Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Français
Entry № 459

Secrets codés en dur dans le code

Qu'est-ce que Secrets codés en dur dans le code ?

Secrets codés en dur dans le codeInsertion d'identifiants, clés API, jetons ou matériel cryptographique directement dans le code source, des fichiers de configuration ou des images conteneurs, où ils sont aisément découverts et abusés.

Les secrets codés en dur sont l'une des erreurs les plus fréquentes et dommageables du développement moderne. Ils se retrouvent dans l'historique Git, les couches de conteneur, les applications mobiles, les logs CI et les dépôts publics, où des bots les détectent en quelques minutes. Cas réels : clés AWS commitées sur GitHub, tokens Slack dans des bundles client, mots de passe DB cuits dans des images Docker. Les mitigations combinent prévention (formation, hooks pre-commit, plugins IDE, patrons .gitignore), détection (secret scanning sur dépôts et CI : GitHub secret scanning, Gitleaks, TruffleHog) et gestion centralisée (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager, External Secrets pour Kubernetes). À la détection, il faut renouveler les secrets immédiatement, et pas seulement les supprimer de l'historique.

● Exemples

  1. 01

    Clé AWS commitée dans un dépôt GitHub public puis abusée en quelques minutes.

  2. 02

    Secret OAuth client incorporé dans le binaire d'une application mobile.

● Questions fréquentes

Qu'est-ce que Secrets codés en dur dans le code ?

Insertion d'identifiants, clés API, jetons ou matériel cryptographique directement dans le code source, des fichiers de configuration ou des images conteneurs, où ils sont aisément découverts et abusés. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.

Que signifie Secrets codés en dur dans le code ?

Insertion d'identifiants, clés API, jetons ou matériel cryptographique directement dans le code source, des fichiers de configuration ou des images conteneurs, où ils sont aisément découverts et abusés.

Comment fonctionne Secrets codés en dur dans le code ?

Les secrets codés en dur sont l'une des erreurs les plus fréquentes et dommageables du développement moderne. Ils se retrouvent dans l'historique Git, les couches de conteneur, les applications mobiles, les logs CI et les dépôts publics, où des bots les détectent en quelques minutes. Cas réels : clés AWS commitées sur GitHub, tokens Slack dans des bundles client, mots de passe DB cuits dans des images Docker. Les mitigations combinent prévention (formation, hooks pre-commit, plugins IDE, patrons .gitignore), détection (secret scanning sur dépôts et CI : GitHub secret scanning, Gitleaks, TruffleHog) et gestion centralisée (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager, External Secrets pour Kubernetes). À la détection, il faut renouveler les secrets immédiatement, et pas seulement les supprimer de l'historique.

Comment se défendre contre Secrets codés en dur dans le code ?

Les défenses contre Secrets codés en dur dans le code combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Quels sont les autres noms de Secrets codés en dur dans le code ?

Noms alternatifs courants : Identifiants codés en dur, Fuite de secrets dans le code.

● Termes liés

● Voir aussi