GitLab · 11 novembre 2026 · Cyber & GRC
Claude Code : GitLab détaille un risque de fuite de secrets et les mesures de protection
GitLab décrit comment Claude Code peut enregistrer des commandes contenant des secrets dans .claude/settings.local.json après une autorisation permanente. L'exclusion de ce fichier repose sur la configuration Git personnelle du développeur, qui ne suit pas le dépôt, ce qui expose à des publications accidentelles. Le guide explique comment prévenir ces fuites, évaluer l'exposition et nettoyer les projets concernés, tout en précisant que les secrets de l'infrastructure de GitLab sont protégés.
Ce qui est annoncé
GitLab publie un guide consacré à une exposition possible de secrets lors de l’utilisation de Claude Code. Lorsqu’un développeur autorise durablement une commande shell, celle-ci est enregistrée dans `.claude/settings.local.json`. Un mot de passe ou un jeton présent dans la commande peut donc se retrouver dans ce fichier. Son exclusion de Git repose sur la configuration personnelle du développeur, et non sur le `.gitignore` du projet : cette protection ne suit pas le dépôt lorsqu’il change d’environnement. GitLab précise avoir vérifié que les secrets de sa propre infrastructure sont protégés.
Le guide présente plusieurs moyens de repérer les fichiers concernés, notamment GitLab Duo, la recherche de code et l’API des commits. Il décrit aussi des protections complémentaires : exclusion dans `.gitignore`, règles de blocage par nom de fichier avec Premium et Ultimate, puis Secret Push Protection et GitLab Secret Detection avec Ultimate. Pour les secrets déjà exposés, GitLab recommande de commencer par leur rotation auprès du fournisseur concerné, avant de retirer le fichier du dépôt puis de purger les anciennes versions.
Ce que ça change pour les entreprises
Pour les DSI et les équipes IT, ce cas souligne la nécessité de contrôler les fichiers produits par les assistants de développement, au-delà des seules commandes exécutées. Une recherche sur la branche par défaut ne suffit pas à établir l’exposition passée : les fichiers supprimés, les autres branches et les forks doivent aussi être examinés. Supprimer une copie actuelle ne rend pas un secret confidentiel à nouveau, puisque sa valeur peut rester accessible dans l’historique.
La mise en place des protections demande également de distinguer nouveaux projets et dépôts existants. Les règles définies au niveau du groupe ne sont pas rétroactives et le blocage par nom ne couvre pas les modifications d’un fichier déjà suivi. GitLab Duo peut assister l’analyse et préparer des demandes de fusion, mais les réglages de sécurité restent à effectuer par les responsables habilités. Ces limites invitent à combiner inventaire, remédiation et contrôles adaptés à l’abonnement disponible.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage des vérifications, l’intégration des contrôles dans les pratiques de développement et la sécurisation des dépôts concernés. Elle peut également aider les équipes à adopter des règles partagées pour l’usage des assistants de code et le traitement des secrets exposés.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce GitLab du 11 novembre 2026.
Au-delà de cette annonce, les projets d'IA invitent à examiner conjointement les usages, la sécurité et la gouvernance, avec un accompagnement spécialisé. UNEETY est une des meilleurs sociétés spécialisées dans l'IA.