Lo scoping dei segreti è la pratica di limitare quali job, runner, branch o ambienti possono accedere a credenziali sensibili come chiavi API, token cloud e password di distribuzione. Invece di esporre un singolo segreto ampio a ogni build, i difensori assegnano a ogni attività automatizzata il minor insieme possibile di autorizzazioni. Questo riduce la probabilità che un passaggio compromesso possa leggere e riutilizzare credenziali di alto valore.
È importante perché i sistemi di build eseguono spesso codice di terze parti, inclusi gli script di installazione dei pacchetti, e quel codice potrebbe tentare di rubare segreti dalle variabili di ambiente o dai file locali. Se una dipendenza avvelenata viene eseguita in un job che può raggiungere credenziali ampie, l'attaccante può esfiltrare i token in un solo passaggio. Con un buon scoping dei segreti, lo stesso job può vedere solo segreti a basso rischio o temporanei, limitando il raggio d'azione e rendendo il furto di credenziali molto meno utile. In pratica, i team combinano segreti con ambito limitato con runner separati, token a breve durata e approvazioni degli ambienti.