Faux positif: .env.example flaggé comme secret tracké dans git #53

New issue

Closed

opened 2026-04-08 17:48:29 +00:00 by maximus · 0 comments

maximus commented

2026-04-08 17:48:29 +00:00

Owner

Contexte

Le defenseur-simpl-liste a identifié un finding CRITICAL :

.env file tracked in git: web/.env.example
The file "web/.env.example" is tracked by git and may contain secrets.

Analyse

Le fichier web/.env.example est un template contenant uniquement des placeholders vides et des URLs publiques. Il ne contient aucun secret réel.

C'est un faux positif du check secrets-env-tracked qui flag tout fichier .env* tracké dans git, sans distinguer les .env.example (templates) des vrais .env.

Options

Corriger la détection dans defenseurs : exclure les .env.example / .env.sample du check secrets-env-tracked
Renommer le fichier (ex: env.template) pour éviter le pattern .env*
Accepter le finding et le marquer comme faux positif

Recommandation

Option 1 — corriger la détection dans defenseurs pour ignorer les fichiers .env.example et .env.sample.

Identifié par defenseur-simpl-liste le 2026-04-08

## Contexte Le defenseur-simpl-liste a identifié un finding CRITICAL : > **.env file tracked in git: web/.env.example** > The file "web/.env.example" is tracked by git and may contain secrets. ## Analyse Le fichier `web/.env.example` est un **template** contenant uniquement des placeholders vides et des URLs publiques. Il ne contient aucun secret réel. C'est un faux positif du check `secrets-env-tracked` qui flag tout fichier `.env*` tracké dans git, sans distinguer les `.env.example` (templates) des vrais `.env`. ## Options 1. **Corriger la détection dans defenseurs** : exclure les `.env.example` / `.env.sample` du check `secrets-env-tracked` 2. **Renommer** le fichier (ex: `env.template`) pour éviter le pattern `.env*` 3. **Accepter** le finding et le marquer comme faux positif ## Recommandation Option 1 — corriger la détection dans defenseurs pour ignorer les fichiers `.env.example` et `.env.sample`. --- *Identifié par defenseur-simpl-liste le 2026-04-08*