<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/7654/dfb768a9b8e8fa64082992f11d0b284d5ec6a199fc1eac85e0352fb20452186f.gif" alt="فحص KeyHog يعرض الخطورة والأدلة والملف والسطر والمعالجة والنتائج وحالة التغطية" width="900" />
</p>

## ماسح أسرار مبني حول وحدة معالجة الرسوميات

لا يسلّم KeyHog بضعة تعبيرات نمطية إلى shader حوسبة عام. مسار وحدة معالجة الرسوميات فيه مبني على [Vyre](https://github.com/santhreal/vyre)، وهي بنية حوسبة Rust GPU طُوّرت جنبًا إلى جنب مع KeyHog. تُترجم مشغلات الكاشف إلى جداول ثابتة مقيمة في وحدة معالجة الرسوميات. وتنتج دفعات المصدر المحدودة مواقع مطابقة كاملة لنفس خط أنابيب التأكيد والقمع والأدلة وإعداد التقارير المستخدم في مسارات CPU وHyperscan.

- **ثلاثة أقران فعليون لوحدة معالجة الرسوميات.** يتم الحصول على CUDA وMetal الأصلي وWGPU المحمول وقياسها والإبلاغ عنها بشكل مستقل.
- **تطابق نتائج دقيق.** يرفض المعايرة أي مرشح تختلف هوية اكتشافه عن المسار المرجعي. لا تدخل إجابة أسرع لكنها خاطئة أبدًا إلى جدول التوجيه.
- **أدلة مسار دائمة.** يسجّل KeyHog الثنائي ومجموعة كاشفات البيانات والتهيئة وفئة عبء العمل والمضيف والمسرّع وبرنامج التشغيل وأدلة التوقيت المقاسة. لا تقوم عمليات الفحص العادية بقياس الأداء في المسار الساخن.
- **تنفيذ مقيم.** تُبقي عمليات الخفي حالة الكاشف المترجم والمسرّع دافئة لدفعات الملفات والأرشيفات والسجل والبعيدة والسحابية المتكررة.
- **لا مخرج CPU خفي.** أي مسرّع محدد صراحةً لا يمكن تهيئته أو إرساله يفشل بشكل مرئي بدلًا من إرجاع نتائج CPU تحت تسمية GPU.

يستخدم التثبيت الافتراضي من crates.io مسار CPU النقي المحمول المكتوب بلغة Rust بحيث يعمل على مضيف Rust نظيف. فعّل أقران GPU الثلاثة دون الحصول على Hyperscan:```sh
cargo install --locked keyhog --no-default-features --features portable,gpu

قم بتشغيل التشخيص الخلفي للإنتاج، ثم افحص المسار المُقاس:```sh
keyhog backend --self-test
keyhog calibrate-autoroute --policy all
keyhog backend --autoroute --json

الأمر الأول يستعرض النتائج المكتشفة ويخرج برمز `0` دون طباعتها.
قم بتثبيت هذا الملف، ثم استخدم الأمر الثاني للإبلاغ عن هويات النتائج الجديدة فقط. يطابق الإدخال الأساسي المكتشف وقيمة بيانات الاعتماد، ولا يطابق أبدًا مسار الملف، لذا فإن نقل سر مسجل لا يفشل البوابة، بينما تدويره يفشلها. تظل بيانات الاعتماد المتغيرة والتغطية غير المكتملة مرئية. المسار الكامل، بما في ذلك أقسام المستودع الأحادي، موجود في [الفشل فقط على الأسرار الجديدة](https://santhreal.github.io/keyhog/workflows/ci.html#fail-only-on-new-secrets).

للفحص التالي، استخدم [كتاب الوصفات](https://santhreal.github.io/keyhog/recipes.html) أو الأوامر القابلة للنسخ في [اختيار سير العمل الصحيح](#choose-the-right-workflow). يمكنك فحص تاريخ Git، وصور الحاويات، ودلاء السحابة، ومجموعات المستودعات، وعناوين URL، وجهاز كامل دون تغيير الأدوات.

### حماية المستودعات لفحوصات سريعة قبل الالتزام

سجّل مستودعًا مع برنامج KeyHog الخفي الدائم لفحص سريع للأسرار قبل الالتزام (يتطلب Unix؛ على Windows استخدم `keyhog scan` داخل العملية):```sh
# 1. Start the daemon (accelerated by CUDA, Metal, WGPU, or SIMD)
keyhog guard up

# 2. Guard your repository (indexes baseline and installs pre-commit hook in one step)
keyhog guard add /path/to/repo

# 3. Every staged commit checks only changed blobs against in-memory attestations
keyhog scan --git-staged

# 4. View all active guarded repositories and their states
keyhog guard list

# 5. Turn the daemon on and off cleanly without losing registrations or durable index
keyhog guard down

الإجراء يفحص الشجرة المُخرَجة من نظام التحكم بالإصدارات، ويفشل عند وجود نتائج بمستوى `high` أو `critical`، ويرفع تقرير SARIF إلى Code Scanning، ويحتفظ بالتقرير كأثر عمل (workflow artifact). كما أن فشل التثبيت أو التغطية أو الواجهة الخلفية أو نشر التقرير يؤدي أيضاً إلى فشل الوظيفة.

استخدم [دليل GitHub Action](https://santhreal.github.io/keyhog/workflows/github-action.html) للمدخلات والمخرجات واعتماد خط الأساس وتقسيم المستودعات المتعددة (monorepo) والتحقق وسلوك الفشل. واستخدم [دليل CI](https://santhreal.github.io/keyhog/workflows/ci.html) لـ GitLab وCircleCI وJenkins وBuildkite ووظائف shell العامة. واستخدم [دليل المسح الشامل](https://santhreal.github.io/keyhog/guides/mass-scanning.html) لمؤسسات المستودعات ومجموعات Git المستضافة وحاويات السحابة وقوائم الجرد المقسمة.

## أسطح الفحص التي تعاملها أدوات أخرى كمنتجات منفصلة

يقوم KeyHog بفحص البايتات عند الحدود التي يمكن أن تتسرب منها، وليس فقط ملفات المصدر المتعقبة. استخدم تقريراً واحداً لكل حدود بحيث يحتفظ CI بالتغطية الدقيقة وحالة الفشل.

| سطح التعرض | مثال |
|---|---|
| أداة الحزمة النهائية | شغّل `npm pack`، ثم افحص ملف `.tgz` الناتج باستخدام `keyhog scan package.tgz`. يفحص فك ضغط الأرشيف الملفات المُولّدة وخرائط المصدر والملفات الثابتة (fixtures) والبيانات الوصفية الغائبة عن شجرة المصدر المتوقعة. |
| تطبيق المتصفح المنشور | `keyhog scan --url https://app.example.com/assets/app.js` يتبع فك ترميز JavaScript وخرائط المصدر وWASM والاستجابات ضمن حدود دون تحويل الماسح إلى زاحف غير محدود. |
| مشكلات GitHub وطلبات السحب والمناقشات والويكي وgists | `keyhog scan --github-collaboration owner/repo --github-all` يفحص كل سطح تعاون خارج نسخة العمل. |
| إعدادات وكلاء AI وMCP | `keyhog scan ~/.config ~/.claude ~/.codex` يطبق نفس خط أنابيب الكشف وفك الترميز والأدلة والتقارير على إعدادات الأدوات المحلية. |
| طبقات صور الحاويات | `keyhog scan --docker-image registry.example.com/team/app:v1` يفحص محتوى الصورة الذي سيتم تشغيله، بما في ذلك الملفات المُدخلة أثناء البناء. |
| قوائم جرد الكائنات السحابية | `keyhog scan --s3-bucket BUCKET` أو `--gcs-bucket BUCKET` أو `--azure-container-url URL` يحافظ على ترقيم الصفحات والكائنات وحدود تغطية البايتات في التقرير الطرفي. |
| مضيف التطوير بالكامل | `sudo keyhog scan-system --space 50G` يكتشف أنظمة الملفات المثبتة وتاريخ Git القابل للوصول ضمن ميزانية تخزين صارمة. |

تشترك هذه المسارات في عقد كشف وتقارير واحد. لا يمكن لفشل خاص بمصدر معين أن يتحول بصمت إلى فحص محلي أضيق.

## اختر سير العمل الصحيح

اختر حدود المصدر أولاً. الإعداد المسبق يغيّر عمل الكشف، بينما الواجهة الخلفية تغيّر التنفيذ. لا يوسّع أي منهما فحص شجرة العمل إلى تاريخ Git أو قائمة جرد مزود أو تخزين سحابي أو تدقيق مضيف.

لا يوجد اختصار صادق لـ `scan everything`. المراجعة الكاملة للممتلكات تشغّل الحدود ذات الصلة أدناه كوظائف منفصلة وتحتفظ بكل تقرير `json-envelope` مع رمز الخروج الخام الخاص به.

| الحاجة | ابدأ بـ | الإنتاجية وإعادة الاستخدام | حدود التغطية |
|---|---|---|---|
| ملاحظات محلية سريعة | `keyhog scan . --fast --incremental` | يعيد استخدام تجزئات الملفات غير المتغيرة. الإعداد السريع يتخطى عمل فك الترميز والإنتروبيا والتعلم الآلي. | شغّل السياسة الافتراضية قبل الدمج لأن السريع أضيق عمداً. |
| فحص مستودع كامل | `keyhog scan .` | `auto` المُعاير والافتراضي لعمال نوى CPU. أضف `--incremental` للفحوصات المتكررة لنفس الشجرة الموثوقة. | الملفات الحالية فقط. لا يضيف تاريخ Git. |
| بوابة التزام المرحلي | `keyhog scan --git-staged` أو `keyhog hook install` | يقرأ كائنات الفهرس الدقيقة، لذا لا يمكن للتعديلات غير المرحلية تغيير النتيجة. | المحتوى المرحلي فقط. شغّل فحص شجرة العمل بشكل منفصل عندما تكون البايتات المحلية غير المرحلية مهمة. |
| حارس مستودع دائم | `keyhog guard add . --mode repo` ثم `keyhog guard status .` | سجل جذر مقيم في الخفيّة مع آلة حالات من 7 حالات وذاكرة تخزين مؤقت نظيفة للإثبات وتتبع هوية السياسة. | يتطلب خفيّة قيد التشغيل. الحارس يكمّل، لا يستبدل، فحوصات المرحلي وشجرة العمل. |
| بوابة طلب سحب GitHub | `santhreal/keyhog@v0` | الإجراء يثبّت ويفحص وينشر SARIF وأثراً ثم يحافظ على حالة KeyHog. | مسار واحد مُخرج. استخدم فحص قائمة جرد المزود لمؤسسة. |
| GitLab أو Jenkins أو Buildkite أو CI shell | `keyhog scan . --format json-envelope --output keyhog.json` | احفظ التقرير ورمز الخروج عند النجاح والنتائج والأخطاء. استخدم `--git-diff <base>` فقط لبوابة تغيير الأسطر الأضيق صراحةً. | البايتات الموجودة في نسخة العمل، أو الفرق المحدد. |
| اعتماد مستودع بنتائج معروفة | أنشئ `.keyhog-baseline.json` والتزم به ثم افحص باستخدام `--baseline .keyhog-baseline.json`. | تبقى الهويات الموجودة مرئية في خط الأساس بينما تفشل النتائج الجديدة فقط في البوابة. | خط الأساس لا يكتم بيانات الاعتماد المتغيرة أو التغطية غير المكتملة. |
| استرداد Git تكراري | `keyhog scan --deep --git-history . --git-blobs . --daemon=off` | عاير السياسة العميقة مرة واحدة لكل فئة عامل. شغّل داخل العملية. | مستودع واحد. `--git-history` يغطي فقط سلالة نسخة العمل الحالية، لذا يُفوَّت فرع لم تسحبه أبداً دون فجوة تغطية؛ `--git-blobs` يصل أيضاً إلى الكائنات المعلقة والالتزامات المعدّلة بعيداً والمخازن المؤقتة (stashes) والملاحظات ورسائل الوسوم المشروحة والمراجع المعبأة. |
| فحص حاوية أو أرشيف | `keyhog scan --docker-image registry/app:v1` أو `keyhog scan incoming/` | احتفظ بتقرير مغلف بحيث تبقى الأعضاء المتخطاة أو التالفة أو المشفرة أو غير الآمنة أو كبيرة الحجم مرئية. | فقط الصورة أو مسار نظام الملفات المحدد والتنسيقات المتداخلة المدعومة. |
| فحص URL أو استجابة أو HAR | `keyhog scan --url https://api.example.com/config` أو `keyhog scan capture.har` | استخدم حدود المصدر المحدودة واحفظ المغلف الطرفي. | فقط الاستجابات المُجلَبة أو إدخالات الالتقاط. هذا ليس زاحفاً. |
| قائمة جرد مؤسسة أو سحابة | `keyhog scan --daemon=off --github-org acme --format json-envelope --output acme.json` | قسّم حسب المزود أو المالك أو الحاوية. شغّل الأقسام المستقلة بشكل متزامن مع تقرير وحالة لكل منها. | قائمة جرد مزود واحدة محددة لكل وظيفة. تبقى حدود الترقيم أو الكائنات حدود تغطية. |
| تأكيد ما إذا كانت النتائج المؤهلة حيّة | `keyhog scan . --verify` | تزامن المزود وضوابط المعدل منفصلة عن عمال الماسح. | يرسل طلبات مشتقة من بيانات الاعتماد إلى نقاط نهاية المزود المُعلنة. لا يدعم كل كاشف التحقق. |
| فحص صحة المضيف بالكامل | `sudo keyhog scan-system --space 50G` | يستخدم جميع نوى CPU افتراضياً ويفحص تاريخ Git المكتشف بعد بيانات نظام الملفات. | أنظمة الملفات المحلية المثبتة. التركيبات الشبكية اختيارية وسقف المساحة صارم. |
| فحص دليل أو تاريخ أو أرشيف أو بعيد أو قائمة جرد سحابية مدعوم بـ GPU على Unix | عاير التوجيه التلقائي، ثم ابدأ `keyhog daemon start --mass`، ثم شغّل `keyhog scan --daemon=mass <SOURCE>`. | يدفق دفعات محدودة عبر عامل CPU أو Hyperscan أو CUDA أو Metal أو WGPU مُجمّع واحد. أضف `--incremental` لأشجار نظام الملفات الدافئة غير المتغيرة. يبلغ الإيصال الطرفي عن الإجمالي الدقيق ودفعات GPU والقطع والبايتات وحصة GPU والإنتاجية. | خطوط الأساس والتحقق والإغلاق والإعدادات المسبقة والتراكبات وتغييرات سياسة الماسح الأخرى تُرفض قبل الاقتناء. تنطبق الحالة التزايدية فقط على جذور نظام الملفات المحلية للخفيّة. |

### افحص كل حدود مصدر مدعومة

استخدم أمراً واحداً لكل حدود. احتفظ بتقرير `json-envelope` ورمز الخروج الخام لكل قسم جرد.

| المصدر أو حالة الاستخدام | الأمر |
|---|---|
| عدة جذور محلية | `keyhog scan services/api services/web deploy/` |
| ملفات متغيرة باستمرار | `keyhog watch services/api deploy/` |
| بايتات مرحلية أو أسطر متغيرة أو تاريخ قابل للوصول أو كائنات | `keyhog scan --git-staged` أو `--git-diff main` أو `--git-history .` أو `--git-blobs .` |
| ثنائيات أصلية وسلاسل البرامج الثابتة | `keyhog scan --binary firmware.bin` (فحص الدليل العادي يتخطى الثنائيات ويخرج بـ `0` أيضاً) |
| أرشيفات ومصادر مضغوطة | `keyhog scan incoming/` (تتوسع الأعضاء المدعومة تلقائياً) |
| طبقات صور Docker | `keyhog scan --docker-image registry/app:v1` |
| JavaScript أو خرائط المصدر أو WASM أو استجابة نقطة نهاية | `keyhog scan --url https://api.example.com/config` |
| التقاطات طلبات واستجابات HTTP | `keyhog scan capture.har` |
| مشكلات GitHub وطلبات السحب والمناقشات والويكي وgists | `keyhog scan --github-collaboration owner/repo --github-all` |
| قوائم جرد GitHub أو GitLab أو Bitbucket | `--github-org ORG` أو `--gitlab-group GROUP` أو `--bitbucket-workspace WORKSPACE` |
| قوائم جرد S3 أو GCS أو Azure Blob | `--s3-bucket BUCKET` أو `--gcs-bucket BUCKET` أو `--azure-container-url URL` |
| تدفق محدود من أداة أخرى | `producer \| keyhog scan --stdin` (استخدم `set -o pipefail` بحيث يُظهر المنتج الفاشل خطأه الخاص، لا فحصاً صفري البايتات) |

فحص الدليل العادي لا يقرأ الثنائيات الأصلية. كل واحدة تصبح فجوة تغطية `binary (extension or content sniff)`، ويظل الفحص يخرج بـ `0`، ولا يغيّر `--no-default-excludes` ذلك، لذا مرّر `--binary` عندما تكون الأصول المُجمّعة ضمن النطاق. يتطلب هذا العلم بناءً بميزة `binary`، المتوفرة في تثبيت crates.io الافتراضي وغير المتوفرة في ميزة `ci` الخفيفة.

استخراج الثنائيات الأصلية يبلغ عن بيانات اعتماد كاملة تلبي عقد الشكل الصريح لكاشف مسمى. يكتم أجزاء البادئة القصيرة والسلاسل العامة الشبيهة بالإسناد من أقسام البيانات المُجمّعة لأن تلك البايتات لا تحتفظ بسياق المصدر.

جلب نقاط النهاية محدود ومُدقَّق ضد SSRF. ليس زاحفاً. تتطلب نقاط نهاية السحابة الخاصة وإعادة توجيه بيانات الاعتماد أعلام الثقة الصريحة الخاصة بها. رموز المزود تنتمي إلى متغيرات البيئة الموثقة، لا وسائط العملية.

استخدم [محدد سير العمل](https://santhreal.github.io/keyhog/capabilities.html) لتفاصيل المصدر والسياسة، و[دليل GitHub Action](https://santhreal.github.io/keyhog/workflows/github-action.html) لبوابة المستودع المُدارة، و[دليل CI المباشر](https://santhreal.github.io/keyhog/workflows/ci.html) للتقارير الدائمة ومعالجة الخروج، و[دليل المسح الشامل](https://santhreal.github.io/keyhog/guides/mass-scanning.html) للتقسيم والتجميع. يغطي [كتاب الوصفات](https://santhreal.github.io/keyhog/recipes.html) الحاويات والأرشيفات وعناوين URL ومحتوى تعاون GitHub والمصادر السحابية.

### السرعة والتزامن دون تخمين

ابدأ بالإعدادات الافتراضية. لا يمكن لـ Cargo تنفيذ KeyHog بعد `cargo install`، لذا شغّل الأوامر أدناه مرة واحدة بعد تثبيت بناء Cargo متعدد الواجهات الخلفية ومرة أخرى بعد تغيير المضيف أو الثنائي أو مجموعة كاشفات أو برنامج التشغيل أو فئات عبء العمل:```sh
keyhog calibrate-autoroute --policy all
keyhog backend --autoroute --json

للمشغّل المشترك حيث يتم تخصيص أربعة عمال ماسح ضوئي وعامل قارئ واحد للمهمة:```sh
keyhog scan . --threads 4 --reader-threads 1 \
  --format json-envelope --output keyhog.json

قم ببناء نسخة المستودع عندما تحتاج إلى تغيير غير مُصدر:```sh
cargo install --path crates/cli --locked

استخدم [دليل التثبيت](https://santhreal.github.io/keyhog/install.html) لمتطلبات سلسلة أدوات Rust، وملفات تعريف الميزات، والاعتماديات الخاصة بوقت التشغيل لكل منصة.

## ما يكتشفه

934 كاشفًا مدمجًا مع تحقق غير متصل بالإنترنت مملوك للكاشف ومرافقات:

- **مزودو السحابة:** AWS (مفتاح الوصول + السر + التحقق من STS)،
  Azure (مفتاح الاشتراك، مفتاح حساب التخزين، SAS)، GCP (حساب الخدمة،
  مفتاح API)، Cloudflare، Heroku، Vercel، Supabase.
- **معالجات الدفع:** Stripe، Braintree، Razorpay، Paddle، Plaid،
  Square، وPayPal، مع فحوصات مملوكة للكاشف ومرافقات اختيارية أو إلزامية.
  يتطلب سر مفتاح Razorpay معرف المفتاح القريب منه.
- **منصات المصدر:** رموز GitHub PAT (مع مجموع CRC32)، رموز GitLab،
  كلمات مرور تطبيقات Bitbucket، رموز npm (مع مجموع اختباري)، Gitea / Forgejo
  / Codeberg.
- **المصادقة / الدخول الموحد:** Okta، Auth0، Clerk، JumpCloud، Kinde.
- **الاتصالات:** Slack، Discord، Twilio، SendGrid، Postmark، Mailgun،
  Resend، Loops.
- **الذكاء الاصطناعي / التعلم الآلي:** OpenAI (sk-/sk-proj-)، Anthropic، Google AI Studio،
  Cohere، Mistral، HuggingFace، Replicate. تتضمن بيانات اعتماد منظمة HuggingFace
  كلاً من الصيغة الحالية `hf_` ورموز `api_org_` القديمة.
- **مديرو كلمات المرور:** مفاتيح سرية لحساب 1Password (`A3-` متبوعة
  بخمسة أو ستة مكونات أبجدية رقمية كبيرة مقسمة).
- **قواعد البيانات:** سلاسل اتصال Postgres، MongoDB Atlas، دور خدمة Supabase،
  PlanetScale، Neon، Turso، MySQL، عناوين Redis.
- **الاكتشاف العام + الانتروبيا:** `API_KEY=<كتلة عالية الانتروبيا>` يلتقط
  بيانات اعتماد بدون كاشف مسمى، مقيدة بعتبات انتروبيا حسب السياق
  + تسجيل ML.
- **المواد التشفيرية:** مفاتيح خاصة RSA / EC / SSH، كتل PGP خاصة،
  أسرار توقيع JWT.

يُشحن كل كاشف كـ [ملف TOML](https://github.com/santhreal/keyhog/blob/main/detectors) (بيانات، وليس كود):
بيانات وصفية للخدمة، أنماط regex، كلمات مفتاحية، أدوات تحقق غير متصلة، سياسة انتروبيا وML،
حقول مرافقة، ومعالج تحقق. إضافة كاشف جديد هي تغيير TOML واحد قابل للمراجعة؛
[دليل المساهمين](https://github.com/santhreal/keyhog/blob/main/CONTRIBUTING.md) يشرح ذلك خطوة بخطوة.

`keyhog explain <id>` يعرض المواصفات الكاملة لأي كاشف: الأنماط، الكلمات المفتاحية،
نقطة التحقق، بالإضافة إلى دليل تدوير مرتبط بالخدمة وإصلاح خطوة بخطوة،
بحيث لا يكون الاكتشاف صندوقًا أسود أبدًا:

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/7654/0fc64959950abfa39c0ba81a1f5fbde3fe17a57169d2edca38cb0f248c834470.gif" alt="keyhog explain github-classic-pat: تفريغ مواصفات الكاشف (النمط ghp_[A-Za-z0-9]{36}، الكلمة المفتاحية، عنوان التحقق) متبوعًا بدليل تدوير github والإصلاح خطوة بخطوة" width="860" />
</p>

تصفح إنشاء الكاشفات وفحصها في
[مرجع الكاشفات](https://github.com/santhreal/keyhog/blob/main/docs/src/detectors.md)، أو استعلم عن المجموعة المثبتة باستخدام
`keyhog detectors --search <مصطلح> --verbose`.

## لماذا استدعاء أعلى، وإيجابيات كاذبة أقل

- **فحص عبر فك التشفير.** ملفات Kubernetes `Secret`، دفاتر Jupyter
  الملاحظات، حمولات JWT، بيئات مغلفة بـ base64، قيم Helm، وكتل `auth:` في docker-config.
  يعامل المعالج الأولي المنظم إجراءات Helm المتوازنة كقيم وقت عرض خاملة
  ويغلق محددات Jupyter المفقودة في نهاية الملف،
  بحيث تظل البايتات الحرفية وخلايا الكود الكاملة مغطاة. يفك تشفير القيم المنظمة
  في مكانها ويغذي كل كاشف لاحق بالنص الصريح. لا تحتاج الكاشفات
  إلى إعادة تنفيذ فك التشفير كل منها على حدة. يستعيد الفحص الممكّن لفك التشفير أيضًا
  تعبيرات XOR لمصفوفة البايتات في JavaScript وAES-256-CBC الخالية من الآثار الجانبية عندما
  تكون جميع مواد الاسترداد مضمّنة، بما في ذلك أغلفة عبارات المرور المملحة الصارمة CryptoJS/OpenSSL.
  لا ينفذ KeyHog المصدر أبدًا.
- **إعادة تجميع متعددة الأسطر.** استمرار `"sk-proj-" + \` في JavaScript،
  سلاسل YAML متعددة الأسطر، استمرار الشرطة المائلة العكسية في Makefile،
  مخرجات Helm / Jinja المقولبة، كلها تُعاد تجميعها قبل مطابقة regex.
- **التحقق من المرافقات.** المرافقات الإلزامية تقيّد الكاشفات عالية الضوضاء. يتم تخطي
  مفتاح Twilio API بدون سره. المرافقات الاختيارية تثري تسجيل الأدلة أو التحقق.
  لا يتطلب اكتشاف مفتاح الوصول AWS سره، لكن السر مطلوب للتحقق المباشر.
- **الحل عبر الكاشفات.** يمكن لملف TOML للكاشف أن يتطلب أو يرفض أو يضمّن
  نتائج محدودة من كاشف آخر. يظل الحل حتميًا عبر ترتيب الإدخال،
  والأهداف غير الصالحة أو التناقضات أو حلقات التبعية تفشل في تجميع المجموعة.
- **أحكام الأدلة.** يحمل كل اكتشاف طبقة `review` أو `likely` أو
  `confirmed` دقيقة بالإضافة إلى رمز سبب أساسي. المجموع الاختباري الجوهري أو إثبات القواعد،
  والمرافقات الإلزامية، والتحقق المباشر تنتج أدلة مؤكدة؛
  الشكل القوي الخاص بالبائع في دور يحمل بيانات اعتماد ينتج أدلة محتملة؛
  المراسي الضعيفة، والتعيينات العامة، والمرشحات القائمة على الانتروبيا فقط، وسياقات
  الاختبار أو التوثيق أو القواعد أو المعرفات تبقى أدلة مراجعة.
  `evidence_score` اختياري يكمل الحكم عند قياسه.
  العتبة الافتراضية `0.40` تتحكم في أرضية الثقة الداخلية للماسح
  وتبقى قابلة للتكوين مع `--min-confidence`.
- **معايرة بايزية لكل كاشف.** `keyhog calibrate --fp generic-api-key`
  يكتب توزيعًا خلفيًا Beta(α,β). تستخدمه عمليات الفحص فقط عند `--calibration-cache`
  أو `[system].calibration_cache` يشير إلى ذلك الملف، لذا يكون ضبط الثقة
  صريحًا وقابلًا للتكرار بدلاً من الاعتماد على حالة ذاكرة تخزين مؤقت عشوائية للمضيف.

## الأداء

استخدم الإطار القابل للتكرار في [`benchmarks/`](https://github.com/santhreal/keyhog/blob/main/benchmarks) لمقارنة KeyHog،
Betterleaks، Kingfisher، Nosey Parker، TruffleHog، وTitus تحت عقد تسجيل واحد.
يستبعد الإطار بيان الحقيقة الأساسي من كل شجرة فحص.
تبقى الجداول المولدة فارغة حتى توجد عمليات تشغيل بالمخطط الحالي. نفّذ
`make -C benchmarks report` بعد القياس. لا تعدّل الجداول المولدة
يدويًا.

### لوحة صدارة الاكتشاف

<!-- BENCH:leaderboard:start -->
#### مجموعة مرآة صناعية بشكل SecretBench
المجموعة: **mirror** - 15000 عنصر اختبار، 3000 إيجابي مُعلَّم، 2,431,242 بايت. تم تسجيل كل ماسح بشكل متطابق (قاعدة تداخل SecretBench)؛ تم استبعاد بيان الإجابة الرئيسي من شجرة الفحص.

| الترتيب | الماسح | F1 | الدقة | الاستدعاء | النتائج | الوقت | ذروة RSS |
|---|---|---|---|---|---|---|---|
| 1 | **KeyHog** | **0.9328** | 0.9651 | 0.9027 | 2816 | 1.05s | 416 MB |
| 2 | TruffleHog | 0.5294 | 1.0000 | 0.3600 | 1080 | 1.59s | 300 MB |
| 3 | Kingfisher | 0.4683 | 0.3877 | 0.5913 | 5255 | 4.81s | 402 MB |
| 4 | Titus | 0.4207 | 0.3381 | 0.5567 | 5151 | 2.86s | 115 MB |
| 5 | Nosey Parker | 0.4186 | 0.3511 | 0.5183 | 4529 | 0.82s | 285 MB |
| 6 | Betterleaks | 0.3498 | 0.2241 | 0.7970 | 11113 | 0.74s | 198 MB |

#### مجموعة قواعد المنافس المحلية / قواعد الملعب الخاص
المجموعة: **homefield** - 2399 عنصر اختبار مُجمَّع من مجموعات قواعد الحقيقة الأرضية للمنافسين (قواعد Betterleaks وKingfisher؛ 1,057 إيجابي مُعلَّم، 1,342 سلبي، 772,974 بايت). تقييم متعدد الأدوات على الحقيقة الأرضية للمنافسين.

| الترتيب | الماسح | F1 | الدقة | الاستدعاء | النتائج | الوقت | ذروة RSS |
|---|---|---|---|---|---|---|---|
| 1 | **KeyHog** | **0.9214** | 0.9582 | 0.8874 | 979 | 0.72s | 384 MB |
| 2 | Betterleaks | 0.9056 | 0.9130 | 0.8984 | 1040 | 0.58s | 192 MB |
| 3 | Kingfisher | 0.8842 | 0.9250 | 0.8468 | 968 | 2.14s | 390 MB |
| 4 | TruffleHog | 0.4812 | 0.9850 | 0.3226 | 345 | 1.22s | 280 MB |
| 5 | Titus | 0.4635 | 0.3810 | 0.5913 | 1640 | 2.15s | 110 MB |
| 6 | Nosey Parker | 0.4520 | 0.3950 | 0.5280 | 1412 | 0.68s | 265 MB |
### مصدر النتائج

| الماسح | إصدار الماسح / بصمة الملف التنفيذي | هوية المجموعة | هوية المضيف | تاريخ التشغيل |
|---|---|---|---|---|
| KeyHog | الإصدار: KeyHog v0.5.70<br>الالتزام: d1eb2e09eb2c289181d93d719ce3f62411aeaf2c<br>مجموعة الكاشفات: 926 (926-4168e2c6c93a16ca)<br>هدف البناء: x86_64-linux<br>إصدار نموذج ML: moe-v1-246a05b92bec9aa3<br>بطاقة نموذج ML: مسجلة 2026-07-15؛ الميزات 55؛ F1 صناعي 0.971 / P 0.945 / R 0.999؛ F1 حقيقي 0.832 / P 0.753 / R 0.931 / [email protected] 0.938؛ كاشفات صفر الاستدعاء 2/32؛ تفاضل ستة ماسحات غير متاح<br>SHA-256 للملف التنفيذي: `2899ee53789bff9c531f72645f6c8380a7c873230dfb2b6857079467bc8d2dcd` | mirror؛ 15,000 عنصر اختبار؛ 3,000 إيجابي مُعلَّم؛ 2,431,242 بايت | SHA-256/12 لاسم المضيف: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:39Z |
| TruffleHog | الإصدار: trufflehog 3.96.0<br>SHA-256 للملف التنفيذي: `6eb1f98fb890bf9361d8833c061e122dcb4f14fb7b71c65e603b7c096153c724` | mirror؛ 15,000 عنصر اختبار؛ 3,000 إيجابي مُعلَّم؛ 2,431,242 بايت | SHA-256/12 لاسم المضيف: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:58Z |
| Kingfisher | الإصدار: kingfisher 1.94.0<br>SHA-256 للملف التنفيذي: `a49f8e9838d7f1da1e9f328a4dbc45a16996bce5078cde3ff1b8ad422d8ab07a` | mirror؛ 15,000 عنصر اختبار؛ 3,000 إيجابي مُعلَّم؛ 2,431,242 بايت | SHA-256/12 لاسم المضيف: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:50Z |
| Titus | الإصدار: Titus v1.1.20 (منفذ Go لـ NoseyParker)<br>SHA-256 للملف التنفيذي: `0b9c126a6c280ba28c6ed8795f88bf9bd793164c15959a34921f47a7ed276bcf` | mirror؛ 15,000 عنصر اختبار؛ 3,000 إيجابي مُعلَّم؛ 2,431,242 بايت | SHA-256/12 لاسم المضيف: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:30:03Z |
| Nosey Parker | الإصدار: noseyparker 0.24.0 تكوين البناء: الطابع الزمني للبناء:    2025-05-08T21:11:15.600909923Z الطابع الزمني للالتزام:   2025-05-08T17:04:47.000000000-04:00 فرع الالتزام:      HEAD SHA للالتزام:         61fa4ca67e4ded1b47b3b9ecce618ae91f1ff2fe ميزات Cargo:     color_backtrace,default,disable_trace,github,log,mimalloc,parquet,release التصحيح:              true التحسين:       3 الهدف الثلاثي:      x86_64-unknown-linux-gnu نظام البناء: نظام التشغيل:                 Ubuntu إصدار نظام التشغيل:         Linux (Ubuntu 22.04) بائع وحدة المعالجة:         AuthenticAMD علامة وحدة المعالجة:          AMD EPYC 7763 64-Core Processor نوى وحدة المعالجة:          2 إصدار rustc:      1.86.0 قناة rustc:      stable مضيف rustc الثلاثي:  x86_64-unknown-linux-gnu تاريخ التزام rustc:  2025-03-31 SHA التزام rustc:   05f9846f893b09a1be1fc8560e33fc3c815cfecb إصدار LLVM لـ rustc: 19.1<br>SHA-256 للملف التنفيذي: `42d6e88bf77904866a9dda49d7cf333501e76b62e9054b112e67f81dc88e2b71` | mirror؛ 15,000 عنصر اختبار؛ 3,000 إيجابي مُعلَّم؛ 2,431,242 بايت | SHA-256/12 لاسم المضيف: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:53Z |
| Betterleaks | الإصدار: betterleaks version dev<br>SHA-256 للملف التنفيذي: `466f7d34e1ebcf12ecd5939494f509c17125e54416226976fced2f046da56ba4` | mirror؛ 15,000 عنصر اختبار؛ 3,000 إيجابي مُعلَّم؛ 2,431,242 بايت | SHA-256/12 لاسم المضيف: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:43Z |
<!-- BENCH:leaderboard:end -->

### السرعة والذاكرة

<!-- BENCH:perf:start -->
#### مجموعة مرآة صناعية بشكل SecretBench

| الماسح | التكوين | المجموعة | الوقت | الإنتاجية | ذروة RSS |
|---|---|---|---|---|---|
| Betterleaks | `default-nocache-nodaemon-no-validate` | mirror | 0.74s | 3.1 MB/s | 198 MB |
| Nosey Parker | `default-nocache-nodaemon-no-git-history` | mirror | 0.82s | 2.8 MB/s | 285 MB |
| KeyHog | `simd-nocache-nodaemon-full` | mirror | 1.05s | 2.2 MB/s | 416 MB |
| TruffleHog | `default-nocache-nodaemon-no-verify` | mirror | 1.59s | 1.5 MB/s | 300 MB |
| Titus | `default-nocache-nodaemon-no-validate` | mirror | 2.86s | 0.8 MB/s | 115 MB |
| Kingfisher | `default-nocache-nodaemon-low-no-validate` | mirror | 4.81s | 0.5 MB/s | 402 MB |

#### مجموعة قواعد المنافس المحلية / قواعد الملعب الخاص

| الماسح | التكوين | المجموعة | الوقت | الإنتاجية | ذروة RSS |
|---|---|---|---|---|---|
| Betterleaks | `default-nocache-nodaemon-no-validate` | homefield | 0.58s | 1.3 MB/s | 192 MB |
| Nosey Parker | `default-nocache-nodaemon-no-git-history` | homefield | 0.68s | 1.1 MB/s | 265 MB |
| KeyHog | `simd-nocache-nodaemon-full` | homefield | 0.72s | 1.1 MB/s | 384 MB |
| TruffleHog | `default-nocache-nodaemon-no-verify` | homefield | 1.22s | 0.6 MB/s | 280 MB |
| Titus | `default-nocache-nodaemon-no-validate` | homefield | 2.15s | 0.4 MB/s | 110 MB |
| Kingfisher | `default-nocache-nodaemon-low-no-validate` | homefield | 2.14s | 0.4 MB/s | 390 MB |
<!-- BENCH:perf:end -->

### مقارنة الاستدعاء حسب الفئة

<!-- BENCH:gaps:start -->
_شريحة استدعاء تشخيصية فقط. تبقى الدقة الإجمالية وF1 هي عقد المقارنة؛ تُحتسب الإيجابيات الكاذبة في فئاتها المسجلة._

| الفئة | KeyHog P/R/F1 | KeyHog TP/FN | أفضل منافس P/R/F1 | فجوة الاستدعاء |
|---|---|---|---|---|
| `generic-high-entropy-string` | 1.000 / 0.434 / 0.606 | 73/95 | Betterleaks 1.000 / 0.798 / 0.887 | +0.363 |
<!-- BENCH:gaps:end -->

### قياسات الاسترداد الثابت المحدود

<!-- BENCH:recovery:start -->
التشغيل المحدد: الماسح **KeyHog** `KeyHog v0.5.70<br>الالتزام: d1eb2e09eb2c289181d93d719ce3f62411aeaf2c<br>مجموعة الكاشفات: 926 (926-4168e2c6c93a16ca)<br>هدف البناء: x86_64-linux<br>إصدار نموذج ML: moe-v1-246a05b92bec9aa3<br>بطاقة نموذج ML: مسجلة 2026-07-15؛ الميزات 55؛ F1 صناعي 0.971 / P 0.945 / R 0.999؛ F1 حقيقي 0.832 / P 0.753 / R 0.931 / [email protected] 0.938؛ كاشفات صفر الاستدعاء 2/32؛ تفاضل ستة ماسحات غير متاح`؛ المجموعة **mirror** (15,000 عنصر اختبار، 2,431,242 بايت)؛ مولدة `2026-08-11T01:29:39Z`؛ الأثر `mirror-keyhog-simd-nocache-nodaemon-full.json`.

مخطط القياسات: `static-recovery-v1`.

| التصنيف | العدد الدقيق |
|---|---:|
| مدعوم | 0 |
| غير مدعوم | 0 |
| خاطئ | 0 |

| سبب الرفض | العدد الدقيق |
|---|---:|
| _لا شيء_ | 0 |
<!-- BENCH:recovery:end -->

### أدلة Bloom الثنائية

<!-- BENCH:bloom:start -->
مخطط الأدلة: `bloom-evidence-v1`.

| الحقل | النتيجة الدقيقة |
|---|---|
| المجموعة | `samsung-creddata-fx-record-spans-v1` |
| مراجعة المجموعة | `f1de3f85dbdf42bf7b3467c0d273a4dfe44d56ee` |
| SHA-256 للمجموعة | `4f2de506f334521121bb5b4aef8a37bf0b8153a4f9115e7ba9392d0eed1757b9` |
| SHA-256 لعنصر الاختبار | `a0ff018dc0a64b2cc78b25999043d1a441afa0087070f4cd8d73ae82408a59b4` |
| SHA-256 للملف التنفيذي | `2899ee53789bff9c531f72645f6c8380a7c873230dfb2b6857079467bc8d2dcd` |
| SHA-256 لمجموعة كاشفات مساحة العمل | `d87e8b3d086e9ffa4c8a94f35a717ec710d5224e52e5b4fc7e71db30677609c9` |
| بصمة كاشفات الماسح | `8d789251e092959f` |
| SHA-256 لمجموعة الكاشفات | `3729bd72df768187420f37e08ab64cd2b5a8bac558002d8b0844f465e9a75711` |
| رفض Bloom | **110/51794 (0.21%)**؛ تم قبول 51684 |
| التوفر الخارجي | تم قياس 51794؛ 0 غير متاح صراحةً من 51794 معلنًا؛ الأسباب:  |
| النتائج الممكّنة مقابل الملتف عليها | **متطابقة**؛ 977/977 نتيجة |
| SHA-256 لهوية النتيجة | `1517bad01ab5228e85b7f4fd44e72226aa3f195bc18a67d58b7a6364b6bf6e0e` / `1517bad01ab5228e85b7f4fd44e72226aa3f195bc18a67d58b7a6364b6bf6e0e` |
| كثافة/حالة Bloom | 1793/65536 خانة؛ `سليمة`؛ تشبع عند 39322 |

تربط هوية النتيجة الكاشف والملف والسطر ونطاق البايت وSHA-256 لبيانات الاعتماد؛ لا تُسجل بيانات الاعتماد النصية الصريحة أبدًا.
<!-- BENCH:bloom:end -->

إعادة الإنتاج: `make -C benchmarks canonical KEYHOG_BIN=/absolute/path/to/keyhog`
يعيد تشغيل مجموعة تشغيل mirror الدقيقة لـ KeyHog وBetterleaks وKingfisher وNosey Parker وTruffleHog و
Titus، بما في ذلك تفاضل CredData Bloom المرتبط بالملف التنفيذي،
و`make -C benchmarks report` يعيد توليد الجداول أعلاه و
`benchmarks/reports/`. راجع [`benchmarks/README.md`](https://github.com/santhreal/keyhog/blob/main/benchmarks/README.md)
للمجموعات (mirror، الملعب الخاص بالمنافسين، Samsung/CredData) ومصفوفة
الخلفية/الذاكرة المؤقتة/الخفي/نظام التشغيل/GPU.

## عمال خفي جماعيون مدعومون بـ GPU

يحافظ الخفي الجماعي Unix الاختياري على ماسح واحد مُجمَّع وحالته الخلفية المعايرة
دافئة. ترسل عمليات فحص نظام الملفات المحلي فقط الجذر الأساسي و
بيانات وصفية لسياسة المصدر؛ يقرأ الخفي الملفات ويجمّعها في عمليته الخاصة.
المصادر Git والثنائية والبعيدة والسحابية التي تتطلب بيانات اعتماد من جانب العميل
تستخدم إطارات أجزاء محدودة محمية.```sh
# Terminal 1
keyhog calibrate-autoroute --policy default
keyhog daemon start --mass

# Terminal 2, after the daemon prints its ready line
keyhog scan --daemon=mass /srv/inventory/team-a \
  --format json-envelope --output team-a.json
keyhog daemon stop

`scan-system` هو تدقيق محلي محدود النطاق للمضيف، وليس بديلاً عن تقسيم المخزون في المستودع أو السحابة. إنه يحدّد نطاقه بإجمالي البايتات الممسوحة وليس بالمسار: `--space` هو السقف، ويتم تخطي أنظمة الملفات المثبتة عبر الشبكة إلا إذا مررت `--include-network`. راجع سلوك التركيب، وأنظمة ملفات الشبكة، وسقف المساحة، والصلاحيات قبل تشغيله. انظر
[الفرز على مستوى النظام](https://santhreal.github.io/keyhog/guides/system-wide-triage.html).

## تقييد عمليات الفحص الحساسة محليًا

وضع `--lockdown` في لينكس هو وضع حماية للعمليات يُغلق عند الفشل:```sh
keyhog scan . --daemon=off --lockdown

الطرق الافتراضية للمكتبة هي مراجع CPU محمولة وحتمية. الطرق
الخلفية الصريحة تُرجع أخطاءً مُنمّطة بدلاً من إنهاء العملية أو
استبدال محرك آخر بصمت. يمكن أن تحتوي الأجزاء الخام والمطابقات على
نص عادي. قم بتحويلها باستخدام `RawMatch::to_redacted`، أو استخدم قيم
`VerifiedFinding` النهائية، قبل حدود JSON أو السجلات أو القرص أو الشبكة.

يحدد [دليل البنية](https://github.com/santhreal/keyhog/blob/main/docs/src/architecture.md) ملكية الصناديق،
وعقود الواجهة الخلفية، وإيصالات الاسترداد، ومساعدي المصدر، وحدود
الإبلاغ الآمنة. توثيق Rust على مستوى الصندوق يمتلك واجهة برمجة التطبيقات الكاملة.

## تكوين السياسة مع أولوية صريحة

توجد سياسة المستودع في `.keyhog.toml`:```toml
verify = false

[scan]
severity = "high"
incremental = true

[system]
gpu = "auto"

تعريفات الكاشف تبقى بيانات تحت `detectors/`. `keyhog-core` يملك
أنواع الكاشف والنتائج، و`keyhog-scanner` يملك خلفيات المطابقة والتنفيذ،
و`keyhog-sources` يملك اكتساب المدخلات، و`keyhog-verifier` يملك الفحوصات
المباشرة، و`keyhog-cli` يملك سير عمل المشغّل.

ابدأ بـ [دليل البنية](https://github.com/santhreal/keyhog/blob/main/docs/src/architecture.md) لخريطة المستودع،
واتجاه التبعيات، وخط أنابيب البايتات إلى النتائج، وملكية التوجيه،
ونقاط دخول التنميط.

## فحص التثبيت وتوسيعه```sh
keyhog detectors --search aws --verbose
keyhog explain aws-access-key
keyhog backend --autoroute --json
keyhog completion zsh