リポジトリのセキュリティアドバイザリにおける機密コメントConfidential comments on repository security advisories
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
- GitHubのリポジトリセキュリティアドバイザリに、書き込み権限を持つ利用者だけが閲覧できる機密コメント機能が追加された。
- 報告者に見せず調査や連携の内容を記録でき、メンテナー間の安全な対応を支援する。
- GitHub repository security advisories now offer confidential comments for users with write access.
- Maintainers can discuss investigations without exposing details to reporters.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (github.blog) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (github.blog).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
機密コメント
GitHubのリポジトリセキュリティアドバイザリで、機密コメントを投稿できるようになった。報告者や一部の招待済みコラボレーターには見せず、調査内容や対応の連携事項をアドバイザリ内に残せる機能だ。
書き込み権限
機密コメントを閲覧できるのは、リポジトリへの書き込み権限を持つ利用者に限られる。書き込み権限のない報告者や招待済みコラボレーターには表示されず、コメントが投稿されたことも通知されない。閲覧範囲は、その時点のリポジトリ権限に従う。
これにより、疑わしい不正利用に関する相談、調査の詳細、対応を調整するためのメモなどを、必要な権限を持つメンテナー間で共有できる。
投稿時の操作
投稿する際は、コメントボックスの下にある「Confidential」を選択する。投稿前には、このコメントを閲覧できるのがメンテナーのみであることが示される。通常のコメントと区別できるよう、投稿後の機密コメントはアドバイザリのタイムライン上で明確に表示される。
アドバイザリ履歴
従来、アドバイザリ上のコメントは、報告者を含むすべてのコラボレーターに見える仕組みだった。そのため、報告者などに開示しない内容を話し合うには、会話を別の場所へ移す必要があり、そのやり取りはアドバイザリの履歴に残らなかった。
機密コメントでは、閲覧対象を制限したまま会話をタイムラインに記録できる。調査や連携に関する情報を、アドバイザリの文脈と切り離さず管理できるようになった。
Confidential comments
GitHub repository security advisories now support confidential comments, giving maintainers a way to discuss investigations without exposing those details to reporters. The feature matters because internal discussion can remain attached to the advisory rather than being moved elsewhere and lost from its history.
A confidential comment is visible only to people who have write access to the repository. Access follows the repository’s current permissions, so confidentiality is determined by whether a person has that level of access.
Advisory history
Previously, every comment posted on a repository security advisory was visible to all collaborators on the advisory, including the reporter. That made the advisory unsuitable for conversations that should remain limited to maintainers.
Discussions about suspected abuse, investigation details, or coordination notes therefore had to take place somewhere else. Moving those conversations separated them from the advisory’s history. Confidential comments allow maintainers to preserve that discussion in the advisory while restricting who can read it.
Select Confidential
To create a restricted comment, select Confidential before posting. A message below the comment box states that only maintainers will see the comment, allowing the author to confirm its visibility before submitting it.
After posting, confidential comments are clearly marked in the advisory timeline. This distinguishes them from comments that are available to the advisory’s wider group of collaborators.
Write access
Reporters cannot see confidential comments unless they have write access to the repository. Invited collaborators who lack write access also cannot view them.
Those reporters and invited collaborators are not notified about confidential comments. Maintainers can therefore record investigation and coordination details in the security advisory without showing those comments to participants who do not have the required repository permission.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPokoセキュリティアドバイザリの「機密コメント」って、誰に見えて、誰には見えないの？Who can see a confidential comment on a security advisory, and who can’t?
- TECHガイドTECH Guideリポジトリへの書き込み権限がある人だけに見えます。報告者や、書き込み権限のない招待コラボレーターには表示も通知もされません。Only people with write access to the repository can see it. Reporters and invited collaborators without write access won’t see it or receive notifications.
- ポコPokoじゃあ、メンテナーが報告者にはまだ見せたくない調査内容や連携メモを、同じ場所で話せるってこと？So maintainers can discuss investigation details or coordination notes in the same place without showing them to the reporter?
- TECHガイドTECH Guideそうです。疑わしい不正利用や調査の詳細、調整メモを、アドバイザリの履歴に残しながらチーム内で扱えます。Yes. Teams can keep suspected abuse, investigation details, and coordination notes within the advisory’s history while limiting who can read them.
- ポコPoko前は別の場所に移していた話も、機密にしてアドバイザリの履歴へ残せるんだね。Got it—discussions that previously moved elsewhere can now stay in the advisory as confidential comments.
- TECHガイドTECH Guideその通り。ただし閲覧範囲は現在のリポジトリ権限に従い、機密コメントはタイムライン上で明確に表示されます。Right. Access still follows the repository’s current permissions, and confidential comments are clearly marked in the advisory timeline.
