Skannige avalikku lehte 25 liiki lekkinud saladuste suhtes
Vibe coding’uga tehtud rakendused saadavad sageli võtmeid brauserisse. Sisestage ühe oma lehe aadress, siis loeb skanner selle lehe HTML-i ja lingitud skriptifailid ning otsib API-võtmeid, tokeneid ja andmebaasi URL-e, mida külastaja saaks kopeerida. Väärtused kuvatakse maskeerituna.
Tulemus
Mida see skannimine ei näe
Skanner loeb ainult faile, mille külastaja brauser lehelt alla laadib. See ei näe saladusi, mis jäävad serverisse, sisselogimise taga olevaid lehti, faile, mis laaditakse hiljem import() kaudu, ega source map’e. Puhas tulemus ei tõenda, et rakendus on turvaline.
Kõik 25 võtmetüüpi
20 neist on saladused, mis ei tohi kunagi brauserisse jõuda. 5 on meelega avalikud.
Avalikuks märgitud võtmed, näiteks Supabase anon key, Firebase apiKey või Stripe publishable key, on mõeldud brauseris olema. Need on turvalised ainult seni, kuni teie andmebaasireeglid kaitsevad nende taga olevaid andmeid.
| Võtmetüüp | ID | Raskusaste | Liik |
|---|---|---|---|
| OpenAI API-võti | openai-key | Kriitiline | Salajane |
| Anthropic API-võti | anthropic-key | Kriitiline | Salajane |
| Stripe live secret key | stripe-secret | Kriitiline | Salajane |
| Stripe test secret key | stripe-test-secret | Keskmine | Salajane |
| Stripe publishable key | stripe-publishable | Info | Meelega avalik |
| AWS access key id | aws-access-key | Kõrge | Salajane |
| AWS secret access key | aws-secret | Kriitiline | Salajane |
| GitHubi token | github-token | Kriitiline | Salajane |
| Google API võti | google-api-key | Info | Meelega avalik |
| Firebase web config apiKey | firebase-web-config | Info | Meelega avalik |
| Supabase service_role võti | supabase-service-role-jwt | Kriitiline | Salajane |
| Supabase anon key | supabase-anon-jwt | Info | Meelega avalik |
| JSON Web Token | jwt-other | Madal | Salajane |
| Supabase secret key | supabase-secret-key | Kriitiline | Salajane |
| Supabase publishable key | supabase-publishable-key | Info | Meelega avalik |
| Slacki token | slack-token | Kriitiline | Salajane |
| Slacki webhook URL | slack-webhook | Kõrge | Salajane |
| SendGridi API-võti | sendgrid-key | Kriitiline | Salajane |
| Twilio API key sid | twilio-key | Kõrge | Salajane |
| Mailguni API-võti | mailgun-key | Kõrge | Salajane |
| Privaatvõtme plokk | private-key-block | Kriitiline | Salajane |
| Parooliga andmebaasi URL | database-url | Kriitiline | Salajane |
| npm token | npm-token | Kriitiline | Salajane |
| Hugging Face token | huggingface-token | Kõrge | Salajane |
| Resendi API-võti | resend-key | Kõrge | Salajane |
Küsimused
Mida secret scanner loeb?
See loeb lehe HTML-i ja kuni 14 skriptifaili, millele leht viitab, kokku 3 MB, lehest esimesed 512 KB ja igast failist esimesed 1 MB. See otsib tuntud võtmevorminguid, näiteks API-võtmeid, juurdepääsutokeneid, privaatvõtme plokke ja parooliga andmebaasi URL-e.
Kus skannimine töötab ja kui kaua see kestab?
Skannimine töötab teie brauseris; meie server toob sellele ainult failid, üks päring faili kohta. Midagi ei salvestata. Aeglasel saidil võib skannimine kesta kuni umbes poolteist minutit.
Mida skanner ei näe?
Saladusi, mis on ainult serveris, sisselogimise taga olevaid lehti, chunke, mille leht laadib hiljem import() kaudu, ja source map’e. See ei saa ka öelda, kas leitud võti on veel aktiivne. Puhas tulemus ei tõenda, et rakendus on turvaline.
Miks on mõned võtmed märgitud meelega avalikuks?
Supabase anon- või publishable-võti, Firebase apiKey, Google API võti ja Stripe publishable key on tehtud brauserisse saatmiseks. Need tuvastavad teie projekti ja annavad ainult selle, mida teie andmebaasireeglid, API piirangud ja serverikontrollid lubavad. Neist teatatakse, et saaksite kinnitada nende reeglite olemasolu, mitte seetõttu, et võti ise oleks leke.
Mida teha, kui päris saladus lekib?
Roteerige see kõigepealt: looge teenusepakkujal uus võti ja tühistage vana. Seejärel viige uus võti serveri koodi või keskkonnamuutujatesse ja avaldage uuesti. Võtme koodist kustutamisest ei piisa, sest vana väärtus jääb varasematesse buildidesse, vahemäludesse ja giti ajalukku.
Miks vibe coding’uga tehtud rakendused nii sageli võtmeid lekitavad?
Kiiresti tehisintellekti tööriistadega kirjutatud kood kutsub sageli tasulist või privilegeeritud API-t otse brauserist ja võti satub skripti, mille iga külastaja alla laadib. Vibe coding’u turvalisus algab sellest, et sellised kutsed hoitakse serveris.