Détecteur de secrets dans le code et la configuration
Vérifiez qu’un code, un fichier .env ou un journal ne contient ni clé API, ni token, ni clé privée, avec des règles reprises de gitleaks, avant de le coller où que ce soit.
Entrée
Résultat
Le résultat apparaîtra ici.Dès que vous collez un fichier de configuration ou une trace d’erreur dans un chat, une issue ou un gist, tout identifiant qu’il contient échappe à votre contrôle. Cet outil analyse le texte collé avec 50 règles de détection reprises de gitleaks (gitleaks/gitleaks, MIT) — les identifiants les plus susceptibles d’apparaître dans du code et de la configuration : OpenAI, Anthropic, AWS, GitHub, GitLab, Stripe, Slack, Google Cloud, Hugging Face, Alibaba Cloud, les JWT, les clés privées et les affectations génériques ressemblant à des clés. Chaque détection est affichée avec sa ligne, sa colonne et sa règle, et seulement les quatre premiers et quatre derniers caractères du secret.
Comment ça marche
- Comme dans gitleaks, une règle ne s’exécute que si l’un de ses mots-clés apparaît dans le texte ; le secret trouvé doit ensuite dépasser le seuil d’entropie de Shannon de la règle, ce qui écarte les valeurs de remplissage comme xxxxxxxx.
- Les listes d’exceptions globales et propres à chaque règle de gitleaks s’appliquent : la clé d’exemple documentée par AWS, les références ${VARIABLE}, les espaces réservés {{ template }} et les mots vides courants ne sont pas signalés.
- Une ligne contenant gitleaks:allow est ignorée, et une détection générique déjà expliquée par une règle spécifique est écartée, pour que chaque clé n’apparaisse qu’une fois.
- L’analyse se fait dans votre navigateur ; la sortie ne contient jamais un secret complet, et le site ne garde aucun historique de ce que vous analysez.
Où vont vos données
Nulle part. Cet outil s’exécute entièrement dans votre navigateur : le texte collé est traité par la page, jamais transmis à un serveur ni consigné dans un journal.
Cet outil manipule des clés et des identifiants : rien n’est enregistré sur une exécution, pas même dans votre propre historique.
Ce que ça coûte
Cet outil est gratuit, sans connexion ni points.
Questions fréquentes
- Pourquoi un mot de passe de mon fichier n’a-t-il pas été signalé ?
- Comme dans gitleaks, la règle générique ne retient que les valeurs composées de lettres, de chiffres et de quelques symboles comme . = -, affectées à un nom contenant un mot comme key, secret, token ou password. Une valeur contenant # ou !, ou un mot de passe qui ressemble à un mot ordinaire, n’est pas détecté. L’absence de détection ne prouve pas que le texte est propre.
- Quelle différence avec l’exécution de gitleaks ?
- Il utilise 50 des 222 règles par défaut de gitleaks et sa logique de détection, mais sur un extrait collé plutôt que sur un dépôt et son historique. Les règles qui dépendent des chemins de fichiers sont écartées, puisqu’un extrait n’en a pas. Pour un dépôt, lancez gitleaks lui-même ou activez la protection des push de GitHub.
- J’ai trouvé une clé active. Que faire ?
- Révoquez-la ou renouvelez-la d’abord chez le fournisseur — la supprimer du fichier ne suffit pas une fois qu’elle a été partagée ou committée. Consultez ensuite les journaux du fournisseur à la recherche d’une utilisation que vous ne reconnaissez pas, et déplacez le secret dans une variable d’environnement ou un gestionnaire de secrets.
L’open source derrière
Cet outil est une implémentation autonome, sans bibliothèque tierce. gitleaks/gitleaks (MIT) fait le même travail sous forme de bibliothèque : pour l’intégrer à votre programme, commencez par là plutôt que d’appeler une page web.
gitleaks/gitleaksAussi appelé
- détecteur de secrets
- détecter clé API dans le code
- gitleaks en ligne
- trouver identifiants exposés
- vérifier fichier .env
- secret scanner