Repolode
Enviar
trufflesecurity

trufflesecurity/trufflehog

CLI que encontra credenciais vazadas em Git, armazenamento na nuvem, chats e outras fontes, e verifica se ainda estão ativas.

Alternativa open source a:GitGuardian

Ver no GitHubSite
Estrelas
28,583
Forks
2,650
Issues abertas
581
Último commit
há 19 horas

O que é?

O TruffleHog encontra segredos como chaves de API, senhas de bancos de dados e chaves privadas em diversos lugares, incluindo repositórios Git, plataformas de chat e wiki, logs, armazenamentos de objetos, sistemas de arquivos e imagens Docker. Ele classifica mais de 800 tipos de segredo pelo serviço a que pertencem, permitindo identificar uma string isolada como, por exemplo, uma chave da AWS ou do Stripe.

Para a maioria dos tipos de segredo, o TruffleHog faz login na API correspondente para confirmar se a credencial está ativa. Os resultados são classificados como verificados, não verificados ou desconhecidos, o que reduz os falsos positivos. Para cerca de 20 tipos comuns de credencial, ele também pode fazer uma análise mais aprofundada para mostrar quem criou um segredo e quais permissões ele concede.

Ele funciona como uma única ferramenta de linha de comando, instalável via Homebrew, Docker ou por meio de um binário, e pode ser integrado a pipelines de CI, GitHub Actions e hooks de pre-commit. A saída pode ser em texto simples, JSON ou SARIF.

Recursos principais

  • 01Faz varreduras em Git, GitHub, GitLab, S3, GCS, imagens Docker, sistemas de arquivos, Postman, Jenkins e muito mais
  • 02Classifica mais de 800 tipos de segredo pelo serviço a que pertencem
  • 03Verifica credenciais na API correspondente para mostrar se estão ativas
  • 04A análise mais aprofundada de cerca de 20 tipos comuns de credencial revela permissões e recursos
  • 05Gera saída em texto simples, JSON ou SARIF e oferece suporte a GitHub Actions e hooks de pre-commit

Casos de uso

  • Verificar repositórios Git e pull requests em busca de chaves incluídas por engano antes que vazem
  • Verificar buckets S3 ou GCS em busca de credenciais armazenadas em arquivos de configuração ou de dados
  • Bloquear segredos em pipelines de CI com a flag --fail
  • Auditar imagens Docker ou workspaces do Postman em busca de credenciais embutidas

Início rápido

  1. 1

    Instalar no macOS com Homebrew

    brew install trufflehog
  2. 2

    Verificar um repositório em busca apenas de secrets verificados

    trufflehog git https://github.com/trufflesecurity/test_keys --results=verified
  3. 3

    Verificar uma organização do GitHub em busca apenas de secrets verificados

    trufflehog github --org=trufflesecurity --results=verified

Antes de usar

  • Publicado sob a AGPL-3.0, uma licença copyleft que pode restringir o uso em produtos proprietários.
  • Alguns recursos avançados, como github-experimental object discovery, estão em versão alfa e podem mudar.

Tópicos

#secret-scanning#credentials#devsecops#security-tools#secret-management#precommit#dynamic-analysis#scanning#secret#secrets

Perguntas frequentes

O que é trufflehog?
CLI que encontra credenciais vazadas em Git, armazenamento na nuvem, chats e outras fontes, e verifica se ainda estão ativas. O TruffleHog encontra segredos como chaves de API, senhas de bancos de dados e chaves privadas em diversos lugares, incluindo repositórios Git, plataformas de chat e wiki, logs, armazenamentos de objetos, sistemas de arquivos e imagens Docker. Ele classifica mais de 800 tipos de segredo pelo serviço a que pertencem, permitindo identificar uma string isolada como, por exemplo, uma chave da AWS ou do Stripe.
trufflehog é gratuito? Qual é a licença?
trufflehog é open source sob a licença AGPL-3.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
trufflehog ainda é mantido?
Manutenção ativa. O último commit de trufflehog foi em 19 de out. de 2026.
Para que posso usar trufflehog?
Verificar repositórios Git e pull requests em busca de chaves incluídas por engano antes que vazem Verificar buckets S3 ou GCS em busca de credenciais armazenadas em arquivos de configuração ou de dados Bloquear segredos em pipelines de CI com a flag --fail Auditar imagens Docker ou workspaces do Postman em busca de credenciais embutidas
Como instalar trufflehog?
Instalar no macOS com Homebrew: brew install trufflehog Verificar um repositório em busca apenas de secrets verificados: trufflehog git https://github.com/trufflesecurity/test_keys --results=verified Verificar uma organização do GitHub em busca apenas de secrets verificados: trufflehog github --org=trufflesecurity --results=verified
Onde consigo trufflehog?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/trufflesecurity/trufflehog

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados