Detecte Secrets Vazados Antes que Hackers Façam

A detecção de Secrets verifica seu código em busca de chaves de API expostas, senhas, tokens e credenciais. Secrets vazados podem dar aos atacantes acesso direto aos seus sistemas, levando a violações de dados ou uso indevido custoso da Cloud. Mesmo uma única chave AWS em um repositório pode ser explorada. A varredura de Secrets ajuda a identificar esses problemas antes que sejam enviados ou mesclados, protegendo sua infraestrutura contra acesso não autorizado.

O Aikido escaneia seu código e arquivos de configuração em busca de padrões de Secrets conhecidos e strings de alta entropia. Ele detecta chaves de API, tokens, chaves privadas, credenciais de banco de dados e muito mais. Usando correspondência de padrões, análise de entropia e lógica de validação, ele identifica Secrets reais, minimizando falsos alarmes. Ele sinaliza qualquer coisa sensível o suficiente para ser perigosa se exposta.

Por padrão, o Aikido escaneia o código atual, mas também pode escanear o histórico completo do Git para capturar Secrets expostos em commits antigos. O escaneamento histórico é opcional e configurável – ideal para detectar Secrets que foram adicionados e removidos, mas ainda acessíveis no histórico do repositório.

Você pode integrar o Aikido em pipelines de CI, bloqueando builds ou PRs com Secrets detectados. Ele também oferece suporte a extensões de IDE e hooks de pré-commit para feedback em tempo real durante o desenvolvimento. Isso garante que a detecção de Secrets ocorra automaticamente – antes que os Secrets cheguem aos branches de produção.

O Aikido é otimizado para reduzir falsos positivos. Ele evita sinalizar chaves públicas conhecidas (por exemplo, chaves publicáveis do Stripe) e filtra valores de teste ou dados aleatórios. Quando possível, ele verifica a validade dos Secrets antes de gerar alertas, para que os resultados obtidos sejam relevantes e acionáveis.

Sim. Você pode adicionar regras de ignorar, padrões ou anotações para evitar que o Aikido sinalize valores de teste conhecidos. Você também pode marcar as descobertas como "não será corrigido" ou seguras no dashboard. Esse ajuste ajuda a reduzir a fadiga de alertas e permite controlar o que é sinalizado.

O Aikido alerta você imediatamente e pode bloquear o commit ou build (se integrado à CI). Ele mostra o arquivo, a linha e o tipo de chave, e recomenda a revogação do Secret. Embora o Aikido não revogue chaves diretamente, ele destaca credenciais ativas e o orienta sobre o que fazer a seguir.

Aikido qualidade de detecção equivalente à GitGuardian, mas integra a verificação de segredos numa plataforma de segurança mais ampla. Reduz o ruído com triagem contextual e unifica alertas em código, nuvem, IaC e secrets. É uma ferramenta para todos os riscos, sem necessidade de alternar entre várias plataformas.

Sim, ele escaneia todos os arquivos de texto – código, YAML, JSON, arquivos .env, Terraform, mensagens de commit e muito mais. Secrets frequentemente se escondem em configurações ou manifestos, e o Aikido verifica todos eles para capturar vazamentos acidentais onde quer que apareçam.

O Aikido complementa o escaneamento e os hooks do GitHub com cobertura mais ampla (suporte multiplataforma), alertas centralizados e contexto mais profundo. Ele não depende da configuração de desenvolvimento, reduz falsos positivos e captura Secrets em todos os repositórios – mesmo que os hooks sejam ignorados. Ele adiciona proteção em camadas e melhor visibilidade.