Ricerca di segreti nel codice
Secret Scanner
Passa al setaccio codice, log o un file di configurazione incollati alla ricerca di chiavi API, token e chiavi private, con criteri basati sull’entropia.
Le chiavi finiscono nei commit, vengono incollate nelle segnalazioni e stampate nei log, e nell’istante in cui succede sono pubbliche, che qualcuno se ne sia accorto o no. Questo strumento legge codice incollato, uno scarico di log o un file di configurazione e indica le stringhe che sembrano credenziali: prima per i formati noti dei fornitori, poi per entropia, per quelle che non hanno alcun formato.
Analizzato mentre scrivi, in un worker, in questa scheda.
Non esce niente da questa scheda. In particolare, nessuna chiave trovata qui viene mandata al suo fornitore per vedere se è ancora valida: vorrebbe dire prendere ogni credenziale del tuo codice e consegnarla a terzi dalla tua stessa macchina, che è esattamente il danno per cui esiste uno scanner di segreti. I controlli offline sono aritmetica fatta qui: il formato che il fornitore pubblica e, per un token GitHub, il checksum che GitHub ci mette dentro. I riscontri mostrano solo un’anteprima oscurata, quindi il rapporto si può incollare in un ticket senza problemi.
Come si usa
Incollare il testo oppure trascinare il file
Va bene qualunque cosa sia testo: sorgenti, un `.env`, un log di CI, uno scarico di configurazione. Gira in un worker, quindi un incolla di grandi dimensioni non congela la pagina.
Leggere prima le corrispondenze di formato
Un riscontro su un prefisso noto — `AKIA…`, `ghp_…`, `sk-…`, l’intestazione di un blocco PEM — è pressoché certo. Sono quelli da affrontare prima di ogni altra cosa.
Trattare i riscontri per entropia come candidati
Una stringa ad alta entropia senza una forma riconosciuta può essere una chiave, un hash, un UUID, una risorsa minificata o un’immagine in base64. Lo strumento dice quale regola è scattata, così si può giudicare.
Revocare, e poi fare pulizia
Una chiave trapelata è trapelata. Cancellare il commit o modificare il log non la spubblica, quindi prima si revoca e si riemette e poi si sistema la cronologia.
Domande frequenti
Un risultato pulito significa che non ci sono segreti?
No, ed è questo il limite che vale la pena capire. Trova gli schemi che conosce e le stringhe che sembrano casuali. Un formato di chiave interno a bassa entropia, una password che si legge come una parola o una credenziale divisa fra due variabili passano tutti indisturbati.
Controlla se la chiave funziona ancora?
Non può, e non lo farebbe. Verificare una chiave significa usarla contro il fornitore, il che manda la propria credenziale a una terza parte: l’opposto di ciò per cui questa pagina esiste. Se una chiave sia attiva è una cosa che può dire soltanto chi l’ha emessa.
Il mio codice viene caricato?
No. La scansione avviene in un worker dentro il browser. Uno strumento che chiede il file che più probabilmente contiene i propri segreti non deve anche mandarlo da qualche parte.
Nel mio bundle minificato è segnalato tutto.
L’output minificato è denso e sembra casuale per costruzione, che è esattamente ciò su cui si basa la regola dell’entropia. Conviene analizzare i sorgenti invece degli artefatti di build, oppure restringersi alle regole basate sui formati.
Può ricevere da
Verifica di un oscuramento
Redaction Verifier
Controlla se in un PDF che dovrebbe essere oscurato restano testo, immagini o metadati nascosti sotto i riquadri neri.
Togliere i caratteri invisibili
Invisible Character Remover
Trova ed elimina spazi a larghezza zero, BOM, trattini morbidi e controlli bidirezionali nascosti in un testo incollato.
Anonimizzare un testo
Text Anonymiser
Trova indirizzi e-mail, numeri di telefono, numeri di carta e codici identificativi in un testo libero e li maschera o li sostituisce con pseudonimi — senza caricare nulla, tutto nel browser.
Decodificatore di Secret di Kubernetes
Kubernetes Secret Decoder
Decodifica tutti i valori Base64 di un manifesto Secret e ricodifica quello modificato, pronto da applicare.
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Lettore e convertitore di file .env
.env Parser & Converter
Analizza un file .env e lo converte in JSON, YAML, export di shell o nei formati di Docker e Kubernetes.
Misuratore di entropia
Entropy Meter
Misura l’entropia di Shannon di una stringa o di un file e mostra l’istogramma dei byte: utile per riconoscere una chiave.
Visualizzatore e ripulitore di file HAR
HAR Viewer & Sanitiser
Apre una cattura HAR come diagramma a cascata e toglie cookie, intestazioni di autenticazione e token prima che tu la condivida.
Anonimizzare un testo
Text Anonymiser
Trova indirizzi e-mail, numeri di telefono, numeri di carta e codici identificativi in un testo libero e li maschera o li sostituisce con pseudonimi — senza caricare nulla, tutto nel browser.
Verifica CORS
CORS Tester
Invia la preflight che manderebbe un browser da un’origine scelta più una GET con quell’Origin, e spiega secondo le regole dello standard Fetch quale intestazione ha bloccato la richiesta.
Pulizia di un CSV
CSV Cleaner
Ripulisce gli spazi nelle celle, uniforma le intestazioni, sistema i formati di numeri e date e segnala le righe con il numero di colonne sbagliato.