GitHub-Push-Schutz blockiert Anthropic-API-Schlüssel jetzt standardmäßig
Serguey Asael Shinder1 Min. LesezeitGitHubs Secret Scanning hat am 13. Oktober 2026 neue Erkennungsmuster erhalten – und bei zwei davon geht GitHub über das Erkennen hinaus: Commits mit diesen Geheimnissen werden nun standardmäßig blockiert.
Was blockiert wird. Die beiden neuen Anthropic-Typen anthropic_service_api_key und anthropic_user_api_key gehören jetzt zu den Erkennungsmustern, die standardmäßig im Push-Schutz enthalten sind. Laut Changelog werden in Repositories mit aktiviertem Secret Scanning – ausdrücklich auch in kostenlosen öffentlichen Repositories – Commits mit solchen Schlüsseln beim Push abgewiesen. Wer pusht, sieht die Sperre, bevor der Schlüssel auf dem Server liegt; an diesem Punkt lässt sich ein Leck noch billig rückgängig machen.
Was nur erkannt wird. Ein drittes neues Muster erfasst Cloudsmith-API-Schlüssel (cloudsmith_api_key). Es erzeugt Warnungen, steht aber nicht auf der Liste der Push-Schutz-Standards. GitHub unterscheidet beide Fälle im selben Beitrag: Nutzer-Geheimnisse lösen in öffentlichen und privaten Repositories Secret-Scanning-Warnungen aus, Partner-Geheimnisse in öffentlichen Repositories werden dem Aussteller gemeldet.
Neuer Partner. Salesforce ist dem Partnerprogramm für den Typ salesforce_marketing_cloud_api_oauth2_token beigetreten. Taucht ein solches Token in einem öffentlichen Repository auf, leitet GitHub es an Salesforce weiter, damit die Zugangsdaten widerrufen oder rotiert werden können, bevor jemand sie missbraucht – der Aussteller erfährt davon, ohne dass der Repository-Inhaber zuerst handeln muss.
Was sich für Teams ändert. Der praktische Unterschied liegt darin, wer handeln muss. Weil die beiden Anthropic-Typen zum Standardsatz gehören, greift die Sperre überall, wo Secret Scanning aktiv ist, ohne dass ein Repository-Admin diese Typen einzeln einschaltet. Die Ankündigung betrifft neue Pushes: Ein Schlüssel, der bereits in der Historie eines Repositorys liegt, verschwindet dadurch nicht und muss beim Anbieter weiterhin widerrufen oder rotiert werden.
Die vollständige Liste der unterstützten Typen steht in GitHubs Dokumentation zum Secret Scanning.
Quelle: GitHub Changelog, „Secret scanning blocks Anthropic keys by default, adds Salesforce“ — https://github.blog/changelog/2026-10-13-secret-scanning-blocks-anthropic-keys-by-default-adds-salesforce