비밀키 노출 검사

Secret Scanner

붙여넣은 코드·로그·설정에서 API 키·토큰·개인키를 엔트로피 기반으로 찾아냅니다.

키는 커밋되고, 이슈에 붙여 넣어지고, 로그에 찍힙니다. 그 순간부터는 아무도 눈치채지 못해도 공개된 것입니다. 이 도구는 붙여 넣은 코드·로그·설정 파일을 읽어 자격증명처럼 보이는 문자열을 짚어 줍니다. 먼저 알려진 제공자 형식으로, 형식이 없는 것은 엔트로피로 찾습니다.

🔒 브라우저 안에서만 처리secretsscanapi-keyaudit

검사

소스·설정·로그를 붙여 넣으세요

입력하는 동안 이 탭의 워커가 검사합니다.

고엔트로피 탐지무작위처럼 보이기만 하는 문자열도 보고어떤 패턴 목록에도 없는 사내 토큰 형식을 잡아냅니다. 동시에 git 해시·압축된 식별자·base64 이미지도 잡히므로, 임계값을 직접 정할 수 있는 별도 스위치로 두었습니다.

임계값글자당 4.0비트

영어 산문은 문서 전체로 보면 4.0 근처, 낱말 하나로는 3.0 아래입니다. 16진수는 구조상 4.0, base64는 약 5.5, 62자 무작위 문자열은 5.95에 가깝습니다.

최소 길이24

16이 하한입니다. 그보다 짧은 것은 색상 코드나 UUID 조각이고, 찾을 가치가 있는 자격증명이 그렇게 짧을 리 없습니다.

제공자 패턴 48개가 항상 켜져 있습니다. AWS·Google Cloud·GitHub·Slack·Stripe·OpenAI·Anthropic·Twilio·SendGrid·npm·PyPI, 개인키, 데이터베이스 URI, 카카오, 네이버, 토스페이먼츠를 다룹니다.

어떤 것도 이 탭을 벗어나지 않습니다. 특히 여기서 찾은 키를 살아 있는지 확인하려고 제공자에게 보내지 않습니다. 그것은 소스의 모든 자격증명을 내 컴퓨터에서 제3자에게 넘기는 일이고, 비밀키 검사 도구가 막으려는 바로 그 피해입니다. 오프라인 검산은 여기서 계산으로만 합니다. 제공자가 공개한 형식을 읽고, GitHub 토큰은 GitHub이 토큰에 넣어 둔 체크섬까지 확인합니다. 결과에는 가려진 미리보기만 나오므로 이슈에 붙여 넣어도 됩니다.

사용 방법

텍스트를 붙여 넣거나 파일을 놓습니다
소스, `.env`, CI 로그, 설정 덤프 등 텍스트라면 됩니다. 워커에서 돌기 때문에 큰 입력을 넣어도 화면이 멈추지 않습니다.
형식이 맞은 결과부터 봅니다
`AKIA…`, `ghp_…`, `sk-…`, PEM 블록 머리글처럼 알려진 접두어에 맞은 결과는 거의 확실합니다. 다른 무엇보다 먼저 처리해야 할 것들입니다.
엔트로피 결과는 후보로 봅니다
형태를 알 수 없는 고엔트로피 문자열은 키일 수도, 해시·UUID·압축된 자산·base64 이미지일 수도 있습니다. 어떤 규칙이 걸렸는지 알려 주므로 직접 판단하면 됩니다.
먼저 폐기하고 나서 정리합니다
새어 나간 키는 새어 나간 것입니다. 커밋을 지우거나 로그를 고쳐도 공개된 사실은 되돌아가지 않습니다. 먼저 폐기하고 재발급한 뒤에 기록을 정리하십시오.