GitHubのsecret scanning、AnthropicのAPIキー2種をpush protectionの既定対象に追加

GitHubは2026年10月13日、secret scanningが検出するシークレットにAnthropicのキー2種を加え、push protectionで既定でブロックする対象に含めたとChangelogで発表した¹。

• 追加されたのは anthropic_service_api_key と anthropic_user_api_key の2種。同じ発表では Cloudsmith の cloudsmith_api_key の検出追加と、Salesforce の secret scanning パートナー参加も告知されたが、push protection の既定対象として挙がっているのは Anthropic の2種である¹
• GitHubによれば、secret scanningが有効なリポジトリでは、無料の公開リポジトリも含め、これらのキーを含むコミットが自動でブロックされる
• push protectionはプッシュがリポジトリに届く前に止める仕組みで、止められた場合は該当コードから機密情報を取り除いてから再度プッシュする。リポジトリ単位のpush protectionでは、既定で書き込み権限を持つ人が理由を指定して回避でき、回避するとアラートが作られ監査ログにも記録される²

Claude APIを組み込んだアプリのリポジトリでsecret scanningを有効にしている場合、設定ファイルやコードにこの2種のキーを書いたままコミットすると、プッシュの段階で止まることになる。止まったときの基本の対処はキーを取り除いての再プッシュで、リポジトリ単位のpush protectionで回避を選んだ場合も、その記録はアラートと監査ログに残る²。キーは環境変数などから読み込む形にしておけば、こうしたブロック自体を避けられると考えられる。

Sources

1. Secret scanning blocks Anthropic keys by default, adds Salesforce - GitHub Changelog（2026-10-13）
2. Push protection - GitHub Docs（push protectionの仕組み・種類・回避の扱い）