Keydra

اكتشف ما يسرّبه تطبيقك المبني بالذكاء الاصطناعي — قبل أن يفعل ذلك شخص آخر.

تُطلق أدوات بناء تطبيقات الذكاء الاصطناعي (Lovable وBolt وCursor وv0 و…) تطبيقاتها بسرعة، وغالبًا ما تُطلقها مع قاعدة بيانات مفتوحة على مصراعيها أو مفتاح سري داخل حزمة JavaScript. يفحص keydra تطبيقك المنشور بالطريقة نفسها التي ينظر بها شخص خارجي، أو يفحص شجرة المصدر الخاصة بك قبل النشر، ويخبرك بما هو مكشوف، مع إصلاح جاهز للنسخ واللصق.

[!IMPORTANT] صُمّم keydra أساسًا ليعمل كأداة CLI مستقلة. قد يؤدي تشغيل keydra كخدمة متاحة للعموم إلى كشف بيانات حساسة وإدخال مخاطر أمنية. استخدمه بحذر وطبّق ضوابط أمنية مناسبة.

$ keydra scan https://my-app.example.com
                         █▄
   ▄▄                    ██ ▄
   ██ ▄█▀ ▄█▀█▄ ██ ██ ▄████ ████▄▄▀▀█▄
   ████   ██▄█▀ ██▄██ ██ ██ ██   ▄█▀██
  ▄██ ▀█▄▄▀█▄▄▄▄▄▀██▀▄█▀███▄█▀  ▄▀█▄██
                  ██                    v1.0.0
                ▀▀▀

Keydra — find what your vibe-coded app is leaking.
  keydra: only scan apps you own or have permission to test.

  url   https://my-app.example.com
  2 pages · 14 files scanned · 2.1s

  1  [Supabase] Supabase table "profiles" is publicly readable
     │ The table can be read with the public anon key. ...
     │ evidence  GET /rest/v1/profiles → 206, rows visible to anonymous role: 1204
     │ fix       alter table public.profiles enable row level security; …

البدء السريع

1. ثبّت Go. تحتاج إلى Go 1.27 أو أحدث (تحقق باستخدام go version؛ نزّله من https://go.dev/dl). مع Go 1.21+ تُجلب سلسلة الأدوات المناسبة تلقائيًا بناءً على go.mod.

2. احصل على الشيفرة وابنِها.

unzip keydra.zip && cd keydra      # or: git clone <your repo> && cd keydra
go build -o bin/keydra ./cmd/keydra   # or: make build

Windows (PowerShell): go build -o bin\keydra.exe ./cmd/keydra

لا تحتاج إلى إعادة تسمية الوحدة للبناء محليًا. استبدل github.com/drau6/keydra بمسارك الخاص فقط عند نشر المستودع (أو إذا كنت تريد أن يعمل go install github.com/<you>/keydra/cmd/keydra@latest).

3. شغّل أول فحص لك.

# source code, before you deploy: safe, no network
./bin/keydra scan --repo .

# a deployed app you own (or have written permission to test)
./bin/keydra scan https://my-app.example.com

# also follow internal links, because secrets often hide on /admin or /dashboard
./bin/keydra scan https://my-app.example.com --depth 2

# see every check Keydra performs
./bin/keydra rules

4. اختياري: ثبّته على PATH الخاص بك.

go install ./cmd/keydra      # installs to $(go env GOPATH)/bin
keydra version

5. اختياري: تشغيل الاختبارات. go test ./... (أو make test).

ملاحظات: تُفعَّل الألوان تلقائيًا في الطرفية. في cmd.exe القديم على Windows قد ترى رموز escape خام؛ استخدم Windows Terminal/PowerShell أو --no-color. يُتخطّى الشعار الكبير عند تمرير المخرجات عبر أنبوب، أو عندما تكون الطرفية أضيق من الشعار (COLUMNS)، أو مع --no-banner.

التثبيت

go install github.com/drau6/keydra/cmd/keydra@latest

(بعد أن تستبدل yourname وتدفع المستودع)، أو make build واستخدم bin/keydra.

الاستخدام

keydra scan <url> [flags]          # scan a deployed app
keydra scan --repo <dir> [flags]   # scan source before you deploy
keydra scan --list <file> [flags]  # scan every URL in the file, one per line (max 50)
keydra rules                       # list every check
keydra <url>                       # shortcut for scan

  --repo <dir>      scan a local source tree instead of a URL (no network)
  --list <file>     scan a list of URLs, one per line (# comments and blank lines ignored, max 50)
  --format <fmt>    text | json | sarif (default text); --json is a shortcut
  --no-banner       one-line title instead of the ASCII-art banner
  --color <mode>    auto|always|never (honors NO_COLOR and FORCE_COLOR; --no-color also works)
  --no-probe        static analysis only, never contact discovered backends
  --validate        opt-in: ask each provider (one read-only request) whether a detected secret is still active
  --fail-on <sev>   exit 1 at/above severity: info|low|medium|high|critical|never (default high)
  --depth N         page levels to crawl in URL mode: 1 = only the given page (default),
                    2 = also its internal links, up to 5
  --max-pages N     maximum HTML pages to fetch in URL mode (default 20, max 200)
  --sitemap         also scan pages listed in /sitemap.xml
  --max-files N     JS files to download in URL mode (default 40)
  --third-party     also scan scripts hosted on other origins
  --timeout 15s     per-request timeout
  -v                show full fix snippets

رموز الخروج: 0 نظيف، 1 نتائج عند/أعلى من --fail-on، 2 خطأ. مع --list، تعني 2 أيضاً "فشل هدف واحد على الأقل في الفحص" (ما لم تكن النتائج قد فرضت الخروج بالرمز 1 مسبقاً).

كيف يبدو المخرَج

فحص مستودع لتطبيق صغير مكتوب بأسلوب vibe-coding (--no-color --no-banner؛ على طرفية تفاعلية يكون الشعار فن ASCII وتكون حافة │ ملوّنة حسب الخطورة — أحمر للحرجة، برتقالي للعالية، أزرق للمنخفضة):

  KEYDRA  v1.0.0
  keydra: only scan apps you own or have permission to test.

  repo  my-app
  3 files scanned · 1ms

  1  [Supabase] Supabase service/secret key exposed in client code
     │ This key bypasses Row Level Security. Whoever holds it has full read/write access to the whole database.
     │ evidence eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImFiY2RlZmdoaWowMTIzNDU2Nzg5Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTc0OTgxODI0OSwiZXhwIjoyMDY1Mzk0MjQ5fQ.AAAAAAAAbbbbbbbbCCCCCCCCddddddddEEEEEEEE
     │ fix      Rotate the key in Supabase → Project Settings → API now, remove it from the frontend and use it only from server-side code.

  2  [Repository] .env is not covered by .gitignore
     │ Environment files normally hold server secrets. If this file is committed, every secret in it is in your git history.
     │ where    .env
     │ fix      Add ".env*" and "!.env.example" to .gitignore. If it was already committed: `git rm --cached .env`, then rotate every key inside and purge history.

  3  [Secrets] Possible unnamed secret (high-entropy string) exposed in client code
     │ This value ships to every visitor's browser and can be copied by anyone.
     │ evidence eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzdXBhYmFzZSIsInJlZiI6ImFiY2RlZmdoaWowMTIzNDU2Nzg5Iiwicm9sZSI6InNlcnZpY2Vfcm9sZSIsImlhdCI6MTc0OTgxODI0OSwiZXhwIjoyMDY1Mzk0MjQ5fQ.AAAAAAAAbbbbbbbbCCCCCCCCddddddddEEEEEEEE
     │ where    lib/api.js
     │ fix      Keydra found a long, random-looking string that matches no known key format. Check whether it is a credential: if so, rotate it and move it server-side. Build artifacts such as hashes or encoded assets can be ignored.

  note: Supabase configuration found in source; run `keydra scan <deployed-url>` to test the live backend

كل نتيجة تُظهر القيمة المطابقة كاملةً (الدليل)، ومكان العثور عليها، وإصلاحًا جاهزًا للنسخ واللصق — لذا يكفي تقرير فحص واحد لبدء المعالجة. القيم أعلاه أمثلة وليست مفاتيح حقيقية.

الزحف إلى أكثر من صفحة واحدة

افتراضيًا، تُفحص الصفحة التي تعطيها فقط (إضافةً إلى سكربتاتها وقطعها المؤجلة و خرائط المصدر الخاصة بها). استخدم --depth لتتبّع الروابط الداخلية، و--sitemap لإضافة الصفحات التي يسردها الموقع في /sitemap.xml:

keydra scan https://my-app.example.com --depth 3 --max-pages 40
keydra scan https://my-app.example.com --sitemap