Credactor

Найди секрет. Исправь его. Коммить чисто.

Сканеры секретов хороши в том, чтобы бить тревогу, но почти не помогают её потушить. Они выдают список утекших учётных данных, а всю чистку оставляют вам. Credactor замыкает цикл: он находит жёстко закодированный секрет и перезаписывает его на месте, так что утечка превращается из обнаружения в исправление одной командой.

Хранение учётных данных в исходном коде — это базовая практика безопасности, а не опциональная. Credactor делает соблюдение этой практики дешёвым — на вашей машине перед коммитом или в CI перед слиянием. Запускайте его отдельно или вместе с уже используемыми сканерами.

# Credactor находит это:
db_password = "h8Tq2vKp9mRz4Wd"

# По умолчанию он перезаписывает секрет как страж, который громко падает во время выполнения:
db_password = "REDACTED_BY_CREDACTOR"

# С флагом --replace-with env он записывает ссылку, читающую из окружения:
db_password = os.environ["DB_PASSWORD"]

Редактирование перезаписывает файлы в вашем рабочем дереве. Если секрет уже был закоммичен, также отзовите ключ и очистите историю (например, с помощью git filter-repo). Перезапись файла не заменяет отзыв скомпрометированных учётных данных.

Зачем Credactor

• Редактирование, а не только обнаружение. Большинство сканеров останавливаются на находке. Credactor заменяет секрет на месте: громкий страж REDACTED_BY_CREDACTOR, который падает во время выполнения по умолчанию, или учитывающая язык ссылка на переменную окружения (Python, JavaScript/TypeScript, Go, Java/Kotlin, Ruby, PHP и shell) вида os.environ["KEY"]. Замена является валидным кодом. Если в файле ещё нет соответствующего импорта (например, import os), добавьте его.
• Безопасность по умолчанию. Атомарная запись, автоматические резервные копии .bak, защита от пересечения границ симлинков и прав доступа к файлам, полное маскирование секретов в каждом выводе. Если безопасную резервную копию записать невозможно, Credactor пропускает файл, а не перезаписывает вслепую; сбой во время записи оставляет оригинал нетронутым.
• Нулевые зависимости времени выполнения. Чистая стандартная библиотека Python 3.11+, плюс необязательное расширение для кодировок, отличных от UTF-8.
• Создан для конвейера. Вывод SARIF для GitHub Code Scanning, режим только для чтения --ci с точными кодами выхода, хук pre-commit (бета) и импорт отчётов Gitleaks или TruffleHog (БЕТА, и другие в разработке). Обнаруживайте с Gitleaks или TruffleHog, исправляйте с Credactor.

Установка

pip install credactor

Требуется Python 3.11+. Других зависимостей нет. Работает на Linux, macOS и Windows (протестировано в CI на Linux и Windows).

Из исходников:

git clone https://github.com/rxb06/credactor.git
cd credactor
pip install -e .

После этого credactor работает из любой директории.

Быстрый старт

Сначала выполните --dry-run и просмотрите результаты перед редактированием. Возможны ложные срабатывания, и при --fix-all ложное срабатывание будет перезаписано. Подавляйте заведомо безопасные значения с помощью # credactor:ignore или записи в .credactorignore.

credactor --dry-run .                 # сканировать, ничего не менять
credactor .                           # сканировать, затем редактировать интерактивно (y/n на каждую находку)
credactor --fix-all .                 # редактировать всё после одного подтверждения
credactor --fix-all --yes .           # редактировать неинтерактивно (CI / скрипты)
credactor --ci .                      # шлюз только для чтения: выход 1 при находках
credactor --replace-with env .        # редактировать в ссылки на переменные окружения вместо стража

Хук pre-commit (бета)

Интеграция хука находится в стадии бета. Перед тем как полагаться только на него, выполните credactor --dry-run . вручную.

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/rxb06/credactor
    rev: v2.5.0   # зафиксировать последний тег релиза
    hooks:
      - id: credactor

Обнаружение

Credactor обнаруживает типы учётных данных, которые утекают чаще всего, и присваивает каждому уровень серьёзности для быстрой сортировки.

Детерминированные токены провайдеров (префиксы выше) помечаются независимо от энтропии. Эвристические детекторы (JWT, строки подключения, hex, Base64) должны пройти порог энтропии. Отдельные hex- или Base64-строки помечаются только если они в кавычках. Незакавыченное значение с высокой энтропией обнаруживается только на переменной с именем, содержащим учётные данные, что исключает SHA коммитов и контрольные суммы. Полные правила обнаружения и серьёзности см. в Руководстве.

Встроенный набор правил Credactor уже, чем у специализированного сканера, и некоторые форматы провайдеров (например, SendGrid, Twilio и вебхуки Slack) не обнаруживаются. Его сила — в исправлении: используйте вместе с Gitleaks или TruffleHog для максимально широкого обнаружения или запускайте отдельно.

Используйте совместно с другим сканером, редактируйте всё (БЕТА)

Credactor работает сам по себе, но становится сильнее в компании. Уже используете Gitleaks или TruffleHog? Передайте их отчёт Credactor, и он отредактирует объединённый набор, удалив дубликаты с собственными находками (при совпадении побеждает более высокая серьёзность). Один проход исправления покрывает ваш скан и их:

gitleaks dir . -f json -r gitleaks.json
credactor --from-gitleaks gitleaks.json --fix-all --yes .

--from-gitleaks / --from-trufflehog (или таблица [ingest] в .credactor.toml) требуют указания целевой директории. См. Руководство по интеграции CI.

Дополнительные возможности

• Интерактивное или пакетное редактирование; пользовательская строка замены через --replacement; --scan-history для сканирования истории коммитов git
• Безопасные резервные копии: --secure-delete (перезапись и удаление .bak; повышает планку для случайного восстановления, но не является криминалистической гарантией) или --secure-backup-dir для хранения резервных копий вне репозитория
• Белые списки через # credactor:ignore и .credactorignore (глобусы, file:line, литералы значений)
• Конфигурация на репозиторий через .credactor.toml
• 29 типов исходных/конфигурационных/заметочных файлов «из коробки» (включая .txt); --scan-json для включения JSON; --fail-on-error для завершения с ошибкой, если файл не удаётся прочитать

Сканируемые типы файлов

.py .js .ts .jsx .tsx .sh .bash .env .cfg .ini .toml .yaml .yml .rb .go .java .php .cs .kt .tf .hcl .conf .config .properties .xml .pem .key .crt .txt

Плюс варианты .env.* / .env-* (.env.local, .env.production) и файлы SSH/приватных ключей (id_rsa, id_dsa, id_ecdsa, id_ed25519), все определяются по имени файла, а не по расширению. JSON исключён по умолчанию, так как ответы API дают высокий уровень ложных срабатываний; добавьте --scan-json для его включения. Файл, указанный непосредственно в командной строке, сканируется, даже если его расширение отсутствует в списке.

Коды завершения

Укрепление цепочки поставок

Инструмент безопасности должен быть безопасным не только при запуске, но и при установке. Конвейер сборки и выпуска Credactor укреплён от начала до конца; полные сведения в документе по безопасности.

• Нулевые зависимости времени выполнения. Обычная pip install credactor не загружает сторонних пакетов (только необязательное расширение [encoding]), так что проверять во время установки нечего.
• Хэш-закреплённый инструментарий. CI и сборки релизов используют lockfile с --require-hashes, включая сборочный бэкенд (python -m build --no-isolation с закреплённым setuptools), так что подделанная зависимость не пройдёт сборку.
• Побайтовая проверка артефактов на соответствие исходному коду. При каждом пуше и перед каждой публикацией scripts/audit_wheel.py сравнивает wheel и sdist с закоммиченным исходным кодом побайтово (sha256 против git HEAD); любой добавленный, отсутствующий или изменённый файл блокирует шлюз, поэтому шаг сборки не может незаметно внедрить код.
• SHA-закреплённый, минимально привилегированный CI. Действия GitHub Actions закреплены по SHA коммитов, а токены рабочих процессов остаются узкими — contents: read по умолчанию, id-token: write только для задания публикации.

Документация

Лицензия

Apache 2.0. См. LICENSE.