GitHub 연동

GitHub을 연결하면 어디까지 검사하나요?

GitHub App은 설치할 때 모든 저장소 또는 선택한 저장소에 접근 권한을 받을 수 있습니다. Cremit은 설치 범위에 들어온 저장소를 발견하고, 그중 스캔 소스에서 활성화한 대상만 검사합니다. 새 저장소를 만들었다는 사실만으로 검사 대상이 되지는 않습니다. 설치 권한, 새 대상 자동 활성화 설정, 대상 상태와 마지막 완료 기록을 확인하세요. 별도 접근 토큰으로 연결했다면 접근 가능한 저장소 범위가 다를 수 있습니다.

저장소 작업자는 브랜치의 커밋을 검사하지만 작업량과 실행 시간에 제한이 있습니다. 큰 저장소는 기본 브랜치만 읽는 API 경로를 사용할 수 있습니다. “커밋 기록 검사”를 모든 브랜치와 과거 커밋이 한 번에 확인됐다는 보장으로 해석하지 마세요. 대상별 완료·미완료·건너뜀·실패 결과를 확인해야 합니다.

PR, 이슈, 다른 텍스트는 권한 경계가 다릅니다

GitHub App 웹훅이 설정돼 있으면 열기·갱신·다시 열기 이벤트를 받은 풀 리퀘스트가 별도 검사에 들어갈 수 있습니다. 결과를 보고하는 검사이지 모든 푸시가 차단된다는 뜻은 아닙니다. 주기적인 대화 검사는 접근 가능한 PR 설명, 대화, 리뷰 댓글과 위키를 볼 수 있습니다. 비공개 이슈 본문과 댓글에는 Issues 읽기 권한이 필요합니다. 이 권한이 없으면 다른 흐름은 실행되더라도 이슈 흐름은 건너뛸 수 있습니다. 저장소 전체를 확인했다고 판단하기 전에 흐름별 권한과 결과를 보세요.

GHCR 이미지는 별도 접근 권한이 필요합니다

GitHub Packages 컨테이너 이미지는 부속 스캔 소스가 처리합니다. 비공개 이미지를 찾고 읽으려면 GitHub App 설치 외에 패키지 읽기 권한을 가진 사용자 토큰이 필요할 수 있습니다. 실제 이미지 대상이 발견되고 검사가 끝났는지 확인하세요. 코드 저장소 연결만으로 GHCR까지 검사됐다고 볼 수는 없습니다. 이미지 스캐너는 지원하는 이미지 레이어를 읽으며 컨테이너를 실행하지 않습니다.

저장소 한 곳으로 연결을 확인하세요

GitHub App을 설치할 때 저장소를 선택하고 Cremit Platform에서 GitHub 스캔 소스를 만듭니다. 필요한 대상을 활성화하고 최근 검사 상태를 확인하세요. 안전한 기능 확인에는 테스트 저장소의 작동하지 않는 예시 문자열을 사용합니다. 해당 스캔 또는 PR 검사가 끝난 뒤 발견 위치를 확인하고, 실제 키는 시험용으로 쓰지 마세요. 이슈·위키·패키지도 필요하다면 각각 권한과 건너뛴 항목을 따로 점검합니다.

발견한 키의 조치

소스 위치와 패턴 일치만으로 키의 현재 유효성이나 작성자가 서비스 담당자라는 점이 입증되지는 않습니다. 지원 유형은 발급처 상태를 확인하고, 확인 가능한 AWS·GCP 접근 정보와 현재 서비스 담당자·사용 작업을 대조하세요. 담당자가 발급처에서 노출된 키를 교체하거나 폐기하고 복사본과 사용 기록을 살펴야 합니다. 커밋이나 PR 댓글을 지우는 것만으로 키가 무효가 되지는 않습니다.

원자료

GitHub App의 저장소 접근 범위

GitHub App 설치 저장소 API

GitHub Container registry 접근 권한

Cremit 검사 범위