Проверка .env и кода на утёкшие секреты
Проверка ищет в вставленном тексте строки, похожие на ключи API, токены и пароли, по типовым шаблонам — например, длинные случайные строки после слов key, token, secret или password. Весь текст обрабатывается в браузере и никуда не отправляется, поэтому инструмент можно использовать даже с чувствительным кодом.
По каким шаблонам ищет
Построчный поиск по регулярным выражениям: строки формата KEY=значение рядом со словами key/token/secret/password, похожие на ключи длинные случайные строки, частные ключи (BEGIN PRIVATE KEY) и подключения к базе данных с паролем в строке соединения.
- Пары вида
KEY=значение, где в имени есть key, token, secret, password, api - Длинные случайные строки (20+ символов) рядом со словами secret, token, api_key, private
- Заголовки приватных ключей:
-----BEGIN PRIVATE KEY-----и похожие - Строки подключения к базе данных с паролем внутри (
postgres://user:password@...)
Текст обрабатывается прямо в этой странице через JavaScript и никуда не отправляется — можно проверить код закрытого репозитория без риска.
Проверка
Результат появится здесь после проверки.
Частые вопросы
Этот инструмент гарантированно найдёт все секреты?
Нет, это проверка по шаблонам, а не полноценный аудит. Она ловит типовые случаи, но для точной проверки нужен ручной аудит безопасности.
Вставленный текст куда-то сохраняется?
Нет, весь разбор происходит в браузере через JavaScript, текст не отправляется на сервер и не сохраняется.
Что делать, если инструмент нашёл секрет?
Этот ключ считается скомпрометированным — его нужно отозвать и перевыпустить, а не просто удалить из текста.
Обновлено: