Secretlint

Secretlint é uma ferramenta de linting plugável para evitar o commit de credenciais.

Recursos

• Scanner: Encontre credenciais em um projeto e reporte-as
• Amigável a Projetos: Fácil de configurar em seu projeto e integrar com serviços de CI
• Pre-Commit Hook: Evite o commit de arquivos de credenciais
• Plugável: Permite criar regras personalizadas e configuração flexível
• Documentação: Descreve o motivo pelo qual a regra detecta algo como segredo

Demonstração Rápida

Você pode visualizar o resultado do linting do secretlint em https://secretlint.github.io/.

Início Rápido

Você pode experimentar o Secretlint em seu projeto com um único comando.

Se você já tem o Docker instalado:

docker run -v `pwd`:`pwd` -w `pwd` --rm -it secretlint/secretlint secretlint "**/*"

Se você já tem o Node.js instalado:

npx @secretlint/quick-start "**/*"

Após a execução, Se você obteve um resultado vazio e o status de saída é 0, seu projeto está seguro. Caso contrário, você obteve algum relatório de erro, seu projeto contém credenciais como dados brutos.

Se você deseja obter segurança contínua, consulte o guia de instalação a seguir e configure o pre-commit hook e o CI.

Instalação

Usando Docker

Pré-requisitos: Requer Docker

Use nosso contêiner Docker para obter um ambiente com Node.js e secretlint em execução o mais rápido que você puder baixá-los.

Você pode verificar todos os arquivos no diretório atual com o secretlint usando o seguinte comando:

docker run -v `pwd`:`pwd` -w `pwd` --rm -it secretlint/secretlint secretlint "**/*"

O contêiner Docker secretlint/secretlint funciona sem configuração por design.

Esta imagem Docker possui pacotes integrados:

• @secretlint/secretlint-rule-preset-recommend
• @secretlint/secretlint-rule-pattern
• @secretlint/secretlint-formatter-sarif

Para mais detalhes, consulte o Dockerfile do secretlint.

Usando Node.js

Pré-requisitos: Requer Node.js 22+.

O Secretlint é escrito em JavaScript. Você pode instalar o Secretlint usando o npm:

npm install secretlint @secretlint/secretlint-rule-preset-recommend --save-dev

Em seguida, você deve criar um arquivo de configuração:

npx secretlint --init

Por fim, você pode executar o Secretlint em qualquer arquivo ou diretório assim:

npx secretlint "**/*"

📝 O Secretlint suporta glob pattern e o glob pattern deve ser envolvido por aspas duplas.

Também é possível instalar o Secretlint globalmente usando npm install --global. Mas não recomendamos, pois algumas regras podem quebrar globalmente.

Usando Binário Executável Único

Pré-requisitos: Nenhum

Você pode usar o comando secretlint sem Node.js usando um binário executável único.

1. Baixe o binário mais recente na página de Releases
2. Altere a permissão do arquivo para executável: chmod +x ./secretlint
3. Execute ./secretlint --init para criar um arquivo de configuração
4. Execute ./secretlint "**/*" para fazer lint do seu projeto

Para mais detalhes, consulte o README de publish/binary-compiler.

Uso

secretlint --help mostra o Uso.

Secretlint CLI that scan secret/credential data.

Usage
$ secretlint [file|glob*]

Note
supported glob syntax is based on picomatch (the engine used by micromatch)
https://github.com/micromatch/picomatch#globbing-features
https://github.com/micromatch/micromatch#matching-features

Options
--init             setup config file. Create .secretlintrc.json file from your package.json
--format           [String] formatter name. Default: "stylish". Available Formatter: checkstyle, compact, github, jslint-xml, junit, pretty-error, stylish, tap, unix, json, mask-result, table
--output           [path:String] output file path that is written of reported result.
--secretlintrc     [path:String] path to .secretlintrc config file. Default: .secretlintrc.*
--secretlintignore [path:String] path to .secretlintignore file. Default: .secretlintignore
--stdinFileName    [String] filename to process STDIN content. Some rules depend on filename to check content.
--no-color         disable ANSI-color of output.
--no-terminalLink  disable terminalLink of output.
--no-maskSecrets   disable masking of secret values; secrets are masked by default.
--no-glob          disable glob pattern interpretation; treat all inputs as literal file paths.
--no-gitignore     disable .gitignore cascade respect; .gitignore files are
                   respected by default (since v13).

Options for Developer
--profile          Enable performance profile.
--secretlintrcJSON [String] a JSON string of .secretlintrc. use JSON string instead of rc file.

Experimental Options
--locale            [String] locale tag for translating message. Default: en

Examples
# Scan a single file
$ secretlint ./README.md

# Scan all files (wrap glob in double quotes to avoid shell expansion)
$ secretlint "**/*"
$ secretlint "source/**/*.ini"

# Treat inputs as literal paths (for SvelteKit (group) / Next.js [param] etc.)
$ secretlint --no-glob "src/(auth)/login.ts"

# Lint STDIN content (filename hint affects which rules apply)
$ echo "SECRET" | secretlint --stdinFileName=secret.txt

# Use a custom config file
$ secretlint "**/*" --secretlintrc=.secretlintrc.custom.json

# Scan files ignored by .gitignore (e.g. to verify build artifacts)
$ secretlint --no-gitignore "dist/**/*"

# Mask secrets in a file in-place
$ secretlint .zsh_history --format=mask-result --output=.zsh_history

# Output JSON for programmatic parsing
$ secretlint "**/*" --format=json --output=secretlint-report.json

# Output GitHub Actions annotations in CI
$ secretlint "**/*" --format=github

Exit Status
Secretlint exits with the following values:

    - 0:
      - Linting succeeded, no errors found.
      - Found only "warning" or "info" severity messages.
      - Found lint error but --output is specified.
    - 1:
      - Linting failed, errors found.
    - 2:
      - Unexpected error occurred, fatal error.

Configuração

O Secretlint possui um arquivo de configuração .secretlintrc.{json,yml,js}.

• Documento: Configurando o Secretlint

Depois de executar secretlint --init, você terá um arquivo .secretlintrc.json no seu diretório.

Nele, você verá algumas regras configuradas assim:

{
  "rules": [
    {
      "id": "@secretlint/secretlint-rule-preset-recommend"
    }
  ]
}

A propriedade id é o nome do pacote de regras do secretlint.