# secrets-scan

Ищет захардкоженные пароли, API-ключи и токены в коде и конфигах — до коммита или при аудите репозитория.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 337 установок · ★ 206
- Автор: OWASP
- Лицензия: CC-BY-4.0 · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/OWASP/secure-agent-playbook/tree/HEAD/plugins/code-security-skills/skills/secrets-scan/SKILL.md
- Обновлён: 2026-10-15
- HTML: https://affpapa.org/nevibecode/skills/owasp-secrets-scan

## Что делает

Скилл запускает автоматический сканер, а если его нет под рукой — переходит к ручному поиску по шаблонам. В порядке предпочтения это `trufflehog filesystem --directory=<path> --json`, `trufflehog git file://<repo> --json` (захватывает историю git), `gitleaks detect --source=<path> --report-format=json` и `detect-secrets scan <path> --all-files`.

Ручной разбор ловит ключи AWS (`AKIA...`), OpenAI (`sk-...`), Anthropic (`sk-ant-...`), GitHub (`ghp_...`), Slack (`xoxb-...`), Stripe (`sk_live_...`), SendGrid (`SG.`), строки подключения с паролем внутри, приватные ключи в PEM и JWT-секреты. Отдельно проверяются файлы, где утечки случаются чаще всего: `.env`, `docker-compose*.yml`, `*.tfvars`, `terraform.tfstate`, `kubeconfig`, `.npmrc`, `.pypirc`.

Дальше каждая находка проходит контекстную проверку: это реальный ключ или тестовая заглушка, активен ли он, что за сервис и какие права. В отчёт значения не попадают — только замаскированные версии вроде `AKIA****EXAMPLE`. Если сканер не установлен, шаг с ним пропускается, и всё держится на ручном анализе: без `trufflehog` или `gitleaks` покрытие будет уже. Скилл также проверяет, закрыты ли чувствительные файлы в `.gitignore`, есть ли pre-commit-хук и сканирование в CI.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/secrets-scan/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/secrets-scan/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/secrets-scan/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/secrets-scan/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install OWASP/secure-agent-playbook secrets-scan
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/secrets-scan/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/OWASP/secure-agent-playbook --path plugins/code-security-skills/skills/secrets-scan
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/secrets-scan/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add OWASP/secure-agent-playbook --skill secrets-scan -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/OWASP/secure-agent-playbook/tree/HEAD/plugins/code-security-skills/skills/secrets-scan/SKILL.md

## Когда брать
- найти ключи и токены в коде перед коммитом
- проверить историю git на утёкшие секреты
- оценить, какие сервисы затронуты находкой
- проверить, закрыты ли `.env` и другие конфиги в `.gitignore`
- собрать отчёт о находках без раскрытия самих значений

## Примеры запросов агенту
- просканируй репозиторий на захардкоженные секреты перед мержем
- проверь историю git на утёкшие ключи
- прогони secrets-scan по папке `src/`

## Похожие
- [secrets-in-git-history](https://affpapa.org/nevibecode/skills/secrets-in-git-history.md) — скилл · 1900 установок
- [secrets-audit](https://affpapa.org/nevibecode/skills/secrets-audit.md) — скилл · 456 установок
- [ghost-scan-secrets](https://affpapa.org/nevibecode/skills/ghost-scan-secrets.md) — скилл · 4400 установок
- [Next.js Security Scan](https://affpapa.org/nevibecode/skills/nextjs-security-scan.md) — скилл · 553 установки
- [security-scan](https://affpapa.org/nevibecode/skills/jwynia-security-scan.md) — скилл · 471 установка
- [security](https://affpapa.org/nevibecode/skills/boshu2-security.md) — скилл · 1400 установок

## Другие версии с тем же именем
- [secrets-scan · jwynia](https://affpapa.org/nevibecode/skills/secrets-scan.md) — 372 установки

Из того же набора: [owasp/secure-agent-playbook](https://affpapa.org/nevibecode/by/owasp/secure-agent-playbook.md) — 4 карточки

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md