Titus: Scanner di Segreti ad Alte Prestazioni

Titus è uno scanner di segreti ad alte prestazioni che rileva credenziali, chiavi API e token in codice sorgente, file e cronologia git. Include 487 regole di rilevamento che coprono centinaia di servizi e tipi di credenziali, tratte da NoseyParker e Kingfisher. Titus funziona come CLI, libreria Go, estensione per Burp Suite ed estensione per browser Chrome — tutte condividono lo stesso motore di rilevamento e lo stesso set di regole.

Progettato per ingegneri della sicurezza, penetration tester e team DevSecOps, Titus combina il matching regex accelerato da Hyperscan/Vectorscan con la validazione delle credenziali in tempo reale per trovare e verificare i segreti trapelati in tutto il tuo codebase.

Indice

• Perché Titus?
• Installazione
• Avvio Rapido
• Opzioni di Scansione
• Punteggio dei Risultati
• Libreria Go
• Estensione per Burp Suite
• Estensione per Browser
• Compilazione dal Sorgente
• Contribuire
• Licenza

Perché Titus?

• Scansione dei segreti veloce: matching regex accelerato da Hyperscan/Vectorscan quando disponibile, con un fallback in puro Go per la portabilità su qualsiasi piattaforma.
• Ampia copertura nel rilevamento delle credenziali: 487 regole rilevano chiavi API, token e credenziali per AWS, GCP, Azure, GitHub, Slack, database, sistemi CI/CD e centinaia di altri servizi.
• Validazione dei segreti in tempo reale: i segreti rilevati vengono verificati rispetto alle loro API di origine per confermare se sono attivi, riducendo i falsi positivi e dando priorità alla remediation.
• Punteggio di severità basato sul rischio: ogni risultato riceve un punteggio numerico (0–100) e un livello di severità (info → critical). I punteggi sono calibrati tramite metadati statici delle regole, contesto di accessibilità al codice e chiamate API in tempo reale che misurano il reale raggio d'impatto di una credenziale — così i risultati più pericolosi emergono sempre per primi.
• Scansione di immagini container: scansiona immagini Docker e OCI direttamente da qualsiasi registry, tarball o directory di layout OCI — senza bisogno del daemon o del binario Docker.
• Interfacce multiple per ogni flusso di lavoro: scansiona dalla CLI, integra come libreria Go, scansiona passivamente il traffico HTTP in Burp Suite o scansiona pagine web in Chrome durante i test di sicurezza delle applicazioni.
• Estrazione da file binari: estrai e scansiona segreti da documenti Office, PDF, archivi (zip, tar, 7z), app mobile (APK, IPA), estensioni per browser e altro ancora.

Installazione

Scarica un binario precompilato dalla pagina Releases oppure compila dal sorgente:```bash make build

Il binario sarà in `dist/titus`.

## Avvio rapido```bash
# Scan a file for secrets
titus scan path/to/file.txt

# Scan a directory for leaked credentials
titus scan path/to/directory

# Scan a public GitHub repository (no token needed)
titus scan github.com/org/repo

# Scan a public GitLab project (no token needed)
titus scan gitlab.com/namespace/project

# Scan git history for secrets in past commits
titus scan --git path/to/repo

# Scan a Docker / OCI image (pulled from a registry — no docker daemon required)
titus scan --docker alpine:latest

# Validate detected secrets against source APIs
titus scan path/to/code --validate

I risultati vengono scritti in un datastore (titus.ds per impostazione predefinita) e stampati sulla console.

Opzioni di scansione

Scansione di GitHub e GitLab

Scansiona i repository pubblici direttamente tramite URL — nessun token API richiesto:```bash

Scan a GitHub repository

titus scan github.com/kubernetes/kubernetes

Scan a GitLab project

titus scan gitlab.com/gitlab-org/cli

Full URLs work too

titus scan https://github.com/org/repo titus scan https://gitlab.com/namespace/project.git

Per la scansione a livello di organizzazione o di utente, utilizzare i sottocomandi dedicati:```bash
# Scan all public repos in a GitHub org
titus github --org kubernetes

# Scan all repos in a GitHub org with a token (private repos + higher rate limits)
titus github --org kubernetes --token $GITHUB_TOKEN

# Scan all repos for a GitHub user
titus github --user octocat

# Scan all projects in a GitLab group
titus gitlab scan --group mygroup --token $GITLAB_TOKEN

# Scan a single repo with git history (finds deleted secrets)
titus github owner/repo --git

I token sono opzionali per i repository pubblici. Imposta GITHUB_TOKEN o GITLAB_TOKEN (oppure usa --token) per l'accesso ai repository privati e limiti API più elevati.

Scansione di immagini Docker / OCI

Scansiona direttamente le immagini dei container — nessun daemon docker, nessun binario docker richiesto. Titus estrae le immagini direttamente da qualsiasi registry OCI tramite HTTPS (usando le credenziali da ~/.docker/config.json), oppure legge le immagini da un tarball locale docker save o da una directory di layout di immagini OCI. Successivamente scansiona i metadati del manifest/config dell'immagine e ogni file regolare in ogni layer, inclusi i file dei layer inferiori eliminati dai layer successivi (poiché i segreti possono rimanere recuperabili dalla cronologia dell'immagine).```bash

Pull from a registry and scan

titus scan --docker alpine:latest titus scan docker://ghcr.io/owner/repo:tag

Scan an image saved to a tarball:

docker save my-app:latest -o my-app.tar

podman save my-app:latest -o my-app.tar

titus scan --docker ./my-app.tar

Scan an OCI image layout directory:

docker buildx build --output type=oci,dest=./img/ .

skopeo copy docker://my-app:latest oci:./img:latest

titus scan --docker ./img/

L'autenticazione utilizza la tua configurazione Docker / Podman esistente (`~/.docker/config.json`, `${XDG_RUNTIME_DIR}/containers/auth.json`). I registry privati che richiedono un nuovo login devono prima essere autenticati con `docker login` (o `podman login`, o `crane auth login`) — titus non richiede le credenziali.

### Visualizzazione dei Risultati della Scansione

Usa `report` per rileggere i risultati di una scansione precedente:```bash
# Human-readable summary of detected secrets
titus report

# JSON output for programmatic processing
titus report --format json

# SARIF output for CI/CD integration with GitHub Advanced Security
titus report --format sarif

# Report from a specific datastore
titus report --datastore path/to/titus.ds

Puoi anche controllare il formato di output al momento della scansione con --format:```bash titus scan path/to/code --format json

### Convalida dei Segreti Rilevati