Secret-Scanner
Secret Scanner
Durchsucht eingefügten Code, Logs oder einen Konfigurations-Dump nach API-Schlüsseln, Tokens und privaten Schlüsseln, mit Entropie-Heuristik.
Schlüssel werden committet, in Tickets eingefügt und in Logs gedruckt, und in dem Moment sind sie öffentlich, ob es jemand bemerkt hat oder nicht. Dieses Werkzeug liest eingefügten Code, einen Log-Auszug oder eine Konfigurationsdatei und zeigt auf die Zeichenketten, die wie Zugangsdaten aussehen – zuerst nach bekannten Anbieterformaten, dann nach Entropie für die, die gar kein Format haben.
Wird beim Tippen geprüft, in einem Worker, in diesem Tab.
Nichts verlässt diesen Tab. Insbesondere wird kein hier gefundener Schlüssel an seinen Anbieter geschickt, um zu prüfen, ob er noch gültig ist — das hieße, sämtliche Zugangsdaten aus Ihrem Quellcode von Ihrem eigenen Rechner aus an einen Dritten zu geben, also genau der Schaden, zu dessen Verhinderung ein Secret-Scanner existiert. Die Offline-Prüfungen sind Arithmetik, die hier geschieht: das Format, das der Anbieter veröffentlicht, und bei einem GitHub-Token die Prüfsumme, die GitHub hineinbaut. Befunde zeigen nur eine verdeckte Vorschau, der Bericht lässt sich also gefahrlos in ein Ticket einfügen.
So funktioniert es
Fügen Sie den Text ein oder legen Sie die Datei ab
Alles Textuelle funktioniert – Quellcode, `.env`, ein CI-Log, ein Konfigurationsauszug. Es läuft in einem Worker, ein großer Einfügevorgang friert die Seite also nicht ein.
Lesen Sie zuerst die Formattreffer
Ein Treffer auf ein bekanntes Präfix – `AKIA…`, `ghp_…`, `sk-…`, ein PEM-Blockkopf – ist nahezu sicher. Das sind die, um die Sie sich vor allem anderen kümmern sollten.
Behandeln Sie Entropie-Treffer als Kandidaten
Eine Zeichenkette mit hoher Entropie und ohne erkannte Form kann ein Schlüssel sein, ein Hash, eine UUID, ein minifiziertes Asset oder ein Base64-Bild. Das Werkzeug sagt, welche Regel ausgelöst hat, damit Sie urteilen können.
Erst rotieren, dann aufräumen
Ein geleakter Schlüssel ist geleakt. Den Commit zu löschen oder das Log zu bearbeiten macht die Veröffentlichung nicht rückgängig, also zuerst widerrufen und neu ausstellen, und erst danach die Historie aufräumen.
Häufige Fragen
Bedeutet ein sauberes Ergebnis, dass keine Geheimnisse enthalten sind?
Nein, und das ist die Grenze, die man verstehen sollte. Es findet Muster, die es kennt, und Zeichenketten, die zufällig aussehen. Ein internes Schlüsselformat mit niedriger Entropie, ein Passwort, das sich wie ein Wort liest, oder Zugangsdaten, die auf zwei Variablen verteilt sind, gehen alle glatt durch.
Prüft es, ob der Schlüssel noch funktioniert?
Das kann es nicht, und es würde es auch nicht tun. Einen Schlüssel zu verifizieren heißt, ihn beim Anbieter zu verwenden, und das sendet Ihre Zugangsdaten an einen Dritten – das Gegenteil dessen, wofür diese Seite da ist. Ob ein Schlüssel aktiv ist, kann Ihnen nur sein Aussteller sagen.
Wird mein Code hochgeladen?
Nein. Das Scannen geschieht in einem Worker in Ihrem Browser. Ein Werkzeug, das nach genau der Datei fragt, die am ehesten Ihre Geheimnisse enthält, sollte sie nicht auch noch irgendwohin senden.
In meinem minifizierten Bundle wird alles markiert.
Minifizierte Ausgabe ist dicht und sieht konstruktionsbedingt zufällig aus, und genau darauf springt die Entropie-Regel an. Scannen Sie Quellen statt Build-Artefakte, oder schränken Sie auf die formatbasierten Regeln ein.
Eingabe aus
Schwärzung prüfen
Redaction Verifier
Prüft ein angeblich geschwärztes PDF auf Text, Bilder oder Metadaten, die sich noch unter den schwarzen Balken verbergen.
Unsichtbare Zeichen entfernen
Invisible Character Remover
Findet und entfernt Zero-Width-Spaces, BOMs, weiche Trennzeichen und Bidi-Steuerzeichen, die sich in eingefügtem Text verstecken.
Text anonymisieren
Text Anonymiser
Findet E-Mail-Adressen, Telefonnummern, Kartennummern und Kennungen in Freitext und maskiert oder pseudonymisiert sie – ohne Upload, komplett im Browser.
Kubernetes-Secret-Decoder
Kubernetes Secret Decoder
Dekodiert jeden Base64-Wert in einem Secret-Manifest und kodiert ein bearbeitetes wieder zum Anwenden – ohne Upload, komplett im Browser.
Danach
Diese Tools nehmen an, was dieses hier erzeugt, das Ergebnis kann also direkt weiter.
.env-Parser und -Konverter
.env Parser & Converter
Parst eine .env-Datei und wandelt sie in JSON, YAML, Shell-Exports, Docker- oder Kubernetes-Format um.
Entropie-Messer
Entropy Meter
Misst die Shannon-Entropie einer Zeichenkette oder Datei und zeigt ein Byte-Histogramm – nützlich zum Aufspüren von Schlüsseln.
HAR-Viewer und -Bereiniger
HAR Viewer & Sanitiser
Öffnet eine HAR-Aufzeichnung als Wasserfall und entfernt Cookies, Auth-Header und Tokens, bevor Sie sie weitergeben – ohne Upload, komplett im Browser.
Text anonymisieren
Text Anonymiser
Findet E-Mail-Adressen, Telefonnummern, Kartennummern und Kennungen in Freitext und maskiert oder pseudonymisiert sie – ohne Upload, komplett im Browser.
CORS-Tester
CORS Tester
Sendet den Preflight, den ein Browser von einem gewählten Origin senden würde, plus ein GET mit diesem Origin, und erklärt nach den Regeln des Fetch-Standards genau, welcher Header blockiert hat.
CSV bereinigen
CSV Cleaner
Trimmt Zellen, normalisiert Kopfzeilen, korrigiert Zahlen- und Datumsformate und meldet Zeilen mit falscher Spaltenzahl.