01
Verbindung installieren und berechtigen
Verbinden Sie über OAuth oder eine App-Installation und wählen Sie genau, was GitHub teilt. Sie können den Zugriff jederzeit auf Ihrer Seite widerrufen.
GitHub ist doppelt angebunden: Eine GitHub App, die Sie auf den Repositories Ihrer Wahl installieren, öffnet Remediation-Issues und verknüpft sie mit Ihren Controls. Zusätzlich prüfen lesende Checks, ob Zwei-Faktor-Authentifizierung erzwungen ist und Default-Branches geschützt sind.
8 rein lesende Checks, ausgeführt nach Zeitplan. Jeder Fehlschlag wird zum Finding an einem Control, jeder Check ist gelistet, keiner ist «demnächst».
Fails if the GitHub organization does not enforce two-factor authentication for all members. Note: `two_factor_requirement_enabled` is returned as null when the token lacks organization-owner visibility, which this check treats as a failure (fail-closed) — use an org-owner token to get an accurate result.
org-two-factor-required
Fails if the repository's default branch has no branch-protection rule and no repository ruleset requiring at least one approving pull-request review, or if the classic protection rule does not require one before merging.
default-branch-protected
Fails if Dependabot vulnerability alerts are not enabled on the repository. GitHub returns 204 when alerts are enabled and 404 when they are not; anything else is treated as disabled (fail-closed).
dependabot-alerts-enabled
Fails while the repository has an open Dependabot alert of critical severity, with one finding per alert (alert number, advisory, package and link; no manifest paths). Reads at most 100 open critical alerts per run. A 404 (Dependabot alerts unavailable for the repository) fails; a 403 (the token lacks permission, or Dependabot alerts are disabled) is an error. The check never passes without a successful read. Fine-grained PAT: read-only repository permission "Dependabot alerts". Endpoint: GET /repos/{owner}/{repo}/dependabot/alerts (docs.github.com/en/rest/dependabot/alerts).
no-open-critical-dependabot-alerts
Fails while the repository has an open code scanning alert, with one finding per alert (alert number, rule severity and link; no file paths or code). Reads at most 100 open alerts per run. A 404 (code scanning not configured, no analysis yet) fails; a 403 (the token lacks permission, or code scanning is not available on the repository) is an error. The check never passes without a successful read. Fine-grained PAT: read-only repository permission "Code scanning alerts". Endpoint: GET /repos/{owner}/{repo}/code-scanning/alerts (docs.github.com/en/rest/code-scanning/code-scanning).
no-open-code-scanning-alerts
Fails if secret scanning is not enabled on the repository. Note: the `security_and_analysis` block is returned as null when the token lacks repository-admin visibility, which this check treats as a failure (fail-closed) — use a repo-admin token for an accurate result.
secret-scanning-enabled
Inventories the organization-level Actions, Dependabot and Codespaces secrets (name, visibility, created and last-updated date, age in days; GitHub never returns secret values) and fails if any secret was last updated longer ago than the approved maximum age (default 365 days). Passes when there are none, since there is nothing to rotate; the result says so and records a count of 0. Fine-grained PAT: read-only organization permissions "Secrets", "Organization dependabot secrets" and "Organization codespaces secrets" (classic PAT: admin:org). Endpoints: GET /orgs/{org}/actions/secrets, /orgs/{org}/dependabot/secrets, /orgs/{org}/codespaces/secrets (docs.github.com/en/rest/actions/secrets, /rest/dependabot/secrets, /rest/codespaces/organization-secrets).
org-secrets-inventory
Inventories a repository's Actions secrets, the secrets of each of its deployment environments (up to 50 environments) and its Dependabot secrets (name, created and last-updated date, age in days; GitHub never returns secret values), and fails if any secret was last updated longer ago than the approved maximum age (default 365 days). Passes when there are none, since there is nothing to rotate; the result says so and records a count of 0. Fine-grained PAT: read-only repository permissions "Secrets", "Environments", "Actions", "Dependabot secrets" and "Metadata" (classic PAT: repo). Repository Codespaces secrets are not read: GitHub requires write access to list them. Endpoints: GET /repos/{owner}/{repo}/actions/secrets, /environments, /environments/{name}/secrets, /dependabot/secrets (docs.github.com/en/rest/actions/secrets, /rest/deployments/environments, /rest/dependabot/secrets).
repo-secrets-inventory
Bringen Sie die Test-Liste Ihrer aktuellen Plattform mit, wir gleichen sie mit diesen Checks ab, Lücke für Lücke
Öffnen Sie Issues für Remediation-Arbeit direkt in Ihren Repositories. devguard verfolgt jedes Issue mit, während Ihr Team es bearbeitet und schliesst, über eine GitHub App auf den Repos Ihrer Wahl.
Die Einrichtung dauert Minuten, kein Migrationsprojekt, und jeder Schritt bleibt auf Ihrer Seite
Verbinden Sie über OAuth oder eine App-Installation und wählen Sie genau, was GitHub teilt. Sie können den Zugriff jederzeit auf Ihrer Seite widerrufen.
Der erste Lauf startet direkt nach dem Verbinden und wiederholt sich dann nach Zeitplan. Ergebnisse tragen Zeitstempel, Ihre Evidenz hat also eine Geschichte, keinen Schnappschuss.
Bestandene Ergebnisse hängen sich als Evidenz an die zugehörigen Controls; Fehlschläge werden zu Findings, die Sie triagieren. Wenn das Audit kommt, ist der Nachweis bereits verknüpft.
Öffnen Sie eine beliebige Seite für ihr vollständiges Check-Register.
Jeden Zugang erstellen und berechtigen Sie selbst, und Sie können ihn jederzeit widerrufen. Checks lesen nur; Ergebnisse und Evidenz werden in der Schweiz gespeichert und bleiben exportierbar.
Ja. Die Checks authentifizieren sich mit einem Zugang, den Sie selbst erstellen und berechtigen, und lesen ausschliesslich Konfiguration. devguard hat keinen Schreibzugriff auf GitHub und remediiert nichts im Stillen.
Ein fehlgeschlagener Check wird zum Finding am zugehörigen Control, mit der Evidenz im Anhang. Sie entscheiden über die Behandlung: Niemand wird angepiept, und nichts wird automatisch remediiert.
Die Checks laufen auf Schweizer Infrastruktur, Ergebnisse und Evidenz werden in der Schweiz gespeichert. Alles ist exportierbar, Ihre Evidenz gehört weiterhin Ihnen.
Nein. Die GitHub App schreibt Issues, niemals Code, und Sie wählen, welche Repositories sie sehen darf. Die Compliance-Checks nutzen ein separates, rein lesendes Token und lesen nur Organisations- und Repository-Einstellungen.
Einstellungen auf Organisationsebene wie erzwungene 2FA setzen eine GitHub-Organisation voraus. Branch-Protection-Checks funktionieren mit jedem Plan, der geschützte Branches unterstützt.
20 Minuten dazu, wie Sie Ihre Zertifizierung heute betreiben. Bringen Sie Ihre aktuelle Test- oder Control-Liste mit, und wir gleichen sie mit diesen Checks ab, ehrlich und Lücke für Lücke.