Waarom een weggehaalde sleutel een probleem blijft
Git bewaart elke versie van elk bestand. Haal je een sleutel uit de code, dan staat hij nog in de oudere commits, voor iedereen die de repository kan lezen of ooit kopieerde.
Daarom behandel je een sleutel die ooit in de code stond als gelekt. Alleen het bestand aanpassen is niet genoeg: de sleutel moet bij de aanbieder worden vervangen.
Wat de scan zoekt
Een erkende open-source scanner in een vaste versie, dus dezelfde code geeft altijd dezelfde uitkomst. In deze stap komt geen AI aan te pas.
- API-keys en tokens van bekende diensten, zoals cloudproviders en betaalproviders
- Wachtwoorden en verbindingsgegevens van databases in code of configuratie
- Privésleutels en certificaten die in de repository zijn beland
- Dezelfde patronen in de geschiedenis van je standaardbranch, ook in bestanden die allang weg zijn
Wat je terugkrijgt, en wat je zelf doet
Per vondst zie je waar het staat: het bestand, de regel en de commit. De waarde laten we nooit zien en sturen we nooit naar een AI-model. Bestanden zoals .env slaan we over.
We raden je aan de sleutel te vervangen. Dat doen wij niet: we repareren niets en komen niet bij je diensten. Jullie bepalen zelf wat je oplost en wanneer.
Waarom bij elke nieuwe versie
Met AI-assistenten gaat het schrijven snel, en bij snel werken belandt er sneller iets in een commit dat er niet hoort. Een scan eens per jaar vindt dat te laat. Bij doorlopende controles kijken we opnieuw zodra er nieuwe code is.