Detector de segredos expostos

O que a ferramenta faz

Ela lê o texto que você colou e procura trechos com a cara de credencial: tokens do GitHub, chaves de acesso da AWS, chaves de API do Google e do Stripe, tokens do Slack, chaves privadas PEM, JWT, cabeçalhos Authorization, strings de conexão com senha, URLs com usuário e senha e atribuições como password=, secret: ou api_key = com um valor literal. Para cada achado mostra a linha, o tipo, o nível de confiança e o valor mascarado: só os primeiros e os últimos caracteres aparecem, nunca o segredo inteiro, e a linha original não é repetida.

Como usar

1. Cole o texto no campo. Pode ser um arquivo de configuração, um trecho de script, o JSON exportado de um fluxo ou um log.
2. Clique em Procurar segredos. Use o seletor de confiança para esconder achados fracos.
3. Para cada linha da tabela, confirme se é uma credencial real. Se for, siga a orientação: revogar ou rotacionar primeiro, limpar o histórico depois.
4. Copie o relatório mascarado se precisar registrar o incidente. Ele não contém o segredo completo.

Exemplo com resultado

O botão de exemplo carrega um texto fictício com um token de formato do GitHub, uma access key da AWS, uma connection string do PostgreSQL com senha e uma atribuição const password = "...". Ele também traz um api_key = "<sua-chave>" e um token=${TOKEN}. O resultado são quatro achados, e as duas últimas linhas são ignoradas de propósito, porque são placeholders e referências a variáveis, não segredos. Um token como ghp_ mais 36 caracteres aparece, por exemplo, como ghp_************6Z (40 car.).

Níveis de confiança

• Alta: formato muito específico, como os prefixos de token do GitHub (ghp_, gho_, ghu_, ghs_, ghr_, github_pat_), access keys da AWS (AKIA e ASIA), chaves secretas do Stripe em produção (sk_live_, rk_live_), tokens do Slack (xoxb-, xoxp-, xapp-), chaves privadas PEM e URLs com senha.
• Média: formato conhecido, mas que pode ser público ou de baixo impacto, como chaves de teste do Stripe, JWT, chaves do Google (AIza...) e atribuições com valor que parece uma senha.
• Baixa: atribuição a um nome como password com valor curto ou só com letras. Pode ser uma senha real de ambiente de desenvolvimento ou apenas um texto qualquer.

Falsos positivos evitados

A ferramenta ignora valores de exemplo e de substituição: sequências como xxxx ou ****, textos entre < >, referências como ${VAR}, $VAR e %VAR%, palavras como changeme, password ou null, e referências de código como process.env.SENHA. Mesmo assim, algum alarme falso pode aparecer: o que decide é a sua leitura do contexto.

Limites e o que a ferramenta não faz

• Só encontra o que reconhece. Uma senha escolhida por uma pessoa, em um campo com nome incomum, não será achada. Nenhum achado não prova que o texto está seguro.
• Não testa se a credencial ainda funciona nem consulta o provedor: tudo roda localmente no navegador e nada é enviado a servidor algum.
• Não analisa o histórico do Git nem arquivos do seu computador; só o texto colado. Para repositórios inteiros e para bloquear commits, use uma ferramenta de varredura no pipeline.
• Não cobre formatos antigos ou raros e não decodifica Base64 em busca de segredos escondidos.
• Procure sempre também por chaves em capturas de tela, planilhas e mensagens de chat, onde esta ferramenta não alcança.

Perguntas frequentes

O texto que eu colo é enviado a algum servidor?

Não. A análise acontece no seu navegador e a saída só mostra valores mascarados. Ainda assim, evite colar credenciais reais em qualquer ferramenta se puder trocar por valores fictícios antes.

Encontrei uma credencial real. Basta apagar a linha?

Não. Se ela chegou a um repositório, a um chat ou a um fluxo compartilhado, assuma que foi copiada. Revogue ou rotacione a credencial no painel do provedor, depois remova do histórico e revise os logs de uso do período. Em seguida passe a guardar segredos em um cofre ou em variáveis de ambiente.

Por que um achado de baixa confiança aparece?

Porque senhas literais são o vazamento mais comum e não têm formato próprio. A atribuição a um nome como password já merece uma olhada. Use o seletor de confiança para ocultar esses casos quando o texto for grande.