La détection de secrets analyse votre code à la recherche de clés API, mots de passe, tokens et identifiants exposés. Les secrets divulgués peuvent donner aux attaquants un accès direct à vos systèmes, entraînant des fuites de données ou une utilisation abusive coûteuse du cloud. Même une seule clé AWS dans un dépôt peut être exploitée. Le scan de secrets aide à détecter ces problèmes avant qu'ils ne soient poussés ou fusionnés, protégeant ainsi votre infrastructure contre tout accès non autorisé.

Aikido scanne votre code et vos fichiers de configuration à la recherche de schémas de secrets connus et de chaînes à haute entropie. Il détecte les clés API, les tokens, les clés privées, les identifiants de base de données et bien plus encore. En utilisant la correspondance de motifs, l'analyse d'entropie et la logique de validation, il identifie les vrais secrets tout en minimisant les fausses alertes. Il signale tout élément suffisamment sensible pour être dangereux s'il est exposé.

Par défaut, Aikido scanne le code actuel, mais il peut également analyser l'historique Git complet pour détecter les secrets exposés dans d'anciens commits. L'analyse historique est facultative et configurable – idéale pour détecter les secrets qui ont été ajoutés et supprimés mais qui restent accessibles dans l'historique du dépôt.

Vous pouvez intégrer Aikido dans les pipelines CI, bloquant les builds ou les PRs contenant des secrets détectés. Il prend également en charge les extensions IDE et les hooks de pré-commit pour un feedback en temps réel pendant le développement. Cela garantit que la détection des secrets se produit automatiquement – avant que les secrets n'atteignent les branches de production.

Aikido est optimisé pour réduire les faux positifs. Il évite de signaler les clés publiques connues (par exemple, les clés publiables Stripe) et filtre les valeurs de test ou les données aléatoires. Lorsque cela est possible, il vérifie la validité des secrets avant de déclencher des alertes, de sorte que les résultats que vous obtenez sont pertinents et exploitables.

Oui. Vous pouvez ajouter des règles d'ignorance, des motifs ou des annotations pour empêcher Aikido de signaler les valeurs de test connues. Vous pouvez également marquer les découvertes comme « ne sera pas corrigé » ou sûres dans le tableau de bord. Ce réglage aide à réduire la fatigue liée aux alertes et vous permet de contrôler ce qui est signalé.

Aikido vous alerte immédiatement et peut bloquer le commit ou le build (s'il est intégré à la CI). Il affiche le fichier, la ligne et le type de clé, et recommande de révoquer le secret. Bien qu'Aikido ne révoque pas directement les clés, il met en évidence les identifiants actifs et vous guide sur les étapes à suivre.

Aikido offre une qualité de détection comparable à GitGuardian/Gitleaks mais intègre l'analyse des secrets dans une plateforme de sécurité plus large. Il réduit le bruit grâce à un triage contextuel et unifie les alertes à travers le code, le cloud, l'IaC et les secrets. C'est un seul outil pour tous les risques – sans jongler avec plusieurs plateformes.

Oui, il scanne tous les fichiers texte – code, YAML, JSON, fichiers .env, Terraform, messages de commit, et plus encore. Les secrets se cachent souvent dans les configurations ou les manifestes, et Aikido les vérifie tous pour détecter les fuites accidentelles où qu'elles apparaissent.

Aikido complète l'analyse et les hooks GitHub avec une couverture plus large (support multi-plateforme), une alerte centralisée et un contexte plus approfondi. Il ne dépend pas de la configuration de développement, réduit les faux positifs et détecte les secrets sur tous les dépôts – même si les hooks sont contournés. Il ajoute une protection multicouche et une meilleure visibilité.