Редактор секретов

Что ищет сканер — и как он решает

Большинство секретов утекает не через атаки, а через желание помочь. Кто-то вставляет лог в тикет, файл конфигурации в чат, команду curl в сообщение на форуме — и учётные данные, случайно оказавшиеся внутри, путешествуют вместе с ним в системы, которые индексируют, пересылают и навсегда архивируют текст. Эта страница — пауза перед той самой вставкой. Введите или перетащите текст, и сканирование идёт во время ввода: полоса подсчётов суммирует находки по типам, предпросмотр подсвечивает каждое совпадение на месте с замаскированным значением, таблица находок перечисляет тип, замаскированную форму и номер строки, а отредактированная копия ниже заменяет каждое совпадение единственным маркером [REDACTED], готовая к копированию или скачиванию как файл .txt.

Первый слой обнаружения — это форма. Настоящие учётные данные настоящих поставщиков имеют узнаваемые формы, и сканер знает основные из них: ключи доступа AWS, токены GitHub в классической и детализированной форме, секретные и ограниченные ключи Stripe, проектные и общие ключи OpenAI, ключи Anthropic, ключи API Google и токены Slack. Блок закрытого ключа захватывается как одно целое совпадение — от строки BEGIN до строки END, — потому что редактирование только части блока ключа оставляет пригодный к использованию ключ. JSON Web Token распознаются по их жёсткой трёхсегментной структуре base64url, а номера карт должны пройти контрольную сумму Луна, прежде чем будут отмечены, чтобы обычные номера заказов и временные метки оставались тихими.

Энтропия, заполнители и честные пределы

Второй слой покрывает секреты без формы поставщика: присваивания вида password = …, api_key: … или client_secret = …. Голое ключевое слово ничего не доказывает, поэтому значение должно пройти ещё двое ворот — не менее двенадцати символов и энтропию Шеннона не менее 3,2 бита на символ, которую случайные ключи проходят легко, а обычные слова — нет. Значения-заполнители исключены по замыслу: всё, что содержит example, test, dummy, xxx, your-, placeholder или changeme, — это документация, а не учётные данные, и отмечать это значило бы приучить вас игнорировать сканер. Где формы перекрываются, побеждает конкретный шаблон: ключ Stripe, присвоенный переменной, сообщается один раз, как ключ Stripe.

Два типа находок защищают людей, а не системы. Адреса электронной почты отмечаются как персональные данные, потому что тикет, полный адресов клиентов, — это инцидент конфиденциальности, даже если пароль не появляется. Номера карт отмечаются, только когда цифры проходят проверку Луна — контрольную сумму, встроенную в каждый подлинный номер карты; тот же тест позволяет сканеру игнорировать номера счетов, коды отслеживания и метки Unix, которые просто выглядят длинными и числовыми. На экране каждое значение маскируется максимум до первых четырёх символов, так что взгляд через плечо или скриншот узнают тип и место секрета, но никогда не сам секрет; короткие значения не показывают ничего. Полное значение существует только в вашем исходном тексте, который никогда не покидает страницу.

Используйте редактор как один шаг в более безопасной привычке делиться, а не как гарантию. Редактируйте локально, делитесь отредактированной копией, а настоящий секрет — когда секрет действительно должен сменить владельца — отправляйте через менеджер секретов или истекающую ссылку для обмена, никогда не через тот же тикет или чат, что и отредактированный текст. Если настоящие учётные данные уже были вставлены без редактирования куда-либо, удаления сообщения недостаточно: копии, индексы и уведомления уже могут существовать, поэтому ротируйте учётные данные и обращайтесь со старыми как с публичными. Сопутствующая статья, редактируйте секреты до вставки, полностью проходит этот процесс; анализатор HAR делает ту же работу для захватов браузера, а парсер .env проверяет файлы конфигурации до того, как вы их закоммитите.

Библиотека обнаружения простыми словами

Частые вопросы