Znajdź wyciekłe klucze zanim zrobi to ktoś inny

Wklej kod, plik konfiguracyjny, logi lub zgłoszenie do wsparcia, zanim je udostępnisz. Klucze API, tokeny dostępu, klucze prywatne, ciągi połączeń i hasła są znajdowane i mogą być zaczernione jednym kliknięciem. Strona nie może nic wysłać przez sieć, więc Twój tekst zostaje na tym urządzeniu. Jest darmowe.

Jak skanować w poszukiwaniu sekretów, krok po kroku

1. Wklej tekst do pola Tekst do skanowania albo naciśnij Otwórz plik.
2. Patrz, jak wyniki aktualizują się podczas pisania. Są liczone jako Wysokie, Średnie i Niskie.
3. Wybierz numer wiersza, aby przeskoczyć do dopasowania. Dopasowania są pokazane częściowo zamaskowane.
4. Naciśnij To nie sekret przy wszystkim, co jest bezpieczne, albo dodaj własny wzorzec dla kluczy używanych tylko w Twoim zespole.
5. Naciśnij Zaczernij wszystko, aby zastąpić każde znalezisko, a potem Kopiuj tekst.

Czego szuka

Ponad 25 rodzajów sekretów o znanych formatach, w tym tokeny AWS, GitHub, GitLab, Slack, Stripe, Google, Hugging Face, npm, PyPI, SendGrid, Twilio, Mailgun, Shopify i Telegram, klucze API platform AI, bloki kluczy prywatnych, JSON Web Tokens i adresy baz danych z hasłami. Oznacza też wartości przypisane do nazw takich jak password, secret lub api_key, gdy wyglądają na wystarczająco losowe, by być prawdziwe. Sprawdzanie przypisań haseł i tokenów możesz włączyć lub wyłączyć.

Znalazłeś prawdziwy klucz?

Zaczernienie go tutaj chroni to, co zaraz udostępnisz, ale jeśli klucz kiedykolwiek został zatwierdzony lub opublikowany, traktuj go jako ujawniony: unieważnij go lub zmień u dostawcy, a potem zaktualizuj aplikację. Usunięcie go z najnowszej wersji pliku nie usuwa go z historii.

Dobre nawyki

• Trzymaj klucze w zmiennych środowiskowych lub menedżerze sekretów, a nie w kodzie.
• Dodaj plik .env example z symbolami zastępczymi, aby inni wiedzieli, co ustawić.
• Trzymaj prawdziwe pliki .env poza repozytorium dzięki gitignore.
• Przeskanuj logi i zgłoszenia, zanim wkleisz je do czatu lub publicznego zgłoszenia.
• Sprawdź działającą stronę pod kątem ujawnionych kluczy i plików za pomocą skanu przed premierą.

Kto z tego korzysta

Programiści dzielący się fragmentem lub proszący o pomoc, zespoły wsparcia wklejające logi do zgłoszenia, studenci publikujący projekt i małe zespoły sprawdzające konfigurację przed premierą.

Prywatność w założeniu

Ta strona nie może wykonywać żądań sieciowych, więc wklejony tekst nie może być nigdzie wysłany. Dopasowania są pokazane częściowo zamaskowane.

Pytania

Czy czysty wynik skanowania oznacza, że jestem bezpieczny?

Nie. Znajduje popularne formaty i prawdopodobne sekrety, ale żaden skaner nie wychwytuje wszystkiego. Sam przejrzyj wrażliwy tekst.

Czy mogę nauczyć go naszego formatu kluczy?

Tak. Otwórz Dodaj własny wzorzec, wpisz zwykły tekst lub wyrażenie regularne, takie jak ACME-[0-9]{8}, a dopasowania pojawią się jako znaleziska. Wzorce i wybory Nie jest sekretem trwają do zamknięcia karty.

Czy znajdzie hasła zapisane zwykłym tekstem?

Oznacza wartości przypisane do nazw takich jak password czy secret, gdy wyglądają na dość losowe, by być prawdziwe. Krótkie lub oczywiste słowa mogą nie zostać oznaczone.

Czy mój kod jest przesyłany?

Nie. Skanowanie działa w Twojej przeglądarce.