скилл CX Codex

secrets-scan · owasp — скилл для Claude Code: поиск утёкших секретов

Q: Как установить secrets-scan в Claude?

Выполните `npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a claude-code`. Скилл окажется в `~/.claude/skills/secrets-scan/SKILL.md`.

Q: Какие сканеры использует скилл?

В порядке предпочтения `trufflehog`, `gitleaks` и `detect-secrets`. Если ни одного нет, скилл переходит к ручному поиску по шаблонам ключей.

Ищет захардкоженные пароли, API-ключи и токены в коде и конфигах — до коммита или при аудите репозитория.

Установить в Claude Code · Через Skills CLI (Vercel) Все способы и платформы ↓

npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a claude-code

Открыть на GitHub

Что делает secrets-scan

Скилл запускает автоматический сканер, а если его нет под рукой — переходит к ручному поиску по шаблонам. В порядке предпочтения это trufflehog filesystem --directory=<path> --json, trufflehog git file://<repo> --json (захватывает историю git), gitleaks detect --source=<path> --report-format=json и detect-secrets scan <path> --all-files.

Ручной разбор ловит ключи AWS (AKIA...), OpenAI (sk-...), Anthropic (sk-ant-...), GitHub (ghp_...), Slack (xoxb-...), Stripe (sk_live_...), SendGrid (SG.), строки подключения с паролем внутри, приватные ключи в PEM и JWT-секреты. Отдельно проверяются файлы, где утечки случаются чаще всего: .env, docker-compose*.yml, *.tfvars, terraform.tfstate, kubeconfig, .npmrc, .pypirc.

Дальше каждая находка проходит контекстную проверку: это реальный ключ или тестовая заглушка, активен ли он, что за сервис и какие права. В отчёт значения не попадают — только замаскированные версии вроде AKIA****EXAMPLE. Если сканер не установлен, шаг с ним пропускается, и всё держится на ручном анализе: без trufflehog или gitleaks покрытие будет уже. Скилл также проверяет, закрыты ли чувствительные файлы в .gitignore, есть ли pre-commit-хук и сканирование в CI.

Какие задачи решает

найти ключи и токены в коде перед коммитом
проверить историю git на утёкшие секреты
оценить, какие сервисы затронуты находкой
проверить, закрыты ли .env и другие конфиги в .gitignore
собрать отчёт о находках без раскрытия самих значений

Примеры запросов агенту

просканируй репозиторий на захардкоженные секреты перед мержем
проверь историю git на утёкшие ключи
прогони secrets-scan по папке src/

Как установить secrets-scan

1Через Skills CLI (Vercel)

npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a claude-code

2Вручную: положить файлы

~/.claude/skills/secrets-scan/SKILL.md

Папка скилла целиком; для одного проекта — .claude/skills/secrets-scan/

1Через Skills CLI (Vercel)

npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a codex

2Вручную: положить файлы

.agents/skills/secrets-scan/SKILL.md

Для всех проектов — ~/.agents/skills/

1Через Skills CLI (Vercel)

npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a cursor

2Вручную: положить файлы

.cursor/skills/secrets-scan/SKILL.md

Cursor читает и .agents/skills/, и .claude/skills/

1GitHub CLI

gh skill install OWASP/secure-agent-playbook secrets-scan

2Вручную: положить файлы

.github/skills/secrets-scan/SKILL.md

1Через Skills CLI (Vercel)

npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a gemini-cli

2Командой платформы

gemini skills install https://github.com/OWASP/secure-agent-playbook --path plugins/code-security-skills/skills/secrets-scan

Вручную: положить файлы

.devin/skills/secrets-scan/SKILL.md

Старый путь .windsurf/skills/ тоже читается

Через Skills CLI (Vercel)

npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a opencode

По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов

Вопросы о secrets-scan

Как установить secrets-scan в Claude?

Выполните npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a claude-code. Скилл окажется в ~/.claude/skills/secrets-scan/SKILL.md.

Что делает secrets-scan?

Ищет захардкоженные учётные данные, API-ключи и токены в исходниках и конфигурационных файлах. Для каждой находки оценивает, настоящий ли это секрет и насколько широк у него радиус поражения.

Какие сканеры использует скилл?

В порядке предпочтения trufflehog, gitleaks и detect-secrets. Если ни одного нет, скилл переходит к ручному поиску по шаблонам ключей.

Исходный текст

SKILL.md · CC-BY-4.0

---
name: secrets-scan
description: Detect hardcoded credentials, API keys, tokens, and secrets in source code and configuration files. Use when reviewing code for leaked secrets before commit/merge, auditing a repository for credential exposure, or setting up secret detection.
license: CC-BY-4.0
---

# Secrets Scan

Detect hardcoded secrets by following the full procedure in `plays/secrets-scan.md`.

## Steps

1. **Run Automated Scanner** — Use available tools in preference order:
   - `trufflehog filesystem --directory=<path> --json` (recommended)
   - `trufflehog git file://<repo> --json` (includes git history)
   - `gitleaks detect --source=<path> --report-format=json`
   - `detect-secrets scan <path> --all-files`
   - If no scanner available, proceed with manual pattern analysis.

2. **Manual Pattern Analysis** — Search for high-confidence patterns:
   - AWS keys (`AKIA...`), OpenAI (`sk-...`), Anthropic (`sk-ant-...`), GitHub (`ghp_...`), Slack (`xoxb-...`), Stripe (`sk_live_...`), SendGrid (`SG.`)
   - Connection strings with embedded passwords (`://user:pass@host`)
   - Private keys (PEM headers), JWT secrets, database credentials
   - High-risk files: `.env`, `docker-compose*.yml`, `*.tfvars`, `terraform.tfstate`, `kubeconfig`, `.npmrc`, `.pypirc`

3. **Contextual Analysis** — For each detection: Is it real (not a placeholder/test fixture)? Is it active? What's the blast radius (service, permissions, prod vs dev, exposure duration)?

4. **Check Preventive Controls** — Verify: `.gitignore` covers sensitive files, pre-commit hooks for secret scanning, CI pipeline scanning, secrets management documentation.

**Important**: Never include actual secret values in findings. Show redacted versions only (e.g., `AKIA****EXAMPLE`). Active production secrets require immediate rotation.

## Output

Scan summary, findings using `templates/finding.md`, preventive controls checklist, and immediate rotation actions if needed.

## OWASP References

- A07:2021: Identification and Authentication Failures
- CWE-798: Use of Hard-coded Credentials
- CWE-312: Cleartext Storage of Sensitive Information

Из того же набора4

web-security-review Проверяет веб-приложения по рискам OWASP Top 10 (2021) и формирует отчёт с матрицей рисков. Пригодится при аудите серверного кода, веб-фреймворков и конфигураций. CX Codex +1 613установок api-security-review Скилл прогоняет API по OWASP API Security Top 10 (2023): проверяет аутентификацию, BOLA, SSRF и конфигурацию шлюза. Пригодится перед релизом или при аудите чужого сервиса. CX Codex +1 503установок code-review-security Скилл для проверки кода на уязвимости: разбирает pull request или модуль по классам OWASP Top 10 и ASVS и выдаёт находки с исправлениями. CX Codex +1 402установок