Credactor

シークレットを見つけて、修正し、クリーンな状態でコミットしましょう。

シークレットスキャナーは警報を鳴らすのは得意ですが、その後の消火にはあまり役に立ちません。漏洩した認証情報のリストを手渡して、後始末はあなた任せです。Credactor はそのループを閉じます。ハードコードされたシークレットを見つけ、その場で書き換えるため、漏洩が検出から修正まで一つのコマンドで完了します。

認証情報をソースコードから排除することは、基本中の基本のセキュリティ対策であり、オプションではありません。Credactor はその基本をコスト安く維持できるようにします。コミット前の自分のマシンでも、マージ前の CI でも実行できます。単独で動かすことも、すでに信頼しているスキャナーと併用することも可能です。

# Credactor はこれを見つけます:
db_password = "h8Tq2vKp9mRz4Wd"

# デフォルトでは、シークレットを実行時に大声で失敗するセンチネルに書き換えます:
db_password = "REDACTED_BY_CREDACTOR"

# --replace-with env を使うと、環境変数を読み取る参照を書き込みます:
db_password = os.environ["DB_PASSWORD"]

編集は ワーキングツリー 内のファイルを書き換えます。シークレットがすでにコミットされている場合は、キーをローテーションし、履歴もスクラブしてください（例：git filter-repo を使用）。ファイルの書き換えは、漏洩した認証情報を無効化する代わりにはなりません。

Credactor の特長

• 検出だけでなく編集も行います。 ほとんどのスキャナーは発見で止まります。Credactor はその場でシークレットを置き換えます。デフォルトでは実行時に失敗する REDACTED_BY_CREDACTOR というセンチネル、あるいは言語に応じた環境変数参照（Python、JavaScript/TypeScript、Go、Java/Kotlin、Ruby、PHP、シェル）例えば os.environ["KEY"] に置き換えます。置き換え後のコードは有効です。ファイルに該当する import（例：import os）がまだ含まれていない場合は、追加してください。
• デフォルトで安全です。 アトミック書き込み、自動 .bak バックアップ、シンボリックリンク境界とファイルパーミッションのガード、すべての出力における完全なシークレットマスキング。安全なバックアップが書き込めない場合は、ファイルを盲目的に書き換えるのではなくスキップし、書き込み中のクラッシュでも元のファイルはそのまま残ります。
• ゼロランタイム依存関係。 純粋な Python 3.11+ 標準ライブラリ、非 UTF-8 エンコーディング用のオプションの追加パッケージのみ。
• パイプライン向けに設計されています。 GitHub Code Scanning 用の SARIF 出力、精密な終了コードを備えた読み取り専用の --ci ゲート、pre-commit フック（ベータ版）、Gitleaks または TruffleHog レポートの取り込み（ベータ版、さらに追加予定）。Gitleaks や TruffleHog で検出し、Credactor で修復します。

インストール

pip install credactor

Python 3.11+ が必要です。その他の依存関係はありません。Linux、macOS、Windows で動作します（CI テストは Linux と Windows で実施）。

ソースからインストールする場合:

git clone https://github.com/rxb06/credactor.git
cd credactor
pip install -e .

その後、任意のディレクトリから credactor が使用できるようになります。

クイックスタート

編集する前に、まず --dry-run を実行して結果を確認してください。誤検知が発生する可能性があり、--fix-all を使用すると誤検知も書き換えられてしまいます。既知の安全な値は # credactor:ignore または .credactorignore エントリで抑制してください。

credactor --dry-run .                 # スキャンのみ、変更なし
credactor .                           # スキャン後、対話的に編集（発見ごとに y/n）
credactor --fix-all .                 # 1回の確認後、すべて編集
credactor --fix-all --yes .           # 非対話的に編集（CI / スクリプト向け）
credactor --ci .                      # 読み取り専用ゲート：発見があると終了コード1
credactor --replace-with env .        # センチネルの代わりに環境変数参照に編集

Pre-commit フック（ベータ版）

フックの統合はベータ版です。信用する前に手動で credactor --dry-run . を実行してください。

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/rxb06/credactor
    rev: v2.5.0   # 最新のリリースタグに固定
    hooks:
      - id: credactor

検出

Credactor は最も頻繁に漏洩する認証情報の種類を検出し、それぞれに重要度を割り当ててひと目でトリアージできるようにします。

決定論的なプロバイダートークン（上記の接頭辞）は、エントロピーに関係なくフラグが立てられます。ヒューリスティック検出器（JWT、接続文字列、16進数、Base64）は、エントロピーの下限をクリアする必要があります。単独の16進数またはBase64は、引用符で囲まれている場合のみフラグが立てられます。引用符で囲まれていない高エントロピー値は、認証情報という名前の変数でのみ捕捉され、これにより git SHA やチェックサムは除外されます。完全な検出ルールと重要度については、マニュアル を参照してください。

Credactor のネイティブルールセットは専用のスキャナーよりも狭く、一部のプロバイダー形式（例：SendGrid、Twilio、Slack ウェブフック）は検出されません。その強みは修復にあります。最も広範な検出のために Gitleaks または TruffleHog と組み合わせるか、単独で実行してください。

別のスキャナーと組み合わせて一括編集（ベータ版）

Credactor は単独でも動作しますが、他のツールと組み合わせることでさらに強力になります。すでに Gitleaks または TruffleHog を実行していますか？そのレポートを Credactor に渡すと、Credactor はそれらの結果を統合し、自身の発見結果と重複排除した上で編集します（重複時は重要度の高い方が優先されます）。1回の修復パスで、あなたのスキャン結果とそれらの結果の両方をカバーします：

gitleaks dir . -f json -r gitleaks.json
credactor --from-gitleaks gitleaks.json --fix-all --yes .

--from-gitleaks / --from-trufflehog（または .credactor.toml の [ingest] テーブル）にはディレクトリターゲットが必要です。CI 統合ガイド を参照してください。

その他の機能

• 対話型またはバッチ編集。カスタム置換文字列は --replacement で指定。--scan-history で git コミット履歴をスキャン。
• 安全なバックアップ: --secure-delete（.bak ファイルを上書きして削除; カジュアルな復元を防ぐためのものであり、フォレンジック保証はありません）、または --secure-backup-dir でリポジトリ外にバックアップを保存。
• インライン # credactor:ignore および .credactorignore による許可リスト（グロブ、file:line、値リテラル）。
• リポジトリごとの設定を .credactor.toml で管理。
• 標準で29種類のソース/設定/ノートファイルタイプ（.txt を含む）に対応。--scan-json で JSON を含める。--fail-on-error で読み取り不可ファイルがある場合に失敗。

スキャン対象ファイルタイプ

.py .js .ts .jsx .tsx .sh .bash .env .cfg .ini .toml .yaml .yml .rb .go .java

さらに .env.* / .env-* 形式（.env.local、.env.production）および SSH / 秘密鍵ファイル（id_rsa、id_dsa、id_ecdsa、id_ed25519）は、拡張子ではなくファイル名でマッチします。JSON はデフォルトで除外されます（API レスポンスが多くの誤検知を生むため）。含めるには --scan-json を追加してください。コマンドラインで直接指定されたファイルは、その拡張子がリストになくてもスキャンされます。

終了コード

サプライチェーンの強化

セキュリティツールは、実行時に安全であるだけでなく、インストール時にも安全であるべきです。Credactor のビルドとリリースパイプラインはエンドツーエンドで強化されています。詳細は セキュリティ文書 を参照してください。

• ゼロランタイム依存関係。 デフォルトの pip install credactor はサードパーティパッケージを一切引き込みません（オプションの [encoding] 追加パッケージを除く）。そのため、インストール時に調査すべきものはありません。
• ハッシュピン留めされたツールチェーン。 CI とリリースビルドは --require-hashes ロックファイルからインストールされ、ビルドバックエンドも含めて（ピン留めされた setuptools に対して python -m build --no-isolation を使用）、改変された依存関係はビルドを失敗させます。
• 成果物はソースとバイトレベルで検証されます。 プッシュのたび、公開のたびに、scripts/audit_wheel.py がホイールと sdist をコミットされたソースとバイト単位で比較します（sha256 vs git HEAD）。追加、欠落、変更されたファイルがあるとゲートが失敗するため、ビルドステップでコードが密かに注入されることはありません。
• SHA ピン留め、最小権限の CI。 GitHub Actions はコミット SHA にピン留めされ、ワークフロートークンは狭い範囲に保たれています。デフォルトでは contents: read、公開ジョブでのみ id-token: write です。

ドキュメント

ライセンス

Apache 2.0。 LICENSE を参照してください。