Secrets Scanning
Caça tokens, chaves de API e senhas antes que virem incidente — inclusive no histórico do git.
O que é
varre código, commits, pull requests e arquivos de configuração procurando credenciais: chaves de API, tokens de acesso, senhas, chaves privadas e connection strings.
É a verificação mais barata da pipeline e protege contra um dos vazamentos mais comuns — credencial commitada por engano.
Como funciona: padrões e entropia
A primeira camada é pattern matching: formatos de token são reconhecíveis. Chaves da AWS começam com AKIA, tokens de API da Stripe com sk_live_, chaves privadas com -----BEGIN. Uma regex bem feita pega a maioria.
A segunda camada é análise de entropia, para os formatos que ninguém documentou: strings com cara de aleatoriedade alta (muitos caracteres distintos, sem padrão de palavra) perto de nomes suspeitos como api_key, secret ou password. É o que pega chave caseira de serviço interno.
A terceira camada, quando disponível, é verificação ativa: a ferramenta testa se a credencial encontrada é válida — transformando 'achado potencial' em 'incidente confirmado'.
Um vazamento, do commit à rotação
O cenário clássico em três atos. Ato um: alguém cola uma chave de produção direto no código — funciona, o teste passa, vida que segue.
const stripe = new Stripe("sk_live_51H8xQ2eZvKYlo2CxT9mPq3");
// chave de produção no códigoAto dois: o bot já achou
Segundos depois do push, varredores automatizados de terceiros (e o secret scanning do próprio GitHub) já estão testando a chave. Apagar o commit não resolve — o segredo continua no histórico do git, em forks e em caches. Um relatório típico de scanner local:
Finding: stripe-access-token
Secret: sk_live_51H8xQ2eZ...
File: src/payments.ts:1
Commit: a1b2c3d
Entropy: 4.71Ato três: revogar primeiro, explicar depois
A única resposta correta é revogar e rotacionar a credencial imediatamente — antes de limpar o repositório, antes de conversar sobre processo. Nenhuma limpeza de histórico é rápida o suficiente para competir com um bot que testa a chave a cada segundo.
A prevenção estrutural é tirar segredos do código de vez: gerenciadores como HashiCorp Vault, AWS Secrets Manager ou Doppler injetam a credencial em runtime e permitem rotação sem deploy.
conexões no mapa
- Secrets Scanningstage: sourceCI/CD
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
em outros domínios
- Protegendo o próprio agentvibecodingsegredo fora do alcance do agente e fora do prompt
- Secrets - cofres e rotaçãocloudsecé o mesmo problema: segredo fora do código
- MCP - model context protocolai-agentstokens de servidores MCP vazam do mesmo jeito
Estude antes
Desbloqueia
teste o que entendeu
Carregando perguntas…