Een commit naar een publieke repository Public1 bevat een patroon dat overeenkomt met een reguliere expressie voor secret scanning. Welke partij ontvangt de eerste melding wanneer de commit wordt gemaakt?

Wanneer een commit met een gedetecteerd geheim naar een openbare repository wordt gepusht, is de secret scanning partner (bijvoorbeeld GitHub of een externe tool) de eerste die de melding ontvangt. Dit komt doordat zij de detectie uitvoeren op basis van hun ingebouwde patronen en algoritmen. Zij valideren het gedetecteerde geheim om valse positieven te minimaliseren. Pas daarna wordt de beheerder van de GitHub-organisatie en/of de eigenaar van de repository geïnformeerd, vaak via een melding in GitHub of een geïntegreerd beveiligingsdashboard. De committer wordt niet direct door de secret scanning partner geïnformeerd, maar kan later via de organisatiebeheerder op de hoogte worden gesteld.