GitHub promove gh-secure, atalho de segurança na CLI

A extensão liga cinco ajustes em repositórios públicos. O post de 1º de outubro não é o lançamento.

Em 1º de outubro de 2026, às 14h05 no horário de Brasília, a conta @github no X apontou para o gh-secure. É uma extensão da GitHub CLI, o programa de terminal gh, feita pelo GitHub Security Lab, o time de pesquisa em segurança da empresa. O post diz: “Just one command can help you stop leaking secrets into your public code.” O recorte aperta num só problema, o vazamento de senhas e tokens. O README descreve outra coisa: cinco interruptores, um comando.

O repositório GitHubSecurityLab/gh-secure existe desde 30 de julho de 2026. A tag v0.1.0 saiu em 16 de setembro e, na extração de 9 de outubro, ainda aparecia como pré-release. Se você tem código público no GitHub, isso é atalho de configuração, não um scanner novo.

Primeiro: o que é essa extensão

Uma extensão acrescenta comandos ao gh. Esta adiciona gh secure. Liga recursos que o GitHub já oferece em repositório público.

Secret, aqui, é chave, token ou senha que o código não deveria carregar. Push protection é o bloqueio na hora do envio: se a plataforma reconhece um padrão de token, o push não entra. CodeQL é o analisador estático da casa, o programa que procura falhas conhecidas sem executar o código. Dependabot abre pedidos de atualização quando uma biblioteca usada no projeto tem correção.

O Security Lab é do GitHub. O comando liga produtos da própria empresa.

O que o gh-secure liga

O README lista proteção de branch, private vulnerability reporting (canal privado para avisar um buraco sem issue pública), secret scanning com push protection, Dependabot e code scanning com CodeQL.

A instalação oficial é gh extension install GitHubSecurityLab/gh-secure. Exige GitHub CLI autenticado e permissão de admin ou maintainer. Dá para rodar gh secure no modo interativo, gh secure --yes sem prompts, gh secure status para conferir e --dry-run para simular. O mesmo README diz que o fluxo também funciona no Copilot app, no Copilot CLI ou em outro assistente de IA com acesso à ferramenta. A empresa descreve o conjunto como gratuito para open source em repositórios públicos. Preço em repo privado não está no texto.

O slogan do README é “Protect your project in 2 minutes.” São dois minutos declarados pelo fornecedor, sem cronometragem independente.

Datas, não lançamento

O commit inicial é de 30 de julho de 2026, autor xcorail (Xavier RENE-CORAIL, staff do GitHub). A pré-release v0.1.0 foi publicada por xcorail em 16 de setembro de 2026, às 21:02 no horário mostrado na página de releases. O post da @github não usa a palavra launch.

Não encontramos post no GitHub Blog só sobre a ferramenta. Em 1º de julho de 2026, atualizado em 28 de julho, Joseph Katsioloudes listou seis ajustes que todo maintainer deveria ligar. O CLI cobre cinco. SECURITY.md, o arquivo que explica como reportar um problema, fica de fora; o README aponta como próximo passo.

Limites, um teste e para quem serve

O README avisa que a ferramenta não altera o código-fonte. Branch protection pode exigir pull request em vez de push direto. Dependabot abre PRs; o merge continua humano. Code scanning gera alertas e não bloqueia merge a menos que isso seja configurado à parte. As settings podem ser revertidas. A empresa escreve que nenhuma ferramenta garante segurança completa. Quem já vazou uma chave ainda precisa revogá-la.

Por volta de 3 de outubro de 2026, Yoshiyuki Watanabe descreveu no Medium um teste no repositório yowatanabe/netflix-intro-skipper. O resumo do CLI mostrou “5/5 features enabled”. Depois, gh secure status marcou Secret Scanning Push Protection como “not enabled”. A API security_and_analysis mostrou secret_scanning e secret_scanning_push_protection disabled. Ele ligou os dois com gh api -X PATCH. É indício: um relato, um repo. Esta redação não replicou o teste. RUMOR: que o descompasso tenha sido corrigido nos commits de 1º e 2 de outubro. O PR #18, merge em 2 de outubro de 2026, só trata de repositórios em que o dono e o nome coincidem.

Ajuda quem mantém um repositório público e tem acesso de admin ou maintainer. Não revoga token vazado, não faz merge dos PRs do Dependabot e não escreve o SECURITY.md.

O que ainda não sabemos

Em 9 de outubro de 2026 a página de releases ainda marcava v0.1.0 como Pre-release. Esta redação não rodou o comando. O atalho existe, e o CLI ainda pode dizer que ligou o que a API mostra desligado. Conferir com gh secure status.

Fontes

Oficial

• GitHubSecurityLab/gh-secure
• README do gh-secure
• Pré-release v0.1.0
• Commit inicial, 30/07/2026
• @github no X, 01/10/2026
• GitHub Blog, Joseph Katsioloudes, 01/07/2026
• PR #18

Independente

• Yoshiyuki Watanabe, Medium