Detector de segredos
Secret Scanner
Varre código, logs ou um despejo de configuração colados em busca de chaves de API, tokens e chaves privadas, com heurísticas de entropia — detecção por padrão, não garantia.
Chaves acabam em commits, coladas em issues e impressas em logs, e no momento em que isso acontece elas são públicas, tenha alguém notado ou não. Esta ferramenta lê código colado, um despejo de log ou um arquivo de configuração e aponta as strings que parecem credenciais — primeiro pelos formatos conhecidos de cada provedor, depois por entropia para as que não têm formato nenhum.
É escaneado enquanto você digita, num worker, nesta aba.
Nada sai desta aba. Em especial, nenhuma chave encontrada aqui é mandada ao provedor dela para checar se está viva — isso seria pegar todas as credenciais do seu código e entregá-las a um terceiro a partir da sua própria máquina, que é exatamente o dano que um escâner de segredos existe para evitar. As checagens offline são aritmética feita aqui: o formato que o provedor publica e, num token do GitHub, a soma de verificação que o GitHub embute nele. Os achados mostram só uma prévia encoberta, então o relatório pode ser colado num chamado sem risco.
Como usar
Cole o texto ou solte o arquivo
Qualquer coisa textual serve — código-fonte, `.env`, um log de CI, um despejo de configuração. Roda em um worker, então uma colagem grande não trava a página.
Leia primeiro as correspondências por formato
Um acerto em um prefixo conhecido — `AKIA…`, `ghp_…`, `sk-…`, o cabeçalho de um bloco PEM — é quase certo. Esses são os que devem ser tratados antes de qualquer outra coisa.
Trate os acertos por entropia como candidatos
Uma string de alta entropia sem forma reconhecida pode ser uma chave, um hash, um UUID, um asset minificado ou uma imagem em base64. A ferramenta diz qual regra disparou, para que você julgue.
Rotacione, depois limpe
Uma chave vazada está vazada. Apagar o commit ou editar o log não a despublica, então revogue e reemita primeiro e arrume o histórico depois.
Perguntas frequentes
Um resultado limpo significa que não há segredos?
Não, e este é o limite que vale a pena entender. Ela encontra os padrões que conhece e as strings que parecem aleatórias. Um formato de chave interno com entropia baixa, uma senha que se lê como uma palavra, ou uma credencial dividida em duas variáveis passam todos direto.
Ela verifica se a chave ainda funciona?
Não consegue, e nem faria. Verificar uma chave significa usá-la contra o provedor, o que envia a sua credencial a um terceiro — o oposto do propósito desta página. Se uma chave está ativa é algo que só o seu emissor pode dizer.
Meu código é enviado a algum servidor?
Não. A varredura acontece em um worker no seu navegador. Uma ferramenta que pede o arquivo com mais chance de conter os seus segredos não deveria estar também enviando-o para algum lugar.
Tudo no meu bundle minificado é sinalizado.
Saída minificada é densa e parece aleatória por construção, que é exatamente o que a regra de entropia detecta. Faça a varredura nos fontes em vez de nos artefatos de build, ou restrinja às regras baseadas em formato.
Pode receber de
Verificador de tarjas
Redaction Verifier
Checa um PDF supostamente tarjado em busca de texto, imagens ou metadados ainda escondidos sob as caixas pretas.
Remover caracteres invisíveis
Invisible Character Remover
Encontra e remove espaços de largura zero, BOMs, hifens condicionais e controles bidi escondidos em texto colado.
Anonimizador de texto
Text Anonymiser
Encontra e-mails, telefones, números de cartão e documentos em texto livre e os mascara ou pseudonimiza.
Decodificar Secret do Kubernetes
Kubernetes Secret Decoder
Decodifica cada valor Base64 de um manifesto Secret e recodifica um editado pronto para aplicar — tudo na aba, o Secret nunca sai do seu navegador.
Em seguida
Estas aceitam o que esta ferramenta produz, então o resultado pode ir direto.
Conversor de .env
.env Parser & Converter
Analisa um arquivo .env e o converte para JSON, YAML, exports de shell, Docker ou formatos do Kubernetes.
Medidor de entropia
Entropy Meter
Mede a entropia de Shannon de uma string ou arquivo e mostra um histograma de bytes — útil para encontrar chaves.
Visualizador e limpador de HAR
HAR Viewer & Sanitiser
Abre uma captura HAR como cascata e remove cookies, headers de autenticação e tokens antes de você compartilhar.
Anonimizador de texto
Text Anonymiser
Encontra e-mails, telefones, números de cartão e documentos em texto livre e os mascara ou pseudonimiza.
Testador de CORS
CORS Tester
Envia o preflight que um navegador enviaria de uma origem escolhida mais um GET com aquele Origin, e explica pelas regras do padrão Fetch exatamente qual header bloqueou.
Limpar CSV
CSV Cleaner
Apara células, normaliza cabeçalhos, corrige formatos de número e data e aponta as linhas com o número errado de colunas.