ما هو
فاحص أنماط مجاني للنصوص الملصقة. يعرف أشكال مفاتيح AWS وGitHub وGitLab وOpenAI وAnthropic وStripe وSlack وGoogle وSendGrid وnpm وPyPI وTwilio وDiscord وTelegram، إلى جانب المفاتيح الخاصة وعناوين قواعد البيانات ورموز JWT وتعيينات كلمات المرور.
فاحص أسرار لا يغادر متصفحك أبدًا
افحص النص بحثًا عن مفاتيح مسرّبة قبل أن يقرأه أي شخص آخر.
الصق السجلات أو ملف env أو مخرجات git diff. يعثر Secret Scan Lite على مفاتيح API والرموز المميزة والمفاتيح الخاصة وكلمات المرور، ويموّهها، ويخبرك بخطورة كل منها وما يجب تغييره، ويعطيك نسخة نظيفة آمنة للمشاركة.
لمن هو
للمطورين قبل طلب الدمج، ولفرق الدعم التي تتلقى تفريغات السجلات، وللمؤسسين قبل لصق خطأ في محادثة جماعية، ولمن يراجع diff.
ما المشكلة التي يحلها
تتسلل الأسرار إلى السجلات ولقطات الشاشة والإيداعات طوال الوقت. وبمجرد مشاركتها تُنسخ في كل مكان. فحص محلي سريع يلتقط الواضح منها ما دام بإمكانك حذف الرسالة.
افحص النص
يجري الفحص داخل هذا التبويب. لا يُرفع شيء ولا يُسجَّل ولا يُحفظ.
حمّل ملفًا تجريبيًا
سجلات أو ملفات .env أو إعدادات أو JSON أو git diff. المفاتيح الخاصة متعددة الأسطر مقبولة أيضًا.لا يوجد فحص بعد
الصق شيئًا أو حمّل أحد الملفات التجريبية لترى تقريرًا كاملًا.
حتى التقرير المموّه يكشف الخدمات التي تستخدمها. شاركه فقط مع من يحتاجه.
ما الذي يكشفه
أربعة وعشرون نوعًا من الأسرار، مرتبة حسب ما يستطيع المهاجم فعله بها.
حرج
وصول مباشر إلى الأموال أو البنية التحتية أو البيانات.
- كتلة مفتاح خاص
- معرّف مفتاح وصول AWS
- مفتاح وصول AWS السري
- رمز GitHub
- رمز وصول شخصي لـ GitLab
- مفتاح Anthropic API
- مفتاح OpenAI API
- مفتاح Stripe السري
- عنوان قاعدة بيانات بكلمة مرور
- مفتاح خاص لمحفظة أو توقيع
- عبارة الاسترداد
مرتفع
يمكن النشر أو الإرسال أو القراءة باسمك.
- رمز Slack
- عنوان Webhook في Slack
- مفتاح Google API
- مفتاح SendGrid API
- رمز وصول npm
- رمز PyPI API
- مفتاح Twilio API
- عنوان Webhook في Discord
- رمز بوت Telegram
- عنوان يحتوي كلمة مرور
- ترويسة Authorization
- رمز JSON Web Token
متوسط
حساس وكثيرًا ما يُعاد استخدامه.
- تعيين كلمة مرور أو سر
منخفض
قيم نائبة وأمثلة. تستحق نظرة ونادرًا ما تكون تسريبًا.
طريقة الاستخدام
الصق قبل أن تشارك
سجلات أو ملفات env أو تتبعات أخطاء أو diff. استخدم الملفات التجريبية أولًا لترى كل أنواع النتائج.
اقرأ الحكم
النتائج الحرجة والمرتفعة تعني لا تشارك. تُعرض القيم النائبة منفصلة كي لا تغطي على المشكلات الحقيقية.
غيّر ما تسرّب
كل نتيجة تخبرك أين تلغيها. الأسطر المحذوفة في diff تبقى في سجل git، فغيّرها أيضًا.
شارك النسخة المموّهة
انسخ النص المموّه إلى التذكرة أو المحادثة، واحتفظ بالتقرير ذي البصمات لمراسلات الأمان.
من المفيد أن تعرف
- يطابق الأشكال المعروفة. الرمز المخصص بلا بادئة ولا تسمية لن يُكتشف.
- لا يستطيع معرفة إن كان المفتاح ما زال يعمل. اعتبر كل مفتاح يبدو حقيقيًا فعّالًا حتى تغيّره.
- حذف سطر في إيداع جديد لا يزيله من سجل git.
- القيم التي تشير إلى متغير، مثل process.env أو قيمة نائبة بعلامة الدولار، تُتجاهل عمدًا.
أسئلة
هل يُرسل نصي إلى أي مكان؟
لا. الفحص شيفرة بسيطة تعمل في هذه الصفحة. افتحها ثم افصل الإنترنت وستظل تعمل.
لماذا لا يُعد مفتاح الاختبار حرجًا؟
مفاتيح اختبار Stripe لا تحرّك أموالًا، لذا رتبتها أقل. ومع ذلك يحسن تغييرها إن صارت علنية.
ما رقم العشوائية؟
يقدّر مدى عشوائية القيمة. المفاتيح الحقيقية تتجاوز عادة 4، والكلمات والقيم النائبة أقل.
هل أستطيع فحص مستودع كامل؟
هذه الأداة مصممة للنصوص الملصقة. لفحص السجل الكامل استخدم فاحصًا مخصصًا في مسار CI.