Dependabot prend en charge l'accès anonyme aux registres au niveau de l'organisation

Le 12 octobre 2026, GitHub a ajouté à Dependabot une nouvelle méthode d'authentification pour les registres privés au niveau de l'organisation : Anonymous. La mise à jour est modeste, mais elle couvre un cas fréquent : celui d'un miroir de paquets interne auquel le bot doit accéder sans identifiant, sans mot de passe et sans jeton.

Ce qui change

Les registres privés au niveau de l'organisation permettent de décrire une seule fois une source de dépendances et de l'utiliser dans tous les dépôts de l'entreprise. Lors de la configuration d'un tel registre, il est désormais possible de choisir Anonymous. Dependabot s'y connectera sans identifiants.

Dans son annonce, GitHub ne donne qu'un seul exemple : le miroir de paquets interne. C'est une architecture courante. L'entreprise héberge en interne un proxy ou un cache pour npm, Maven, PyPI ou un autre écosystème. L'accès y est restreint par le réseau, et non par des mots de passe : il est ouvert aux développeurs situés à l'intérieur du périmètre et inaccessible aux autres.

La formule « il est désormais possible de choisir » indique qu'une telle option n'existait pas auparavant dans les paramètres de l'organisation. Quand le serveur ne vérifie rien mais que l'interface exige un secret, les équipes y saisissent généralement une valeur factice : un jeton vide, un utilisateur fictif, un compte technique partagé. C'est un élément superflu dans la configuration, que quelqu'un doit stocker et dont il faut se souvenir.

À quoi cela sert concrètement

Le principal gain tient à la propreté de la configuration. Anonymous supprime des paramètres les faux secrets, et avec eux les questions posées lors des audits : à quoi correspond ce jeton, où est-il utilisé, quand a-t-il été renouvelé. Sans jeton, il n'y a rien à perdre ni à oublier de révoquer.

Le second avantage tient à l'échelle. Le niveau organisation sert à ne pas répéter le même registre dans des dizaines de dépôts. Si le miroir est ouvert à l'intérieur du réseau, la configuration se fait une seule fois pour tous les projets.

La condition essentielle est que le registre soit joignable depuis l'environnement où s'exécute Dependabot. Le texte de l'annonce ne précise pas comment la mise à jour interagit avec les restrictions réseau ou avec les runners auto-hébergés. Il vaut mieux le vérifier dans la documentation de GitHub avant de migrer.

En bref, les paramètres :

• Date de l'annonce : 12 octobre 2026.
• Périmètre : registres privés au niveau de l'organisation.
• Nouvelle méthode d'authentification : Anonymous.
• Cas d'usage visé : registres n'exigeant pas d'identifiants, par exemple un miroir de paquets interne.
• Ce qui ne change pas : les registres protégés par jetons ou mots de passe continuent de fonctionner comme avant.

Où se situe le risque

L'accès anonyme signifie que quiconque voit l'endpoint peut lire les paquets. Toute la protection repose sur le réseau. Si le miroir se retrouve accidentellement exposé à l'extérieur et qu'il contient des bibliothèques internes, cela entraîne une fuite de code source et des noms de paquets internes.

Il existe aussi un problème moins évident. Des noms de paquets internes visibles sans authentification facilitent les attaques par substitution de dépendances (dependency confusion). Il est donc raisonnable de n'utiliser un miroir anonyme que comme cache de paquets publics, et non comme dépôt de paquets privés.

Comment les équipes doivent procéder

Il faut d'abord passer en revue les registres actuels de l'organisation et repérer ceux où des valeurs factices remplacent de vrais secrets. Ce sont les candidats à la migration.

Il faut ensuite vérifier trois points :

• Le registre n'est ouvert que depuis un réseau de confiance et n'est pas exposé sur internet.
• Il fonctionne en lecture seule pour les clients non authentifiés.
• Les paquets internes contenant du code sensible sont placés dans un registre distinct, protégé par jetons.

Ensuite, on peut basculer la méthode sur Anonymous, supprimer de l'organisation les secrets devenus inutiles et lancer Dependabot sur un dépôt de test. Si les mises à jour de dépendances arrivent comme avant, la configuration est appliquée aux autres projets.

Pour la plupart des équipes, il s'agit d'un changement d'hygiène, et non d'une nouvelle fonctionnalité. Mais ce sont précisément ces ajustements qui réduisent le nombre de jetons oubliés dans la CI et dans les paramètres.