Bài viết này do AI tạo ra, có thể mắc sai sót.
GitHub bổ sung một rule trong repository rulesets để chặn pull request merge khi pull request đó đưa secret scanning alert mới vào mã nguồn. Tính năng đang public preview cho khách hàng GitHub Secret Protection hoặc GitHub Advanced Security.
Rule có tên require secret scanning alerts are resolved. Khi áp vào ruleset cho repository, organization hoặc enterprise, người không có quyền bypass phải xử lý mọi alert phù hợp trước khi PR được merge. GitHub yêu cầu secret scan đã chạy trên head commit và không có alert mở phát sinh từ các commit của PR.
Push protection dừng secret ngay lúc push, vì vậy vẫn là phòng tuyến tốt nhất. Rule mới bổ sung lớp kiểm soát ở nhánh merge: hữu ích khi push protection chưa bật cho generic pattern, chưa phủ hết repository, hoặc tổ chức muốn đặt điều kiện merge thống nhất qua ruleset.
Bắt đầu với repository chứa production credential, hạ tầng IaC và code thanh toán. Đo tỷ lệ alert, thời gian xử lý và số lần cần bypass trước khi mở rộng. Với custom/generic pattern, cần tuning để tránh alert nhiễu làm chậm merge hợp lệ.
Trong Settings, vào Repository > Rulesets, tạo hoặc sửa ruleset cho branch cần bảo vệ rồi chọn “Require secret scanning alerts are resolved”. Automation có thể dùng REST rule type require_secret_scanning_alert_resolution cùng tham số secret_types, hoặc GraphQL enum REQUIRE_SECRET_SCANNING_ALERT_RESOLUTION.
Secret lộ qua PR là lỗi quy trình phổ biến: code review có thể bỏ sót chuỗi token và secret có thể xuất hiện qua cherry-pick hoặc commit cũ. Chuyển điều kiện “không còn alert” thành policy merge giúp bảo mật thành kiểm soát có thể kiểm chứng, thay vì phụ thuộc trí nhớ reviewer.
Giá trị thực tế nằm ở defense-in-depth. Không lớp nào đủ một mình: scan phát hiện, push protection chặn sớm, ruleset ngăn secret đi vào nhánh chính, còn rotation mới xử lý hậu quả khi bí mật từng bị lộ.
Tổng hợp từ GitHub Changelog, cập nhật ngày 09/09/2026.
