secret-scanner
Обнаружение секретов и учетных данных в коде
Жестко закодированные секреты в коде создают серьезные уязвимости безопасности. Этот навык помогает сканировать репозитории на предмет раскрытых API-ключей, паролей и учетных данных до того, как они станут утечками.
Скачать ZIP навыка
Загрузить в Claude
Перейдите в Settings → Capabilities → Skills → Upload skill
Включите и начните использовать
Протестировать
Использование «secret-scanner». Scan this codebase for secrets
Ожидаемый результат:
- Found 3 potential secrets in 2 files
- 1. AWS Access Key (Critical) - src/config/aws.js:12
- 2. Stripe Secret Key (Critical) - src/payments/stripe.js:5
- 3. Database Password (High) - config/database.yml:8
- Recommendation: Rotate all credentials immediately and remove from git history
Использование «secret-scanner». Check git history for exposed tokens
Ожидаемый результат:
- Scanned 1,234 commits across 3 branches
- Found 8 commits with potential secrets:
- - a3f5c2b: AWS Access Key (2024-01-10)
- - f9e2a1d: Database Password (2024-01-05)
- - b4c7e3a: SSH Private Key (2023-12-20)
- Action required: Rewrite git history to remove exposed secrets
Использование «secret-scanner». Show me how to set up pre-commit scanning
Ожидаемый результат:
- Recommended pre-commit hook setup:
- 1. Install gitleaks: brew install gitleaks
- 2. Create .pre-commit-config.yaml with gitleaks protect --staged
- 3. Run 'pre-commit install' to activate
- 4. Test with 'pre-commit run --all-files'
- This prevents secrets from being committed
Аудит безопасности
БезопасноPure prompt-based security documentation skill. All 207 static findings are FALSE POSITIVES - the skill documents what secrets look like for detection purposes, not actual credential access. Contains only instructions for using legitimate security scanning tools (gitleaks, truffleHog, git-secrets). No executable code, no data exfiltration, no credential exploitation.
Факторы риска
⚙️ Внешние команды (1)
Оценка качества
Что вы можете построить
Проверки безопасности перед коммитом
Сканировать код перед коммитами, чтобы предотвратить попадание секретов в историю системы контроля версий.
Безопасность CI/CD пайплайнов
Интегрировать сканирование секретов в пайплайны развертывания для обнаружения учетных данных до вывода в продакшен.
Аудит безопасности репозиториев
Аудитировать репозитории перед публичным релизом, чтобы убедиться, что никакие учетные данные не раскрыты.
Попробуйте эти промпты
Scan this codebase for accidentally committed secrets. Look for AWS keys, API tokens, passwords, and private keys. List findings by severity.
Scan git history for secrets. Check all commits for exposed credentials and generate a report of compromised data.
Search for Stripe, SendGrid, and Twilio API keys in the codebase. Report any matches with file locations and line numbers.
Perform a comprehensive secret audit including regex patterns, entropy analysis, and false positive filtering. Provide a remediation report with prioritized actions.
Лучшие практики
- Запускайте сканер секретов перед каждым коммитом и перед отправкой в удаленные репозитории
- Интегрируйте автоматическое сканирование в CI/CD пайплайны для обнаружения секретов перед развертыванием
- Используйте переменные окружения и менеджеры секретов вместо жесткого кодирования учетных данных
Избегать
- Коммитить .env файлы с реальными учетными данными в систему контроля версий
- Игнорировать предупреждения сканера секретов ради соблюдения сроков
- Использовать TODO комментарии для отметки секретов для последующего удаления (удаляйте их немедленно вместо этого)
Часто задаваемые вопросы
Какие инструменты использует этот навык для сканирования?
Получает ли этот навык доступ к моим файлам без разрешения?
Может ли этот навык удалить секреты из моего кода?
Отправляет ли этот навык данные на внешние серверы?
Насколько точно обнаружение секретов?
Чем это отличается от сканирования секретов GitHub?
Сведения для разработчиков
Структура файлов
📄 SKILL.md