Redator de segredos

O que o scanner procura — e como decide

A maioria dos segredos não vaza por ataques, mas por vontade de ajudar. Alguém cola um registo num ticket, um ficheiro de configuração num chat, um comando curl num fórum — e a credencial que por acaso ia dentro viaja com isso, para sistemas que indexam, reencaminham e arquivam texto para sempre. Esta página é a pausa antes dessa colagem. Escreva ou largue o texto e a análise corre enquanto escreve: uma faixa de contagens soma as ocorrências por tipo, a pré-visualização destaca cada ocorrência no seu lugar com o valor mascarado, a tabela de ocorrências lista o tipo, a forma mascarada e o número da linha, e a cópia redigida abaixo substitui cada ocorrência pelo marcador único [REDACTED], pronta para copiar ou descarregar como ficheiro .txt.

A primeira camada de deteção é a forma. As credenciais reais de fornecedores reais têm formas reconhecíveis, e o scanner conhece as principais: chaves de acesso da AWS, tokens do GitHub na forma clássica e de grão fino, chaves secretas e restritas da Stripe, chaves de projeto e genéricas da OpenAI, chaves da Anthropic, chaves API da Google e tokens do Slack. Um bloco de chave privada é capturado como uma única ocorrência completa, da sua linha BEGIN à sua linha END, porque redigir apenas parte de um bloco de chave deixa uma chave utilizável. Os JSON Web Tokens são reconhecidos pela sua estrutura de três segmentos base64url, e os números de cartão têm de passar a soma de verificação de Luhn antes de serem assinalados, para que números de encomenda e carimbos de tempo comuns fiquem em silêncio.

Entropia, marcadores de posição e os limites honestos

A segunda camada cobre os segredos que não têm forma de fornecedor: atribuições como password = …, api_key: … ou client_secret = …. Uma palavra-chave nua não prova nada, por isso o valor tem de passar mais duas portas — pelo menos doze caracteres e uma entropia de Shannon de pelo menos 3,2 bits por caráter, que as chaves aleatórias passam facilmente e as palavras comuns não. Os valores de marcador de posição são excluídos por desenho: tudo o que contenha example, test, dummy, xxx, your-, placeholder ou changeme é documentação, não uma credencial, e assinalá-lo treiná-lo-ia para ignorar o scanner. Quando as formas se sobrepõem, ganha o padrão específico: uma chave da Stripe atribuída a uma variável é comunicada uma só vez, como chave da Stripe.

Dois tipos de ocorrência protegem pessoas em vez de sistemas. Os endereços de e-mail são assinalados como dados pessoais, porque um ticket cheio de endereços de clientes é um incidente de privacidade mesmo que não apareça nenhuma palavra-passe. Os números de cartão só são assinalados quando os dígitos passam Luhn, a soma de verificação incorporada em cada número de cartão genuíno — o mesmo teste que permite ao scanner ignorar números de fatura, códigos de rastreio e carimbos Unix que apenas parecem longos e numéricos. No ecrã, cada valor é mascarado até mostrar no máximo os seus quatro primeiros caracteres, de modo que um curioso ou uma captura de ecrã aprendem o tipo e o lugar de um segredo, mas nunca o segredo em si; os valores curtos não mostram nada. O valor completo existe apenas no seu texto original, que nunca sai da página.

Use o redator como um passo dentro de um hábito de partilha mais seguro, não como uma garantia. Redija localmente, partilhe a cópia redigida e envie o segredo real —quando um segredo tem mesmo de mudar de mãos— através de um gestor de segredos ou de uma ligação de partilha que expira, nunca pelo mesmo ticket ou chat que o texto redigido. Se uma credencial real já foi colada sem redação algures, apagar a mensagem não chega: podem já existir cópias, índices e notificações, por isso rode a credencial e trate a antiga como pública. O artigo complementar, redija os segredos antes de colar, percorre esse fluxo completo; o analisador HAR faz o mesmo trabalho para as capturas do navegador, e o analisador .env verifica os ficheiros de configuração antes de os confirmar.

A biblioteca de deteção, em linguagem simples

Perguntas frequentes