Progetto OWASP Incubator: rileva credenziali esposte nei contenuti inviati al browser (JavaScript, risposte di configurazione, traffico live).
SecretSifter è un progetto OWASP Incubator che individua le credenziali esposte in ciò che le applicazioni web effettivamente inviano al browser: bundle JavaScript, risposte di configurazione e altri contenuti live.
La scansione dei segreti pre-deployment analizza il codice sorgente. Alcune credenziali vengono introdotte solo in fase di build o di runtime, quindi non compaiono mai nel repository scansionato. SecretSifter ispeziona il traffico mentre raggiunge il browser e segnala ogni risultato con la sua posizione e le prove, per consentire al tester di valutarlo.
| Edizione | Come ottenerla | Sorgente |
|---|---|---|
| Estensione Burp Suite | Compila dal sorgente | burp-extension/ (MIT) |
| Estensione Burp Suite con triage AI e MCP | Compila dal sorgente | burp-mcp/ (MIT) |
| Estensione Chrome | Chrome Web Store | In arrivo (MIT, nella roadmap) |
| Estensione Firefox | Firefox Add-ons | In arrivo (MIT, nella roadmap) |
| App desktop (macOS, Windows) | Releases | In arrivo (MIT, nella roadmap) |
| Target di pratica InsecureShield (solo credenziali sintetiche) | secretsifter/insecureshield-demo | MIT |
Entrambe le edizioni Burp si compilano con ./gradlew shadowJar (Java 17+). Ogni cartella ha il proprio README con i passaggi di build e installazione.
Scansiona solo applicazioni di tua proprietà o che sei autorizzato a testare. Se trovi una credenziale attiva, segnalala affinché possa essere ruotata e non pubblicarne mai il valore.
Issue e pull request sono benvenute, in particolare nuove regole di rilevamento con casi di test sia per i veri positivi sia per i falsi positivi.
I contributi sono accettati secondo il Developer Certificate of Origin. Firma ogni commit con git commit -s.
Pagina del progetto: owasp.org/projects/secretsifter
Il codice sorgente è concesso in licenza MIT (vedi LICENSE). La documentazione è concessa in licenza CC BY-SA 4.0.
