Füge Code, eine Konfigurationsdatei, Logs oder ein Support-Ticket ein, bevor du sie teilst. API-Schlüssel, Zugriffstokens, private Schlüssel, Verbindungszeichenfolgen und Passwörter werden gefunden und lassen sich mit einem Klick schwärzen. Die Seite kann nichts über das Netzwerk senden, daher bleibt dein Text auf diesem Gerät. Kostenlos.
So scannst du nach Geheimnissen, Schritt für Schritt
- Füge deinen Text in das Feld „Zu scannender Text“ ein oder klicke auf „Datei öffnen“.
- Sieh zu, wie sich die Funde beim Tippen aktualisieren. Sie werden als Hoch, Mittel und Niedrig gezählt.
- Wähle eine Zeilennummer, um zum Treffer zu springen. Treffer werden teilweise maskiert angezeigt.
- Klicke bei allem Unbedenklichen auf „Kein Geheimnis“ oder füge dein eigenes Muster für Schlüssel hinzu, die nur dein Team nutzt.
- Klicke auf „Alle schwärzen“, um jeden Fund zu ersetzen, und dann auf „Text kopieren“.
Wonach es sucht
Über 25 Arten von Geheimnissen mit bekannten Formaten, darunter AWS-, GitHub-, GitLab-, Slack-, Stripe-, Google-, Hugging-Face-, npm-, PyPI-, SendGrid-, Twilio-, Mailgun-, Shopify- und Telegram-Tokens, API-Schlüssel von KI-Plattformen, private Schlüsselblöcke, JSON Web Tokens und Datenbank-URLs mit Passwörtern. Es markiert auch Werte, die Namen wie password, secret oder api_key zugewiesen sind, wenn sie zufällig genug aussehen, um echt zu sein. Du kannst die Prüfung von Passwort- und Token-Zuweisungen ein- oder ausschalten.
Einen echten Schlüssel gefunden?
Das Schwärzen hier schützt, was du gleich teilst, aber wenn der Schlüssel je committet oder gepostet wurde, behandle ihn als offengelegt: Widerrufe oder erneuere ihn beim Anbieter und aktualisiere dann deine App. Das Entfernen aus der neuesten Version einer Datei entfernt ihn nicht aus der Historie.
Gute Gewohnheiten
- Bewahre Schlüssel in Umgebungsvariablen oder einem Geheimnis-Manager auf, nicht im Code.
- Füge eine .env-Beispieldatei mit Platzhaltern hinzu, damit andere wissen, was einzustellen ist.
- Halte echte .env-Dateien mit einer gitignore aus deinem Repository heraus.
- Scanne Logs und Tickets, bevor du sie in einen Chat oder ein öffentliches Issue einfügst.
- Prüfe eine Live-Website auf offene Schlüssel und Dateien mit dem Vorab-Scan.
Für wen
Entwickler, die ein Snippet teilen oder um Hilfe bitten, Support-Teams, die Logs in ein Ticket einfügen, Studierende, die ein Projekt veröffentlichen, und kleine Teams, die vor dem Start eine Konfiguration prüfen.
Privat von Grund auf
Diese Seite darf keine Netzwerkanfragen stellen, daher kann der eingefügte Text nirgendwohin gesendet werden. Treffer werden teilweise maskiert angezeigt.
Fragen
Heißt ein sauberer Scan, dass ich sicher bin?
Nein. Es findet gängige Formate und wahrscheinliche Secrets, aber kein Scanner erkennt alles. Prüf sensible Texte selbst.
Kann ich ihm unser eigenes Schlüsselformat beibringen?
Ja. Öffne „Eigenes Muster hinzufügen“, gib reinen Text oder einen regulären Ausdruck wie ACME-[0-9]{8} ein, und Treffer erscheinen als Funde. Muster und „Kein Secret“-Markierungen gelten, bis du den Tab schließt.
Findet es Passwörter im Klartext?
Es markiert Werte, die Namen wie password oder secret zugewiesen sind, wenn sie zufällig genug wirken, um echt zu sein. Kurze oder offensichtliche Wörter werden eventuell nicht markiert.
Wird mein Code hochgeladen?
Nein. Der Scan läuft in deinem Browser.