre compte les éléments qui n’attendent plus rien de vous.
Les éléments
| Élément | État actuel | Lien |
|---|---|---|
| Couverture des analyses | Combien de dépôts ont une branche par défaut analysée, combien d’entre eux ont des dépendances trouvées, et jusqu’à trois qui n’en listent aucune : Aucune dépendance trouvée. Un dépôt sans fichier de verrouillage ni manifeste ne peut avoir ni résultat de dépendance ni correctif de sécurité. Action requise tant qu’aucun dépôt n’a été analysé (poussez du code ou migrez un dépôt ; il est analysé dès sa création), À vérifier lorsque chaque dépôt analysé ne liste aucune dépendance. Un dépôt dont la nomenclature n’est pas encore indexée n’est pas compté comme vide. | Écosystèmes pris en charge : analyse des dépendances |
| Vulnérabilités connues comme exploitées | Combien de résultats de dépendances ouverts ont une CVE listée comme exploitée dans la nature par l’ENISA EUVD ou le CISA KEV. Action requise tant qu’il y en a au moins un. | La liste des dépendances filtrée sur les vulnérabilités connues comme exploitées |
| Binaires Go compilés avec symboles | Quelles images contiennent des binaires Go compilés avec -ldflags=-s. govulncheck n’y lit aucune table des symboles, si bien que leurs résultats restent unknown (no_symbol_table). Action requise tant qu’il y en a au moins une. Compilez sans -s ; -w ne pose pas de problème. | Atteignabilité : les raisons |
| Correctifs IA : votre propre fournisseur d’IA | Non configuré, Configuré (et si les correctifs IA sont activés), ou Clé refusée lorsque le fournisseur a refusé la clé lors de sa dernière utilisation (HTTP 401 ou 403). | Intégrations IA |
| Limites des correctifs de sécurité | Le nombre de pull requests ouvertes autorisées par dépôt et de demandes par organisation sur 24 heures, et s’il s’agit des valeurs par défaut. À vérifier lorsqu’une limite vaut 0, ce qui désactive AutoFix. Une pull request de correctif ne s’ouvre que lorsque quelqu’un clique sur Ouvrir une demande de correctif, sauf si les correctifs de sécurité automatiques sont activés. | Limites des correctifs de sécurité |
| Alertes : nouvellement atteignables ou exploitées | Activé ou désactivé pour l’organisation, avec un bouton pour basculer. | Alertes sur les résultats |
| Multiplicateur de SLA pour les résultats non atteignables | Désactivé, ou activé avec son facteur. Facultatif. | Délai de correction (SLA) |
| Ne pas bloquer si non atteignable | Désactivé, activé pour tous les dépôts, ou activé pour un certain nombre de dépôts. Facultatif. | La politique |
| Correctifs de sécurité automatiques | Désactivé ou activé : activé lorsque le mode des Correctifs de sécurité est l’un des modes automatiques. Une organisation créée le 2026-10-27 ou après démarre activée (Automatique pour les critiques et les exploités connus). Facultatif. | Correctifs de sécurité automatiques |
| Contribuer des chiffres anonymes | Désactivé (par défaut) ou activé. Facultatif : désactivé, il n’attend rien de plus de vous. | Chiffres anonymes |
Couverture des analyses propose aussi Essayer avec un dépôt d’exemple : cela copie l’exemple de sécurité de fremforge dans l’organisation, pour que vous puissiez voir des résultats et un correctif de sécurité avant de pousser votre propre code. L’exemple ne compte jamais dans la couverture, et ses résultats n’apparaissent que dans la console.
Un élément facultatif désactivé n’est pas un problème ; il compte comme n’attendant rien de plus de vous.
La masquer
Masquer la liste réduit la carte à une ligne pour tout le monde dans l’organisation, avec un bouton Afficher la liste qui la rouvre. L’état est recalculé lorsqu’elle est affichée, si bien qu’il est toujours à jour. Le masquage et l’affichage sont audités sous code-security.checklist.updated.
API
GET /_app/api/v1/orgs/{org}/security/checklist (policy:read) renvoie la liste telle que la carte la calcule à cet instant : dismissed, complete, total et les items, chacun avec son id, son status (done, todo, optional ou warn) et les faits sur lesquels il repose, par exemple open pour known_exploited, max_open_per_repo pour autofix_limits, ou scanned_repos, with_dependencies, no_dependencies et no_dependency_examples pour scan_coverage. PUT avec {"dismissed": true} ou false (policy:write) masque ou affiche la carte.
Auditeurs
Un auditeur en lecture seule voit la carte. Les boutons sont refusés aux auditeurs, comme toute modification.
Voir aussi
- Résumé de sécurité : les résultats des correctifs de sécurité et les résultats nouvellement atteignables ou connus comme exploités de la semaine.
- Alertes sur les résultats.