Gestion et confidentialité des données
Endpoint Protection détecte les secrets de deux manières, et chacune traite vos données différemment.
Un scan machine parcourt le disque d'une machine d'entreprise selon un calendrier défini. La détection s'exécute sur le endpoint, et le contenu des fichiers n'est jamais transmis aux serveurs de GitGuardian. Un disque complet contient bien plus que les identifiants que nous recherchons, il n'est donc pas nécessaire qu'un tel contenu quitte la machine.
AI Hooks fonctionne comme tout autre scan ggshield : l'API GitGuardian scanne le contenu, exactement comme lorsque ggshield scanne un commit ou un push. C'est ce qui permet à un hook de bloquer un secret avant qu'il n'atteigne un modèle. Ces appels ne créent pas d'incidents. Sur GitGuardian SaaS, chaque détection est journalisée, y compris les correspondances que ggshield ignore ensuite.
Ce qu'un scan machine envoie
Les seules données envoyées lors d'un scan machine sont :
- Des empreintes hachées des secrets détectés (voir ci-dessous)
- Des métadonnées telles que le chemin du fichier, l'horodatage et le contexte du scan
- Des métadonnées d'inventaire machine et utilisateur : l'identifiant de machine, le nom d'hôte, le système d'exploitation et les caractéristiques matérielles, ainsi que le nom d'utilisateur et le nom d'affichage des comptes locaux.
Les appels sortants effectués lors d'un scan incluent :
- Des vérifications de validité auprès du fournisseur (par exemple, AWS, GitHub) : elles vont directement du endpoint au fournisseur pour vérifier si un secret est valide et récupérer des métadonnées telles que les scopes ou le propriétaire. Ces appels ne passent pas par les serveurs de GitGuardian.
Comment les secrets sont hachés
Un scan machine n'envoie jamais de secrets en texte clair à GitGuardian. Au lieu de cela, il les hache sur le endpoint à l'aide du protocole HasMySecretLeaked (HMSL) de GitGuardian.
Le schéma de hachage utilise un hash Scrypt de 256 bits, intentionnellement lent et gourmand en mémoire pour rendre impraticable le forçage brutal à grande échelle. Comme tout hash à sens unique, il n'est pas réversible. Le principal risque résiduel est le devinage hors ligne contre des secrets très faibles, que la conception du hash lent atténue.
Portée du scan et fichiers personnels
La portée du scan est configurable par politique. Consultez la Référence de configuration pour plus de détails.
Quelques points importants :
- Endpoint Protection est un contrôle d'entreprise déployé sur les machines fournies par l'entreprise via MDM.
- Un scan machine n'envoie que les hash des identifiants et les métadonnées, pas le contenu des fichiers.
- Les répertoires système et les fichiers personnels en dehors de la portée configurée peuvent être entièrement exclus.
Ce que la couche IA envoie
| Données | Quand elles sont envoyées | À quoi elles servent |
|---|---|---|
| Le contenu en cours de scan : un prompt, ou le fichier lu, la commande shell, ou l'appel MCP qu'un agent est sur le point d'exécuter | À chaque interaction, une fois AI Hooks installé | Détecter le secret pour que le hook puisse bloquer l'action avant que le contenu n'atteigne un modèle |
| Les enregistrements d'appels d'outils MCP : le nom de l'outil et du serveur, l'agent et le modèle, le répertoire de travail et l'entrée de l'outil | À chaque appel d'outil MCP, une fois AI Hooks installé | Rapporter l'activité MCP dans votre dashboard, et renvoyer la décision d'autorisation ou de refus à l'outil IA |
| Les métadonnées de configuration sur les agents installés et les serveurs MCP configurés, si AI Hooks est installé pour chaque agent, et l'e-mail de l'abonnement à l'assistant | À chaque exécution de ggshield ai discover | Rapporter quels outils IA s'exécutent sur votre parc, votre couverture de hooks par machine, et si un développeur s'est connecté avec un abonnement d'entreprise ou personnel |
| Les enregistrements d'appels d'outils MCP reconstruits à partir des transcriptions d'agents | Uniquement lorsque vous ajoutez --history à ggshield ai discover | Récupérer l'activité MCP antérieure à l'installation des hooks, afin qu'une enquête puisse également couvrir cette période |
L'e-mail de l'abonnement à l'assistant est lu localement à partir de la configuration de Claude Code, Codex et Cursor. Il peut s'agir d'une adresse personnelle, ce qui est précisément ce qui permet de distinguer un abonnement d'entreprise d'un abonnement personnel.
L'inventaire analyse les fichiers de configuration et les transcriptions sur le endpoint. Il téléverse les enregistrements décrits ci-dessus, et non les fichiers eux-mêmes.
Instances self-hosted
ggshield plugin install récupère le plugin Machine Scan depuis votre instance GitGuardian. Votre instance le télécharge depuis le dépôt de plugins GitGuardian. Il n'envoie aucun résultat de scan ni aucune donnée de workspace. Pour autoriser cet hôte dans votre pare-feu, consultez les Prérequis réseau.
Où vos données sont stockées
Les résultats, les métadonnées machine et les enregistrements d'inventaire ci-dessus sont stockés dans votre workspace GitGuardian. Les enregistrements d'appels d'outils MCP sont conservés, car ce sont eux qui alimentent votre vue d'activité MCP. Les scans de secrets ne créent pas d'incidents. Sur SaaS, ils produisent tout de même des journaux de détection, comme décrit dans Ce que l'API de scan stocke.
Consultez Rétention des données pour savoir combien de temps GitGuardian conserve les données du workspace, et le Trust Center pour notre documentation sur la sécurité et la conformité.
Si vous avez besoin de partager des détails sur la protection et la confidentialité des données avec des publics internes, contactez votre interlocuteur GitGuardian pour demander un document dédié.
