Proyecto Incubator de OWASP: detecta credenciales expuestas en contenido entregado por el navegador (JavaScript, respuestas de configuración, tráfico en vivo).
SecretSifter es un proyecto de OWASP Incubator que encuentra credenciales expuestas en lo que las aplicaciones web realmente entregan al navegador: paquetes de JavaScript, respuestas de configuración y otro contenido en vivo.
El escaneo de secretos previo al despliegue examina el código fuente. Algunas credenciales solo se introducen en tiempo de compilación o de ejecución, por lo que nunca aparecen en el repositorio que se está escaneando. SecretSifter inspecciona el tráfico a medida que llega al navegador y reporta cada hallazgo con su ubicación y evidencia para que un evaluador lo analice.
| Edición | Obtenerla | Código fuente |
|---|---|---|
| Extensión de Burp Suite | Compilar desde el código fuente | burp-extension/ (MIT) |
| Extensión de Burp Suite con triaje por IA y MCP | Compilar desde el código fuente | burp-mcp/ (MIT) |
| Extensión de Chrome | Chrome Web Store | Próximamente (MIT, en la hoja de ruta) |
| Extensión de Firefox | Firefox Add-ons | Próximamente (MIT, en la hoja de ruta) |
| Aplicación de escritorio (macOS, Windows) | Releases | Próximamente (MIT, en la hoja de ruta) |
| Objetivo de práctica InsecureShield (solo credenciales sintéticas) | secretsifter/insecureshield-demo | MIT |
Ambas ediciones de Burp se compilan con ./gradlew shadowJar (Java 17+). Cada carpeta tiene su propio README con los pasos de compilación e instalación.
Escanee únicamente aplicaciones que posea o esté autorizado a probar. Si encuentra una credencial activa, repórtela para que pueda rotarse y nunca publique su valor.
Los issues y pull requests son bienvenidos, especialmente nuevas reglas de detección con casos de prueba tanto para verdaderos como para falsos positivos.
Las contribuciones se aceptan bajo el Developer Certificate of Origin. Firme cada commit con git commit -s.
Página del proyecto: owasp.org/projects/secretsifter
El código fuente está licenciado bajo MIT (ver LICENSE). La documentación está licenciada bajo CC BY-SA 4.0.
