Lösung / Code Exposure

Code-Exposure-Erkennung in öffentlichem Code und in den Repositorys Ihrer Entwickler

Wir durchsuchen GitHub, GitLab, Gists, Postman und über 50 weitere Websites per Google Dorking nach Ihrer Domäne, Ihrer Marke und Ihren internen Bezeichnungen. Jeder Befund erhält einen Risikowert und einen Hinweis, was zu tun ist.

Kostenlos testen So funktioniert es
  • Kein Zugriff auf Ihre Repositorys nötig
  • Ein Keyword zählt einmal, über alle Quellen hinweg
  • Konstantes Monitoring, mit API und webhooks
  • northwind-example: 31 Repositories gescannt, 12 Contributors, 4 Secrets gefunden.
  • ana-example/dotfiles, .env.backup (GitHub): Datenbank-URL, Risiko 10/10, vor 2 Tagen gepusht. Eine Backup-Env-Datei enthält die URL der Produktionsdatenbank mit Passwort im Klartext und einen Cloud-Zugangsschlüssel.
  • hana-example/vpn-config, README.md (GitHub): Interner Hostname, Risiko 5/10, vor 5 Tagen gepusht. Interne Hostnamen und eine Jump-Host-Adresse, aber keine Secrets.
  • anonymous gist, deploy.sh (Gist): API-Token, Risiko 8/10, vor 6 Stunden gepusht. Ein Deploy-Skript mit einem Token für den Release-Endpunkt.
  • public workspace, Partner API (staging) (Postman): API-Map, Risiko 6/10, vor 3 Tagen geteilt. Eine öffentliche Collection bildet die Partner-API ab, einschließlich des Token-Endpunkts.
  • chen-example/k8s-lab, deploy/values-prod.yaml (GitHub): Private Key, Risiko 9/10, vor 4 Tagen gepusht. Die Produktions-Chart-Werte enthalten den privaten TLS-Schlüssel des API-Hosts.
  • jun-example/side-project, src/config.js (GitHub): Domain-Erwähnung, Risiko 2/10, vor 9 Tagen gepusht. Die Domäne steht nur in einem Kommentar.
  • Öffentliches CI-Log, Build 1842 (Google Dorking): Bearer-Token, Risiko 7/10, vor 1 Tag protokolliert. Ein öffentliches Build-Log gibt einen Authorization-Header für die Staging-API aus.
  • northwind-example/ops-playbooks, group_vars/prod.yml (GitLab): Interner Hostname, Risiko 4/10, vor 12 Tagen gepusht. Produktions-Hostnamen und eine interne Adresse in einem öffentlichen Projekt.
Quellen in einem Scan
5
Sites über Google Dorking
50+
erkannte Secret-Formate
150+
Risikowert, erklärt
0–10
Warum es wichtig ist

Ein Push, und ein Schlüssel ist öffentlich.

Entwickler kopieren Konfigurationen in persönliche Repos, fügen Skripte in Gists ein und teilen API-Collections. Automatisierte Scanner lesen ständig öffentlichen Code, und ein funktionierender Schlüssel braucht keinen Exploit.

ana-example/dotfiles„backup my env“

+ .env.backup

  1. NORTHWIND_DB_URL=postgres://app:[redacted]@db.northwind.example:5432/core
  2. NORTHWIND_CLOUD_KEY=[redacted]
  3. NORTHWIND_SMTP_HOST=mail.northwind.example
Risiko 10/10Gefunden durch einen Keyword-Scan: NORTHWIND_

Was offengelegt wird

  • Schlüssel und TokensCloud-Schlüssel, API-Tokens und private Schlüssel, die noch funktionieren.
  • VerbindungszeichenfolgenDatenbank- und Queue-URLs mit Passwort im Klartext.
  • Interne KartenHostnamen, Endpunkte und Namespaces, die einem Angreifer den Weg weisen.
  • Daten in TestdateienFixtures und Exporte mit echten Kundendatensätzen.

Was Sie erhalten

  • Sicht von außenNur öffentliche Quellen: kein Zugriff auf Ihre Repositories nötig.
  • NachweiseRepository, Dateipfad, Trefferzeilen und ein direkter Link.
  • PrioritätenEin Risikowert von 0 bis 10 mit schriftlicher Begründung, der höchste zuerst.
  • Nächster SchrittSchlüssel rotieren, Datei entfernen, mit dem Entwickler sprechen.
Zwei Wege zum Scan

Überall suchen, oder bei Ihren Entwicklern beginnen.

Die Hauptaktion ist immer ein Keyword-Scan. Bei GitHub und GitLab können Sie zuerst abbilden, wer zu Ihrer Organisation beiträgt, und dann die Repositories dieser Personen scannen.

Führen Sie einen Scan einmalig aus oder stellen Sie ihn unter dauerhaftes Monitoring. Ein Keyword zählt als eine Suche, auf wie vielen Quellen es auch läuft; ein Contributor-Scan zählt ebenfalls als eine.

Quellen

Fünf Quellen, ein Scan.

Führen Sie sie zusammen oder einzeln aus. Jede Quelle hat eigene Optionen, so kann ein Scan breit oder sehr präzise sein.

Suchen Sie nach dem Umfeld eines Secrets, nicht nach dem Secret selbst.
Domäne
northwind.example
Produkt oder Marke
NorthwindAPI
Interner Namespace
com.northwind
Dienst oder Paket
auth-service-northwind
Präfix der Env-Variablen
NORTHWIND_
API-Host
api.northwind.example

Verwenden Sie niemals einen echten Schlüssel, ein echtes Passwort oder ein echtes Token als Keyword.

GitHub

Dateiinhalte in öffentlichen Repositorys.

Ganz GitHub, die von Ihnen gewählten Repositorys oder die Repositorys ausgewählter Entwickler.

Optionen
Exakte Wortgruppe, alle Wörter oder ein beliebiges WortNutzer und RepositorysDateiendungenSprachen ein- oder ausschließenPfade ein- oder ausschließenZeitraumEigene Regex-MusterVollständiger Dateiinhalt

Bis zu 1.000 Ergebnisse pro Keyword

Ergebnisse

Jeder Treffer bewertet, und erklärt.

Jeder Befund zeigt, wo er liegt, die passenden Zeilen und einen Risikowert von 0 bis 10. KI liest jedes Snippet und schreibt, warum es relevant ist und was zu tun ist.

  • MusterwertÜber 150 bekannte Secret-Formate wie Private Keys, Cloud-Schlüssel und API-Tokens erhöhen den Score.
  • KI-WertEine Bewertung jedes Snippets mit kurzer schriftlicher Begründung.
  • Eine ZahlMaßgeblich ist der höhere der beiden Werte. 7 und mehr gilt als hoch, 4 bis 6 als mittel.
  • ExportNach Risiko oder Datum sortieren, Raw Data öffnen, als CSV, JSON oder XML exportieren.
Scan-Verlauf
Fünf Scans, einer pro Quelle, mit ihrer Ergebnisanzahl
QuelleKeywordsStatusErgebnisse
NORTHWIND_, api.northwind.example, northwind.exampleAbgeschlossen37
NORTHWIND_Abgeschlossen6
api.northwind.exampleAbgeschlossen4
northwind.exampleAbgeschlossen3
northwind.exampleAbgeschlossen12

5 Scans aus einer Anfrage · 3 eindeutige Keywords = 3 Suchen, unabhängig von der Zahl der Quellen

Monitoring und API

Dauerhaftes Monitoring, und jeder Scan in Ihren Tools.

Halten Sie Ihre Keywords unter ständiger Beobachtung, starten Sie Scans und lesen Sie Befunde über die REST API, oder fragen Sie einen KI-Assistenten über unseren MCP-Server. Dashboard und API teilen sich einen Scan-Verlauf und ein Kontingent.

  • Dauerhaftes MonitoringIhre Keywords bleiben unter Beobachtung, sodass neue Befunde eingehen, ohne dass Sie einen Scan von Hand starten.
  • REST APIStarten Sie Keyword- und Contributor-Scans, prüfen Sie deren Status, lesen Sie Befunde nach Risiko sortiert und exportieren Sie sie.
  • MCP-ServerBitten Sie einen KI-Assistenten, Code-Scans zu starten oder auszulesen. Suchen werden erst nach Ihrem Ja verbraucht.
  • EnthaltenAPI und webhooks sind in jedem Tarif enthalten, der Code Exposure umfasst.

Code-Exposure-API-Leitfaden lesen

  1. POST /api/code_scan/contributor_scans/
  2. custom_links: github.com/northwind-example
  3. 201 · PENDING · 1 Suche verbraucht
  4. GET /api/code_scan/contributor_scans/{id}/
  5. LÄUFT · Fortschritt 60
  6. SUCCESS · 12 Contributors · Repositorys pro Entwickler
  7. ana-example · 3 Repos · chen-example · 2 Repos · …
  8. als Nächstes: ihre Repositorys mit Ihren Keywords scannen

X-API-Key pro Workspace · ein Scan-Verlauf für Dashboard und API · Export als CSV, JSON oder XML

Suchen

Monatliche Suchen, jederzeit erweiterbar.

Code Exposure enthält ein monatliches Kontingent an Keyword-Suchen und Contributor-Suchen. Brauchen Sie mehr? Fügen Sie jederzeit ein Paket im Dashboard hinzu.

  • 1 Keyword = 1 SucheUnabhängig davon, auf wie vielen Quellen sie in einer Anfrage läuft.
  • 1 Contributor-Scan = 1 SucheEine ganze Organisation oder Gruppe in einem Zug.
  • Kostenlos nutzbarStatusabfragen, Ergebnisse, Exporte und Vorlagen kosten nichts.
  • Monatliche ZurücksetzungKontingente werden am 1. erneuert. Pakete lassen sich jederzeit hinzufügen.
Monatliche Nutzung
Keyword-Suchen6/8 genutzt
Keyword-Suchen hinzufügen ↗
Contributor-Suchen2/8 verbraucht
Contributor-Suchen hinzufügen ↗
Enthalten pro Monat
Pro8 Keyword- + 8 Contributor-Suchen
MSSP Small5 Keyword- + 5 Contributor-Suchen
MSSP Large15 Keyword- + 15 Contributor-Suchen
Tarife ansehen
Details

Alles zu Code Exposure in Kürze.

Los geht’s

Sehen Sie, was öffentlicher Code über Sie verrät.

Starten Sie eine kostenlose Testphase oder buchen Sie eine Demo, dann zeigen wir Ihnen einen Code-Scan für Ihre eigene Domäne.

Kostenlos testen Demo buchen