GitGuardian protège les organisations contre les fuites de secrets informatiques : clés d’API, mots de passe, jetons d’accès ou certificats présents dans le code et les outils de développement. Ces éléments permettent aux applications de communiquer avec des services, des bases de données ou des infrastructures cloud. Lorsqu’ils sont exposés, ils peuvent devenir des points d’entrée pour des attaquants. L’entreprise française propose de repérer ces divulgations et d’organiser leur traitement, au plus près des pratiques des développeurs.
Une entreprise née de l’observation du code public
GitGuardian est fondée en 2017 par Jérémy Thomas et Éric Fourrier. Son constat initial est simple : les plateformes de partage de code contiennent des informations sensibles publiées par erreur, parfois au sein de projets sans lien apparent avec l’organisation concernée. La surveillance des dépôts publics, notamment sur GitHub, constitue ainsi l’un des socles de son activité.
La société élargit ensuite son approche aux environnements internes des entreprises. Il ne s’agit plus seulement de découvrir une fuite déjà accessible sur Internet, mais aussi de détecter les secrets dans les dépôts privés et d’empêcher leur introduction dans le code. Implantée à Paris, GitGuardian commercialise ses solutions à l’international, sur un marché où la sécurité doit s’intégrer à des chaînes de développement toujours plus automatisées.
Détecter, contextualiser et faciliter la remédiation
La plateforme analyse le code à la recherche de secrets et s’intègre aux outils utilisés par les équipes techniques, dont GitHub, GitLab et Bitbucket. Elle vise à distinguer les éléments réellement sensibles du bruit généré par les fichiers de test, les exemples ou les chaînes de caractères anodines. Selon le type de secret, des mécanismes de vérification peuvent aider à déterminer si un identifiant reste actif et à hiérarchiser les alertes.
La détection n’est qu’une étape. GitGuardian fournit également des fonctions de suivi des incidents et de collaboration pour identifier les responsables concernés et accompagner la correction. Supprimer un mot de passe d’un fichier ne suffit pas nécessairement : il peut subsister dans l’historique du dépôt et doit souvent être révoqué ou remplacé auprès du service qui l’a émis.
L’entreprise propose aussi ggshield, un outil en ligne de commande open source permettant d’intégrer des contrôles dans les postes de travail et les pipelines d’intégration continue. Cette approche rapproche la prévention du moment où le code est produit, plutôt que de réserver les vérifications à un audit tardif.
Et maintenant ?
Le développement du cloud, des services interconnectés et des assistants de programmation renforce l’enjeu de maîtrise des identités non humaines. Pour GitGuardian, la perspective consiste à relier plus étroitement la découverte des secrets, leur contexte d’utilisation et leur remédiation. Le défi reste opérationnel : fournir des alertes exploitables sans ralentir les livraisons logicielles, tout en aidant les entreprises à réduire durablement les accès sensibles oubliés dans leurs environnements techniques.