GitHub passa a detectar segredos vazados nos logs do Actions

O GitHub anunciou em 9 de novembro de 2026 que sua ferramenta de varredura de segredos agora detecta segredos vazados nos logs de execução do GitHub Actions, ampliando uma cobertura que antes incluía apenas código, issues, wikis, discussões e pull requests, segundo a publicação no changelog do GitHub.

O que mudou

• A varredura de segredos agora cobre os logs do GitHub Actions, além de issues, wikis, discussões e pull requests.
• O recurso está em pré-visualização pública para empresas no GitHub Enterprise Cloud com GitHub Secret Protection ou GitHub Advanced Security.
• Os proprietários da enterprise ativam o recurso nas configurações da enterprise, em Policies > Advanced Security.
• A varredura é executada quando uma execução do workflow termina, e os resultados aparecem na lista de alertas de varredura de segredos já existente no repositório, com links para o log do workflow correspondente.
• São feitas verificações de validade para os tipos de segredo suportados, e os alertas permanecem mesmo que o log do workflow correspondente seja excluído depois.

O que isso significa para quem constrói com IA

Os logs de CI são um lugar comum para o vazamento acidental de credenciais, principalmente conforme mais equipes executam agentes de IA e automações dentro dos workflows do Actions, e essa mudança fecha uma lacuna que a varredura de segredos limitada ao código deixava passar.

Disponibilidade e limitações

• Somente as execuções de workflow concluídas depois que o recurso é ativado são varridas; os logs históricos não são analisados retroativamente.
• Esse recurso não detecta padrões genéricos, padrões personalizados, segredos detectados por IA nem segredos que o Actions já tenha mascarado.
• Durante a pré-visualização não são geradas notificações para os alertas, então é preciso verificar a lista de alertas diretamente.

Fontes

• Secret scanning detects secrets in GitHub Actions workflow logs (GitHub, 9 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.