Détecteur de secrets
Secret Scanner
Passe au crible du code, des journaux ou un fichier de configuration collés pour y trouver clés d’API, jetons et clés privées, avec des heuristiques d’entropie.
Des clés sont validées dans un dépôt, collées dans des tickets et imprimées dans des journaux, et à l’instant où cela arrive elles sont publiques, que quelqu’un l’ait remarqué ou non. Ceci lit du code collé, un extrait de journal ou un fichier de configuration et pointe les chaînes qui ressemblent à des identifiants — d’abord par les formats de fournisseurs connus, puis par l’entropie pour celles qui n’ont aucun format.
Analysé au fur et à mesure que vous tapez, dans un worker, dans cet onglet.
Rien ne quitte cet onglet. En particulier, aucune clé trouvée ici n’est envoyée à son fournisseur pour savoir si elle est encore valide : ce serait prendre tous les identifiants de votre code et les remettre à un tiers depuis votre propre machine, c’est-à-dire exactement le dommage qu’un scanner de secrets existe pour empêcher. Les vérifications hors ligne sont du calcul fait ici : le format que le fournisseur publie et, pour un jeton GitHub, la somme de contrôle que GitHub y intègre. Les constats n’affichent qu’un aperçu masqué, le rapport peut donc être collé dans un ticket sans risque.
Comment s’en servir
Collez le texte ou déposez le fichier
Tout ce qui est textuel convient : du code source, un `.env`, un journal d’intégration continue, un vidage de configuration. Cela tourne dans un worker, donc un gros collage ne fige pas la page.
Lisez d’abord les correspondances de format
Une correspondance sur un préfixe connu — `AKIA…`, `ghp_…`, `sk-…`, un en-tête de bloc PEM — est quasi certaine. Ce sont celles à traiter avant toute autre chose.
Traitez les correspondances par entropie comme des candidates
Une chaîne à forte entropie sans forme reconnue peut être une clé, une empreinte, un UUID, une ressource minifiée ou une image en base64. L’outil dit quelle règle s’est déclenchée pour que vous puissiez juger.
Faites tourner la clé, puis nettoyez
Une clé qui a fuité a fuité. Supprimer le commit ou modifier le journal ne la dépublie pas, donc révoquez et réémettez d’abord, et rangez l’historique ensuite.
Questions fréquentes
Un résultat propre veut-il dire qu’il n’y a aucun secret ?
Non, et c’est la limite qu’il vaut la peine de comprendre. Il trouve les motifs qu’il connaît et les chaînes qui ont l’air aléatoires. Un format de clé interne à faible entropie, un mot de passe qui ressemble à un mot, ou un identifiant coupé en deux variables passent tous sans être vus.
Vérifie-t-il si la clé fonctionne encore ?
Il ne peut pas, et il ne le ferait pas. Vérifier une clé veut dire l’employer auprès du fournisseur, ce qui envoie votre identifiant à un tiers — l’inverse de ce à quoi sert cette page. Qu’une clé soit active ou non est une chose que seul son émetteur peut vous dire.
Mon code est-il envoyé quelque part ?
Non. L’analyse se fait dans un worker de votre navigateur. Un outil qui réclame le fichier le plus susceptible de contenir vos secrets ne devrait pas aussi l’envoyer ailleurs.
Tout mon paquet minifié est signalé.
Une sortie minifiée est dense et paraît aléatoire par construction, ce qui est exactement ce sur quoi la règle d’entropie s’appuie. Analysez les sources plutôt que les artefacts de build, ou limitez-vous aux règles fondées sur les formats.
À alimenter depuis
Vérifier un caviardage
Redaction Verifier
Inspecte un PDF réputé caviardé pour y trouver le texte, les images ou les métadonnées qui subsisteraient sous les rectangles noirs.
Supprimer les caractères invisibles
Invisible Character Remover
Repère et retire les espaces de largeur nulle, les BOM, les traits d’union conditionnels et les marques bidirectionnelles cachées dans un texte collé.
Anonymiser un texte
Text Anonymiser
Repère dans un texte libre les adresses e-mail, les numéros de carte validés par Luhn, les adresses IPv4 et les numéros de compte, ainsi que les numéros de téléphone, de résident et d’entreprise sud-coréens, puis les masque ou les pseudonymise. Le numéro de sécurité sociale et le format de mobile français ne sont pas reconnus.
Décodeur de Secret Kubernetes
Kubernetes Secret Decoder
Décode toutes les valeurs Base64 d’un manifeste Secret, et réencode celui que vous avez modifié, prêt à appliquer.
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Analyseur de fichier .env
.env Parser & Converter
Analyse un fichier .env et le convertit en JSON, en YAML, en exports shell, en format Docker ou en format Kubernetes.
Mesure d’entropie
Entropy Meter
Mesure l’entropie de Shannon d’une chaîne ou d’un fichier et affiche un histogramme des octets, utile pour repérer une clé.
Visionneuse et nettoyeur de HAR
HAR Viewer & Sanitiser
Ouvre une capture HAR sous forme de cascade et retire cookies, en-têtes d’authentification et jetons avant que vous ne la partagiez.
Anonymiser un texte
Text Anonymiser
Repère dans un texte libre les adresses e-mail, les numéros de carte validés par Luhn, les adresses IPv4 et les numéros de compte, ainsi que les numéros de téléphone, de résident et d’entreprise sud-coréens, puis les masque ou les pseudonymise. Le numéro de sécurité sociale et le format de mobile français ne sont pas reconnus.
Testeur CORS
CORS Tester
Envoie la requête préalable qu’un navigateur enverrait depuis l’origine que vous indiquez, plus un GET portant cette origine, et explique selon les règles du standard Fetch quel en-tête a bloqué la requête.
Nettoyeur de CSV
CSV Cleaner
Rogne les cellules, normalise les en-têtes, redresse les formats de nombre et de date et signale les lignes qui n’ont pas le bon nombre de colonnes.