Ce qui arrive réellement aux forks
Le paramètre de visibilité d’un dépôt contrôle le dépôt d’origine, pas les copies que d’autres ont déjà forké. Changer la visibilité n’atteint pas ces forks.
Lorsqu’un dépôt GitHub public devient privé, les forks publics existants sont détachés dans un nouveau réseau et restent publics. Source
Cela signifie qu’un fork public peut continuer d’afficher du code, l’historique des commits et les détails des auteurs après que votre propre dépôt est privé. Considérez la privatisation comme une modification de l’exposition de votre dépôt, non comme un rappel des copies publiques.
Ce que fait et ne fait pas un changement de visibilité
| Action | Ce qu’elle affecte | Ce qu’elle ne fait pas |
|---|---|---|
| Basculer le dépôt en privé | La visibilité du dépôt d’origine, dans les paramètres (Settings), sous réserve des autorisations | Supprimer les forks publics existants ou les copies ailleurs |
| Changer la visibilité d’un fork | Ce fork uniquement | Garantir que les autres forks ou miroirs disparaissent |
| Modifier ou supprimer des fichiers dans votre dépôt | Le contenu actuel de votre dépôt | Effacer l’historique déjà publié dans les forks |
La visibilité d’un dépôt peut être modifiée dans les paramètres (Settings) du dépôt, sous réserve des autorisations du compte ou de l’organisation. Source
La privatisation n’est ni un outil de suppression, ni un effaceur de paternité, ni une rotation d’identifiants. Si des secrets ont été commités, changer la visibilité ne les rend pas sûrs ; faites-les tourner via le service concerné.
Liste de vérification avant le changement
- Lister les forks publics. Ouvrez la liste des forks du dépôt et notez quels forks sont publics et à qui ils appartiennent.
- Vérifier les liens publiés. Recherchez sur votre propre site, dans la documentation et les métadonnées de paquets les liens vers le dépôt ou ses fichiers bruts.
- Examiner l’identité des commits. Vérifiez si les noms et adresses e-mail des auteurs de commits sont des détails que vous êtes à l’aise d’avoir rendus publics.
- Chercher d’autres copies. Recherchez les miroirs, copies vendored et instantanés archivés qui se trouvent en dehors du réseau de forks de GitHub.
- Décider fork par fork. Pour les forks que vous contrôlez, examinez leur visibilité séparément ; pour les forks que vous ne contrôlez pas, partez du principe qu’ils restent publics.
- Faire tourner les secrets exposés. Si des identifiants sont apparus dans des commits, faites-les tourner plutôt que de compter sur le changement de visibilité.
Décider avant de basculer la visibilité
| Situation | Mesure raisonnable |
|---|---|
| Des forks publics existent et contiennent du code sensible | Contactez les propriétaires des forks lorsque c’est possible ; partez du principe que les copies publiques restent |
| Vous possédez les forks | Examinez la visibilité de chaque fork séparément |
| Des secrets ont été commités | Faites d’abord tourner les identifiants |
| Seul votre dépôt est exposé | Un changement de visibilité dans les paramètres (Settings) peut suffire, sous réserve des autorisations |
Où intervient l’exposition du nom d’utilisateur
Un dépôt n’est qu’une surface publique parmi d’autres. Votre identifiant GitHub et les identités de commits peuvent aussi apparaître sur d’autres sites, et une recherche de nom d’utilisateur est une piste, pas une preuve de propriété. TraceSeek vérifie 3 000+ plateformes et propose un premier scan gratuit, avec un temps de scan annoncé de 20–30 secondes. Il ne modifie pas les paramètres des plateformes, ne voit pas les informations privées et ne vérifie pas l’identité. Pour un balayage plus large des anciens comptes, voir retrouver des comptes en ligne oubliés ; pour notre façon de présenter les preuves, voir méthodologie.
Faits clés
- Lorsqu’un dépôt GitHub public devient privé, les forks publics existants sont détachés dans un nouveau réseau et restent publics.
- La visibilité d’un dépôt peut être modifiée dans les paramètres (Settings) du dépôt, sous réserve des autorisations du compte ou de l’organisation.
- Passer un dépôt en privé ne supprime pas les forks publics, n’efface pas la paternité et ne fait pas tourner les identifiants exposés.
- TraceSeek couvre 3 000+ plateformes et propose un premier scan gratuit.