TruffleHog

Uma chave da AWS apagada do código continua no histórico do Git até alguém reescrever esse histórico. O TruffleHog procura credenciais assim, como chaves de API, senhas de banco e chaves privadas. Depois testa cada uma no serviço de origem para saber se ainda abre alguma porta.

Para que serve

• Varrer repositórios Git, GitHub, GitLab e Hugging Face em busca de segredos vazados.
• Inspecionar imagens Docker, buckets S3 e GCS, sistemas de arquivos e fontes como Jenkins, CircleCI, Postman e Elasticsearch.
• Classificar cada achado como verified, unverified ou unknown, conforme o teste na API do serviço.
• Barrar segredo antes do merge com a GitHub Action, o GitLab CI ou um hook de pre-commit.
• Mapear, para os tipos mais comuns de credencial, quem criou a chave e quais permissões ela tem.

Como começar

O README oferece Homebrew, Docker e um script de instalação. No macOS, basta brew install trufflehog. Para ver só as credenciais confirmadas como ativas num repositório de teste do projeto:

trufflehog git https://github.com/trufflesecurity/test_keys --results=verified

Use o TruffleHog só em repositórios e ambientes próprios ou com autorização por escrito do dono. A verificação faz login com a credencial encontrada, então rodar contra sistema de terceiros sem permissão pode configurar acesso indevido.

Licença e custo

Da versão 3.0 em diante, o código usa AGPL-3.0; as anteriores usavam GPL 2.0. Rodar a ferramenta dentro de casa não cria obrigação. Se você puser uma versão modificada no ar como serviço para outras pessoas, terá de publicar o código alterado. Contribuições exigem assinar um CLA.

A Truffle Security vende o TruffleHog Enterprise, com monitoramento contínuo de Git, Jira, Slack, Confluence, Microsoft Teams e SharePoint e fluxo guiado de revogação. O site não publica preço.

Quando vale a pena

O retorno chega mais rápido em repositórios com anos de histórico onde ninguém procurou segredos. Credencial vazada entra na gestão de vulnerabilidades como qualquer falha, com dono e prazo para revogar. Se você já usa o Trivy, ele também detecta segredos. Outro nome comum na área é o Gitleaks.