Geheimnisse im Text scannen – Musterdetektor

Scannen Sie eingefügten Text nach geheimnisähnlichen Mustern (AWS-Keys, GitHub-PATs, PEM-Keys und mehr). Dokumentierte Teilmenge, kein Repo-Scanner der Gitleaks-Klasse.

…
Geheimnisse scannen (einfügen)
Findet geheimnisähnliche Muster in eingefügtem Text. Die Detektorliste ist fest und dokumentiert, und es ist kein Gitleaks-Äquivalent.

Hinweise des Entwicklers

v1-Detektoren: pem_private_key, aws_access_key_id, github_pat, slack_token, generic_assignment, jwt_compact (Opt-in), high_entropy_string (Opt-in). Schwärzung: erste 4 + letzte 4 Zeichen in Match und Excerpt; Copy exportiert nur geschwärzte Spalten. validate-env (DevOps) warnt hauptsächlich vor geheimnisvoll aussehenden .env-Schlüsselnamen – ergänzend. 512-KB-Grenze.

Optionen

Schweregradboden
alle = jeder Treffer; hoch = nur Detektoren mit hohem Schweregrad.
Hinweise zur Entropie
Aktiviert Entropie-Heuristiken, die viele Fehlalarme liefern können. Standardmäßig aus.
JWT einbeziehen
Erkennt kompakte JWT-Tokens (geringer Schweregrad). Bevorzugen Sie die jwt-Dekodierung, um ein JWT zu lesen.

Wenn Teams diese Route wählen

Schnelle Überprüfung einer Paste vor dem Posten in ein Ticket. Erkennen Sie einen offensichtlichen GitHub PAT- oder AWS-Zugriffsschlüssel. Reduzieren Sie den Lärm durch einen nur hohen Schweregrad.

Ausgearbeitete Beispiele

Staging-.env-Ausschnitt

Vor

# Staging-Deploy — Fake-Secrets nur für die Demo APP_NAME=payments-api NODE_ENV=staging LOG_LEVEL=info # AWS (Fake-AKIA aus der AWS-Doku) AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE AWS_REGION=eu-central-1 # GitHub-Actions-Deploy GITHUB_TOKEN=ghp_TESTONLYabcdefghijklmnopqrstuv # Slack-Alert-Bot SLACK_BOT_TOKEN=xoxb-0000000000-0000000000000-abcdefghijklmnopqrstuvwx # Datenbank DATABASE_HOST=db.internal.example DATABASE_PORT=5432 password=notarealsecret123 # Auth-Callback (JWT — Include JWT aktivieren) AUTH_JWT=eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZW1vIn0.sig # Hoch-Entropie-Blob (Entropy — Toggle aktivieren) Aa1!xY9zxY9zxY9zxY9zxY9zxY9zxY9zxY9z # Health — keine Secrets HEALTHCHECK_PATH=/health

Nach (Hits)

4 Treffer standardmäßig: aws_access_key_id (L7) · github_pat (L11) · slack_token (L14) · generic_assignment (L19, medium). Mit Include JWT (+ jwt_compact L22) und Entropy (+ high_entropy_string L25) sind es insgesamt 6 Treffer.

severityFloor=high

Vor

password=notarealsecret123 AKIAIOSFODNN7EXAMPLE

Nach (Hits)

Nur aws_access_key_id (high), generic_assignment entfällt

Verwandte Tools

Für Warnungen zu .env-Schlüsselnamen nutzen Sie validate-env. Für einen kompakten JWT nutzen Sie jwt-Dekodierung. Zurück zum Hub security tools.

Häufig gestellte Fragen zu Scan-Geheimnissen

Dokumentierte Teilmenge

Wann sollte ich „validate-env“ verwenden?

validate-env validiert die .env-Struktur und markiert verdächtige Schlüsselnamen. scan-secrets sucht in jedem eingefügten Text nach Secret-ähnlichen Wertmustern. Ein leeres Validate-Env-Ergebnis ist hier nicht dasselbe Signal wie ein Soft-Empty.

Wann sollte ich jwt-decode verwenden?

Um einen JWT-Header/eine Nutzlast zu lesen, verwenden Sie jwt-decode. Die Option „IncludeJwt“ dieses Scanners ist standardmäßig deaktiviert, um Fehlalarme zu vermeiden.

Ist dies ein vollständiger Repository-Geheimnisscanner?

Nein. Es ist eine dokumentierte Teilmenge von Mustern für eingefügten Text, kein Repository-Durchlauf und kein Regelpaket für Unternehmen.

Welche Detektoren sind im Lieferumfang enthalten?

pem_private_key, aws_access_key_id, github_pat, slack_token, generic_assignment; jwt_compact und high_entropy_string sind Opt-In.

Sicherheit und Token

JWKS, X.509-Zertifikate und Secrets-Scan – browserlokal.

Weitere Werkzeugkategorien entdecken