trufflehog は無料で使えますか？ライセンスは？

trufflehog は AGPL-3.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

trufflehog は今もメンテナンスされていますか？

活発にメンテナンス中。trufflehog の最終コミットは 2026年10月19日です。

trufflehog は何に使えますか？

Gitリポジトリやプルリクエストをスキャンし、キーが漏えいする前に誤ってコミットされたものを検出する S3やGCSのバケットを調べ、設定ファイルやデータファイルに保存された認証情報を確認する --failフラグを使って、CIパイプラインでシークレットをブロックする DockerイメージやPostmanワークスペースを監査し、埋め込まれた認証情報を検出する

trufflehog のインストール方法は？

HomebrewでmacOSにインストール: brew install trufflehog 検証済みのシークレットのみをリポジトリでスキャン: trufflehog git https://github.com/trufflesecurity/test_keys --results=verified 検証済みのシークレットのみをGitHub組織でスキャン: trufflehog github --org=trufflesecurity --results=verified

trufflehog はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/trufflesecurity/trufflehog

trufflesecurity/trufflehog

Q: trufflehog は今もメンテナンスされていますか？

活発にメンテナンス中。trufflehog の最終コミットは 2026年10月19日 です。

Gitやクラウドストレージ、チャットなどに漏えいした認証情報を見つけ、現在も有効か確認するCLI。

代替できる製品:GitGuardian

GitHub で見る公式サイト

スター: 28,583
フォーク: 2,650
未解決の Issue: 581
最終コミット: 22 時間前

これは何？

TruffleHogは、APIキー、データベースのパスワード、秘密鍵などのシークレットを、Gitリポジトリ、チャットやWikiのプラットフォーム、ログ、オブジェクトストア、ファイルシステム、Dockerイメージなど、さまざまな場所から検出します。800種類以上のシークレットを関連するサービスごとに分類するため、単なる文字列も、たとえばAWSやStripeのキーとして特定できます。

多くの種類のシークレットについて、TruffleHogは該当するAPIにログインし、認証情報が現在も有効かを確認します。結果はverified、unverified、unknownとして報告され、誤検知を減らせます。また、よく使われる約20種類の認証情報では、より詳細な分析を実行し、シークレットを作成したユーザーや、そのシークレットに付与された権限を確認できます。

単一のコマンドラインツールとして動作し、Homebrew、Docker、バイナリリリースからインストールできます。CIパイプライン、GitHub Actions、pre-commitフックにも組み込めます。出力形式はプレーンテキスト、JSON、SARIFに対応しています。

主な機能

01Git、GitHub、GitLab、S3、GCS、Dockerイメージ、ファイルシステム、Postman、Jenkinsなどをスキャン
02800種類以上のシークレットを関連するサービスごとに分類
03該当するAPIで認証情報を検証し、現在も有効かを確認
04よく使われる約20種類の認証情報を詳細に分析し、権限やリソースを明らかにする
05プレーンテキスト、JSON、SARIFで出力でき、GitHub Actionsとpre-commitフックに対応

ユースケース

Gitリポジトリやプルリクエストをスキャンし、キーが漏えいする前に誤ってコミットされたものを検出する
S3やGCSのバケットを調べ、設定ファイルやデータファイルに保存された認証情報を確認する
--failフラグを使って、CIパイプラインでシークレットをブロックする
DockerイメージやPostmanワークスペースを監査し、埋め込まれた認証情報を検出する

クイックスタート

1
HomebrewでmacOSにインストール
brew install trufflehog
2
検証済みのシークレットのみをリポジトリでスキャン
trufflehog git https://github.com/trufflesecurity/test_keys --results=verified
3
検証済みのシークレットのみをGitHub組織でスキャン
trufflehog github --org=trufflesecurity --results=verified

使う前に知っておきたいこと

AGPL-3.0の下で公開されています。コピーレフトライセンスのため、プロプライエタリ製品での使用が制限される場合があります。
github-experimental object discoveryなど、一部の高度な機能はアルファ版であり、変更される可能性があります。

トピック

#secret-scanning #credentials #devsecops #security-tools #secret-management #precommit #dynamic-analysis #scanning #secret #secrets

よくある質問

trufflehog とは？: Gitやクラウドストレージ、チャットなどに漏えいした認証情報を見つけ、現在も有効か確認するCLI。 TruffleHogは、APIキー、データベースのパスワード、秘密鍵などのシークレットを、Gitリポジトリ、チャットやWikiのプラットフォーム、ログ、オブジェクトストア、ファイルシステム、Dockerイメージなど、さまざまな場所から検出します。800種類以上のシークレットを関連するサービスごとに分類するため、単なる文字列も、たとえばAWSやStripeのキーとして特定できます。
trufflehog は無料で使えますか？ライセンスは？: trufflehog は AGPL-3.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
trufflehog は今もメンテナンスされていますか？: 活発にメンテナンス中。trufflehog の最終コミットは 2026年10月19日です。
trufflehog は何に使えますか？: Gitリポジトリやプルリクエストをスキャンし、キーが漏えいする前に誤ってコミットされたものを検出する S3やGCSのバケットを調べ、設定ファイルやデータファイルに保存された認証情報を確認する --failフラグを使って、CIパイプラインでシークレットをブロックする DockerイメージやPostmanワークスペースを監査し、埋め込まれた認証情報を検出する
trufflehog のインストール方法は？: HomebrewでmacOSにインストール: brew install trufflehog 検証済みのシークレットのみをリポジトリでスキャン: trufflehog git https://github.com/trufflesecurity/test_keys --results=verified 検証済みのシークレットのみをGitHub組織でスキャン: trufflehog github --org=trufflesecurity --results=verified
trufflehog はどこで入手できますか？: ソースコードとインストール手順は GitHub にあります：https://github.com/trufflesecurity/trufflehog

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。