Projet OWASP Incubator : détecte les identifiants exposés dans le contenu livré par le navigateur (JavaScript, réponses de configuration, trafic en direct).
SecretSifter est un projet OWASP Incubator qui détecte les identifiants exposés dans ce que les applications web livrent réellement au navigateur : bundles JavaScript, réponses de configuration et autres contenus dynamiques.
L'analyse des secrets avant déploiement porte sur le code source. Certains identifiants ne sont introduits qu'au moment du build ou de l'exécution, et n'apparaissent donc jamais dans le dépôt analysé. SecretSifter inspecte le trafic au moment où il atteint le navigateur et signale chaque détection avec son emplacement et ses preuves, pour évaluation par le testeur.
| Édition | Obtention | Source |
|---|---|---|
| Extension Burp Suite | Compiler depuis les sources | burp-extension/ (MIT) |
| Extension Burp Suite avec triage IA et MCP | Compiler depuis les sources | burp-mcp/ (MIT) |
| Extension Chrome | Chrome Web Store | Bientôt disponible (MIT, sur la feuille de route) |
| Extension Firefox | Firefox Add-ons | Bientôt disponible (MIT, sur la feuille de route) |
| Application de bureau (macOS, Windows) | Releases | Bientôt disponible (MIT, sur la feuille de route) |
| Cible d'entraînement InsecureShield (identifiants synthétiques uniquement) | secretsifter/insecureshield-demo | MIT |
Les deux éditions Burp se compilent avec ./gradlew shadowJar (Java 17+). Chaque dossier possède son propre README avec les étapes de compilation et d'installation.
Ne scannez que les applications que vous possédez ou que vous êtes autorisé à tester. Si vous découvrez un identifiant actif, signalez-le afin qu'il puisse être renouvelé, et ne publiez jamais sa valeur.
Les issues et pull requests sont les bienvenues, en particulier les nouvelles règles de détection accompagnées de cas de test pour les vrais positifs comme pour les faux positifs.
Les contributions sont acceptées sous le Developer Certificate of Origin. Signez chaque commit avec git commit -s.
Page du projet : owasp.org/projects/secretsifter
Le code source est sous licence MIT (voir LICENSE). La documentation est sous licence CC BY-SA 4.0.
