Araç ne sağlar?
Kurallar üzerinden şüpheli değerler belirlenir. Geçmiş commit'ler, güncel dosyalar ve CI kullanımı farklı kapsamlar oluşturur. Yanlış pozitif istisnaları dar tutulmalıdır.
Uygulamada nasıl değerlendirilir?
Mobil uygulamaya eklenmiş bir servis anahtarı bulunursa yalnızca satırı silmek yerine anahtarı iptal veya döndürme sürecine alın.
Sınırlar ve yaygın hatalar
Depodan silinen sır geçmişte veya dağıtılan pakette kalmış olabilir. Tarama temizliği sızıntının etkisini geri almaz.
Kontrol listesi
- Git geçmişini inceleyin
- Anahtarı döndürün
- İstisnayı süreli tutun
Karar verirken
Gitleaks bulgusunu kod temizliğiyle sınırlamayın; kimlik bilgisinin yaşam döngüsünü tamamlayın.
Sır bulunduğunda doğru sonraki adım
Depoda bir sır bulunması durumunda yalnızca satırı silmek yeterli olmayabilir. Sırın geçerliliği, erişim kapsamı ve geçmişte nerelere yayıldığı değerlendirilir. Gerekiyorsa kimlik bilgisi iptal edilir ve yenilenir.
İstisna kuralı geniş tutulursa gerçek sızıntılar gizlenebilir. Örnek veri ile üretim sırrı açık ayrılır. Tarama sonucu raporunda sırın kendisini tekrar yayımlamak yerine güvenli tanımlayıcı ve konum bilgisi kullanılmalıdır.
İlgili rehberler: TruffleHog ile sır keşfi ve doğrulama, Mobil uygulamaya sır dağıtımı tasarımı.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.