secret-scanner
Détecter les secrets et identifiants dans le code
Les secrets codés en dur dans le code créent de graves vulnérabilités de sécurité. Cette compétence vous aide à analyser les dépôts pour détecter les clés API, mots de passe et identifiants exposés avant qu'ils ne deviennent des failles de sécurité.
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「secret-scanner」を使用しています。 Analyser ce code pour détecter les secrets
期待される結果:
- 3 secrets potentiels trouvés dans 2 fichiers
- 1. Clé d'accès AWS (Critique) - src/config/aws.js:12
- 2. Clé secrète Stripe (Critique) - src/payments/stripe.js:5
- 3. Mot de passe de base de données (Haut) - config/database.yml:8
- Recommandation: Rotation immédiate de tous les identifiants et suppression de l'historique git
「secret-scanner」を使用しています。 Vérifier l'historique git pour les jetons exposés
期待される結果:
- 1 234 commits analysés sur 3 branches
- 8 commits avec secrets potentiels trouvés:
- - a3f5c2b: Clé d'accès AWS (2024-01-10)
- - f9e2a1d: Mot de passe de base de données (2024-01-05)
- - b4c7e3a: Clé privée SSH (2023-12-20)
- Action requise: Réécrire l'historique git pour supprimer les secrets exposés
「secret-scanner」を使用しています。 Montre-moi comment configurer l'analyse avant commit
期待される結果:
- Configuration recommandée du hook pre-commit:
- 1. Installer gitleaks: brew install gitleaks
- 2. Créer .pre-commit-config.yaml avec gitleaks protect --staged
- 3. Exécuter 'pre-commit install' pour activer
- 4. Tester avec 'pre-commit run --all-files'
- Cela empêche les secrets d'être commités
セキュリティ監査
安全Pure prompt-based security documentation skill. All 207 static findings are FALSE POSITIVES - the skill documents what secrets look like for detection purposes, not actual credential access. Contains only instructions for using legitimate security scanning tools (gitleaks, truffleHog, git-secrets). No executable code, no data exfiltration, no credential exploitation.
リスク要因
⚙️ 外部コマンド (1)
品質スコア
作れるもの
Vérifications de sécurité avant commit
Analyser le code avant les commits pour empêcher les secrets d'entrer dans l'historique de contrôle de version.
Sécurité des pipelines CI/CD
Intégrer l'analyse des secrets dans les pipelines de déploiement pour détecter les identifiants avant la production.
Audits de sécurité des dépôts
Auditer les dépôts avant la publication publique pour s'assurer qu'aucun identifiant n'est exposé.
これらのプロンプトを試す
Analyser ce code pour détecter les secrets accidentellement commités. Chercher les clés AWS, les jetons API, les mots de passe et les clés privées. Lister les résultats par niveau de sévérité.
Analyser l'historique git pour détecter les secrets. Vérifier tous les commits pour trouver les identifiants exposés et générer un rapport des données compromises.
Chercher les clés API Stripe, SendGrid et Twilio dans le code. Signaler toute correspondance avec les emplacements de fichiers et les numéros de ligne.
Effectuer un audit complet des secrets incluant les modèles regex, l'analyse d'entropie et le filtrage des faux positifs. Fournir un rapport de remédiation avec des actions prioritaires.
ベストプラクティス
- Exécuter l'analyseur de secrets avant chaque commit et avant de pousser vers les dépôts distants
- Intégrer l'analyse automatisée dans les pipelines CI/CD pour détecter les secrets avant le déploiement
- Utiliser les variables d'environnement et les gestionnaires de secrets au lieu de coder les identifiants en dur
回避
- Committer des fichiers .env avec de vrais identifiants dans le contrôle de version
- Ignorer les avertissements de l'analyseur de secrets pour respecter les délais
- Utiliser des commentaires TODO pour marquer les secrets à supprimer ultérieurement (les supprimer immédiatement à la place)