共有する前に、コード、設定ファイル、ログ、サポートチケットを貼り付けます。APIキー、アクセストークン、秘密鍵、接続文字列、パスワードが検出され、ワンクリックで伏せ字にできます。ページはネットワーク経由で何も送信できないので、テキストは端末にとどまります。無料です。
シークレットをスキャンする方法、ステップごとに
- テキストを「スキャンするテキスト」のボックスに貼り付けるか、「ファイルを開く」を押します。
- 入力に合わせて、検出結果が更新されるのを確認します。高、中、低として数えられます。
- 行番号を選ぶと、その一致にジャンプします。一致は、一部がマスクされて表示されます。
- 安全なものには、「秘密情報ではない」を押すか、チームだけが使うキー用に、独自のパターンを追加します。
- 「すべて墨消し」を押して、すべての検出結果を置き換え、「テキストをコピー」を押します。
検出の対象
AWS、GitHub、GitLab、Slack、Stripe、Google、Hugging Face、npm、PyPI、SendGrid、Twilio、Mailgun、Shopify、Telegramのトークン、AIプラットフォームのAPIキー、秘密鍵ブロック、JSON Web Token、パスワード付きのデータベースURLなど、形式が知られている25種類以上のシークレット。password、secret、api_keyのような名前に代入された値が、本物に見えるほどランダムな場合も検出します。パスワードとトークンの代入チェックは、オンにもオフにもできます。
本物のキーを見つけましたか？
ここで伏せ字にすると、これから共有するものは守られますが、キーを一度でもコミットしたり投稿したりした場合は、漏えいしたものとして扱ってください。提供元で失効またはローテーションしてから、アプリを更新します。ファイルの最新版から削除しても、履歴からは消えません。
良い習慣
- キーはコードではなく、環境変数やシークレットマネージャーに置きましょう。
- プレースホルダー入りの.envサンプルファイルを追加して、他の人が何を設定すべきかわかるようにしましょう。
- 本物の.envファイルは、gitignoreでリポジトリから除外しましょう。
- チャットや公開イシューに貼り付ける前に、ログやチケットをスキャンします。
- 公開前スキャンで、公開中のサイトの漏えいしたキーやファイルをチェックしましょう。
こんな方に
スニペットを共有したり助けを求めたりする開発者、チケットにログを貼り付けるサポートチーム、プロジェクトを公開する学生、公開前に設定を確認する小さなチーム向けです。
設計段階からプライベート
このページはネットワークリクエストを行うことが許可されていないので、貼り付けたテキストがどこかに送信されることはありません。一致は一部が伏せて表示されます。
よくある質問
問題なしのスキャン結果なら、安全ですか？
いいえ。一般的な形式と秘密情報らしきものを見つけますが、すべてを検出できるスキャナーはありません。機密性の高いテキストは、ご自身で確認してください。
自社のキーの形式を教えられますか？
はい。「独自のパターンを追加」を開いて、プレーンテキストか、ACME-[0-9]{8}のような正規表現を入力すると、一致したものが検出結果として表示されます。パターンと「秘密情報ではない」の選択は、タブを閉じるまで保持されます。
平文のパスワードも見つけますか？
passwordやsecretなどの名前に代入された値が、本物のように十分ランダムに見える場合に、フラグを立てます。短い単語や明らかな単語には、フラグが立たないことがあります。
コードはアップロードされますか？
いいえ。スキャンはブラウザ上で行われます。