trufflesecurity/trufflehog

Что это?

Ключевые возможности

• 01Сканирует Git, GitHub, GitLab, S3, GCS, образы Docker, файловые системы, Postman, Jenkins и другие источники
• 02Распознаёт более 800 типов секретов и определяет, к каким сервисам они относятся
• 03Проверяет учётные данные через соответствующий API, чтобы выяснить, действительны ли они
• 04Глубокий анализ примерно 20 распространённых типов учётных данных показывает права и ресурсы
• 05Выводит результаты в обычном текстовом формате, JSON или SARIF; поддерживает GitHub Actions и pre-commit-хуки

Сценарии использования

• Сканировать репозитории Git и pull request’ы, чтобы обнаружить случайно закоммиченные ключи до того, как они утекут
• Проверять бакеты S3 или GCS на наличие учётных данных в файлах конфигурации или данных
• Блокировать секреты в CI-пайплайнах с помощью флага --fail
• Проверять образы Docker или рабочие пространства Postman на наличие встроенных учётных данных

Быстрый старт

1. 1

   Установить на macOS с помощью Homebrew

   brew install trufflehog
2. 2

   Проверить репозиторий на наличие только подтверждённых секретов

   trufflehog git https://github.com/trufflesecurity/test_keys --results=verified
3. 3

   Проверить организацию GitHub на наличие только подтверждённых секретов

   trufflehog github --org=trufflesecurity --results=verified

Что важно знать

• !Выпускается под лицензией AGPL-3.0 — лицензией с авторским левом, которая может ограничивать использование в проприетарных продуктах.
• !Некоторые расширенные функции, например github-experimental object discovery, находятся в альфа-версии и могут измениться.

Темы

Частые вопросы

Что такое trufflehog?

CLI для поиска утёкших учётных данных в Git, облачных хранилищах, чатах и других источниках с проверкой их актуальности. TruffleHog находит секреты — например, API-ключи, пароли баз данных и приватные ключи — в самых разных местах: репозиториях Git, чатах и вики-платформах, логах, объектных хранилищах, файловых системах и образах Docker. Он распознаёт более 800 типов секретов и определяет, к какому сервису они относятся: например, может распознать в обычной строке ключ AWS или Stripe.

trufflehog можно использовать бесплатно? Какая у него лицензия?

trufflehog распространяется с открытым исходным кодом под лицензией AGPL-3.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.

trufflehog всё ещё поддерживается?

Активно поддерживается. Последний коммит в trufflehog — 19 окт. 2026 г..

Для чего можно использовать trufflehog?

Сканировать репозитории Git и pull request’ы, чтобы обнаружить случайно закоммиченные ключи до того, как они утекут Проверять бакеты S3 или GCS на наличие учётных данных в файлах конфигурации или данных Блокировать секреты в CI-пайплайнах с помощью флага --fail Проверять образы Docker или рабочие пространства Postman на наличие встроенных учётных данных

Как установить trufflehog?

Установить на macOS с помощью Homebrew: brew install trufflehog Проверить репозиторий на наличие только подтверждённых секретов: trufflehog git https://github.com/trufflesecurity/test_keys --results=verified Проверить организацию GitHub на наличие только подтверждённых секретов: trufflehog github --org=trufflesecurity --results=verified

Где скачать trufflehog?

Исходный код и инструкции по установке — на GitHub: https://github.com/trufflesecurity/trufflehog