Solution / Exposition du code
Détection de l’exposition du code dans le code public et les dépôts de vos développeurs
Nous recherchons votre domaine, votre marque et vos noms internes sur GitHub, GitLab, Gists, Postman et plus de 50 sites via Google dorking. Chaque résultat reçoit un score de risque et une note sur la marche à suivre.
- Aucun accès à vos dépôts n’est nécessaire
- Un mot-clé compte une seule fois, pour toutes les sources
- Surveillance continue, avec API et webhooks
- northwind-example : 31 dépôts analysés, 12 contributeurs, 4 secrets trouvés.
- ana-example/dotfiles, .env.backup (GitHub) : URL de base de données, risque 10/10, poussé il y a 2 jours. Un fichier d’environnement de sauvegarde contient l’URL de la base de production avec un mot de passe en clair, ainsi qu’une clé d’accès cloud.
- hana-example/vpn-config, README.md (GitHub) : nom d’hôte interne, risque 5/10, poussé il y a 5 jours. Des noms d’hôte internes et l’adresse d’un hôte de rebond, mais aucun secret.
- gist anonyme, deploy.sh (Gist) : jeton d’API, risque 8/10, poussé il y a 6 heures. Un script de déploiement avec un jeton pour le point de terminaison de publication.
- workspace public, Partner API (staging) (Postman) : carte d’API, risque 6/10, partagé il y a 3 jours. Une collection publique cartographie l’API partenaire, y compris le point de terminaison des tokens.
- chen-example/k8s-lab, deploy/values-prod.yaml (GitHub) : clé privée, risque 9/10, poussé il y a 4 jours. Les valeurs du chart de production contiennent la clé privée TLS de l’hôte d’API.
- jun-example/side-project, src/config.js (GitHub) : mention du domaine, risque 2/10, poussé il y a 9 jours. Le domaine apparaît uniquement dans un commentaire.
- journal CI public, build 1842 (Google dorking) : token Bearer, risque 7/10, consigné il y a 1 jour. Un journal de build public affiche un en-tête Authorization pour l’API de préproduction.
- northwind-example/ops-playbooks, group_vars/prod.yml (GitLab) : nom d’hôte interne, risque 4/10, poussé il y a 12 jours. Des noms d’hôte de production et une adresse interne dans un projet public.
- sources dans une analyse
- 5
- sites via Google dorking
- 50+
- formats de secrets reconnus
- 150+
- score de risque, expliqué
- 0–10
Pourquoi c’est important
Un push, et une clé devient publique.
Les développeurs copient des configurations dans des dépôts personnels, collent des scripts dans des gists et partagent des collections d’API. Des scanners automatisés lisent en permanence le code public, et une clé valide n’a besoin d’aucun exploit.
ana-example/dotfiles« backup my env »
+ .env.backup
NORTHWIND_DB_URL=postgres://app:[redacted]@db.northwind.example:5432/coreNORTHWIND_CLOUD_KEY=[redacted]NORTHWIND_SMTP_HOST=mail.northwind.example
Risque 10/10Trouvé par une analyse par mot-clé :
NORTHWIND_Ce qui fuite
- Clés et jetons (tokens)Clés cloud, jetons (tokens) d'API et clés privées qui fonctionnent encore.
- Chaînes de connexionURL de bases de données et de files d’attente avec le mot de passe en clair.
- Cartes internesNoms d’hôtes, endpoints et espaces de noms qui guident un attaquant.
- Données dans les fichiers de testJeux de données de test et exports contenant de vrais enregistrements clients.
Ce que vous obtenez
- Vue de l’extérieurSources publiques uniquement : aucun accès à vos dépôts n’est nécessaire.
- PreuvesDépôt, chemin du fichier, lignes correspondantes et lien direct.
- PrioritésUn score de risque de 0 à 10 avec une justification rédigée, du plus élevé au plus faible.
- Étape suivanteRenouvelez la clé, supprimez le fichier, parlez au développeur.
Deux façons d’analyser
Cherchez partout, ou partez de vos développeurs.
L’action principale est toujours une analyse par mot-clé. Sur GitHub et GitLab, vous pouvez d’abord identifier qui contribue à votre organisation, puis analyser les dépôts que ces personnes possèdent.
Lancez une analyse ponctuelle ou placez-la sous surveillance continue. Un mot-clé compte pour une recherche, quel que soit le nombre de sources sur lesquelles il est exécuté ; une analyse de contributeur compte aussi pour une.
Sources
Cinq sources, une analyse.
Lancez-les ensemble ou une par une. Chaque source a ses propres options : une analyse peut donc être large ou très précise.
Recherchez ce qui entoure un secret, pas le secret lui-même.
- Domaine
- northwind.example
- Produit ou marque
- NorthwindAPI
- Espace de noms interne
- com.northwind
- Service ou paquet
- auth-service-northwind
- Préfixe des variables d’environnement
- NORTHWIND_
- Hôte de l’API
- api.northwind.example
N’utilisez jamais une vraie clé, un vrai mot de passe ou un vrai token comme mot-clé.
GitHub
Contenu des fichiers dans les dépôts publics.
Tout GitHub, les dépôts que vous choisissez ou les dépôts de développeurs sélectionnés.
OptionsJusqu’à 1 000 résultats par mot-clé
Résultats
Chaque correspondance évaluée, et expliquée.
Chaque résultat indique où il se trouve, les lignes correspondantes et un score de risque de 0 à 10. L’IA lit chaque extrait et rédige pourquoi il compte et que faire.
- Score des motifsPlus de 150 formats de secrets connus, tels que clés privées, clés cloud et jetons (tokens) d'API, font monter le score.
- Score IAUne évaluation de chaque extrait, avec une courte justification écrite.
- Un seul chiffreLe risque retenu est le plus élevé des deux. À partir de 7, il est élevé ; de 4 à 6, moyen.
- ExporterTriez par risque ou par date, ouvrez les Raw Data, exportez en CSV, JSON ou XML.
Historique des analyses
| Source | Mots-clés | Statut | Résultats |
|---|---|---|---|
| NORTHWIND_, api.northwind.example, northwind.example | Terminée | 37 | |
| NORTHWIND_ | Terminée | 6 | |
| api.northwind.example | Terminée | 4 | |
| northwind.example | Terminée | 3 | |
| northwind.example | Terminée | 12 |
5 analyses pour une requête · 3 mots-clés uniques = 3 recherches, quel que soit le nombre de sources
Surveillance et API
Surveillance constante, et chaque analyse dans vos outils.
Gardez vos mots-clés sous surveillance constante, lancez des analyses et lisez les résultats via l'API REST, ou interrogez un assistant IA via notre serveur MCP. Le tableau de bord et l'API partagent un seul historique d'analyses et un seul quota.
- Surveillance continueVos mots-clés restent sous surveillance : les nouveaux résultats arrivent sans qu’il faille lancer une analyse à la main.
- API RESTLancez des analyses par mot-clé et par contributeur, vérifiez leur statut, lisez les résultats triés par risque et exportez-les.
- Serveur MCPDemandez à un assistant IA de lancer ou de lire des analyses de code. Les recherches ne sont consommées qu’après votre accord.
- InclusL’API et les webhooks sont inclus dans chaque formule qui comprend l’exposition du code.
POST /api/code_scan/contributor_scans/custom_links: github.com/northwind-example201 · EN ATTENTE · 1 recherche utiliséeGET /api/code_scan/contributor_scans/{id}/RUNNING · progress 60SUCCÈS · 12 contributeurs · dépôts par développeurana-example · 3 dépôts · chen-example · 2 dépôts · …ensuite : analyser leurs dépôts avec vos mots-clés
X-API-Key par espace de travail · un seul historique d’analyses pour le tableau de bord et l’API · export CSV, JSON ou XML
Recherches
Des recherches mensuelles, extensibles à tout moment.
L’exposition du code inclut un quota mensuel de recherches par mot-clé et de recherches par contributeur. Besoin de plus ? Ajoutez un pack depuis le tableau de bord quand vous le souhaitez.
- 1 mot-clé = 1 rechercheQuel que soit le nombre de sources interrogées dans une requête.
- 1 analyse de contributeur = 1 rechercheToute une organisation ou un groupe en une seule fois.
- Utilisation gratuiteLes vérifications d’état, les résultats, les exports et les modèles sont gratuits.
- Réinitialisation mensuelleLes quotas sont renouvelés le 1er du mois. Des packs peuvent être ajoutés à tout moment.
Utilisation mensuelle
Recherches par mot-clé6/8 utilisées
Ajouter des recherches par mot-clé ↗Recherches par contributeur2/8 utilisées
Ajouter des recherches par contributeur ↗| Pro | 8 recherches par mot-clé + 8 par contributeur |
|---|---|
| MSSP Small | 5 recherches par mot-clé + 5 par contributeur |
| MSSP Large | 15 recherches par mot-clé + 15 par contributeur |
Détails
Tout sur l’exposition du code, en bref.
GitHub
- Contenu des fichiers dans les dépôts publics
- Tout GitHub, des dépôts choisis ou les dépôts de développeurs
- Expression exacte, tous les mots ou n’importe quel mot
- Langages, chemins, extensions de fichiers, période, regex
GitLab et Gists
- GitLab : les projets et utilisateurs que vous indiquez, branche principale
- Gists : gists publics et anonymes
- Gists : recherche par expression, utilisateur, extension ou nom de fichier
- Gists forkés uniquement, si vous le souhaitez
Postman et Google dorking
- Postman : espaces de travail, collections et requêtes publics
- Google dorking : plus de 50 sites dans six catégories
- Jusqu’à 2 sites supplémentaires, et des sites à exclure
- Période des pages indexées
Cartographier
- Partez d’une organisation GitHub, ou d’un groupe ou projet GitLab
- Jusqu’à 100 dépôts publics par organisation GitHub, forks et bots ignorés
- Jusqu’à 20 projets par groupe GitLab
Choisir
- Chaque contributeur avec un lien de profil et le nombre de dépôts
- Choisissez jusqu’à 10 développeurs à examiner
- Leurs dépôts publics deviennent le périmètre de l’analyse
Analyser
- Une analyse GitHub par mot-clé limitée à ces dépôts
- Le même score et le même export que pour toute autre analyse
- Relancez-la chaque fois que l’équipe change
Motifs
- Plus de 150 formats de secrets connus
- Chaque correspondance, comme une clé privée, une clé cloud ou un jeton d’API, ajoute 2 à 4 points
- Vos propres motifs regex augmentent aussi le score
IA
- Une évaluation par IA de chaque extrait
- Un score de 0 à 10 et une brève justification
- De quoi il s’agit, s’il semble actif, que faire
Risque
- Le plus élevé du score par motif et du score IA
- 7 et plus : élevé, 4 à 6 : moyen
- Les résultats sont triés par risque par défaut
Décompte
- 1 recherche par mot-clé unique dans une requête, sur toutes les sources
- 1 recherche par analyse de contributeur
- Les contrôles de statut, résultats, exports et modèles sont gratuits
Quota
- Recherches mensuelles par mot-clé et par contributeur, selon la formule
- Renouvelé le 1er du mois ; les recherches inutilisées ne sont pas reportées
- Des packs peuvent être ajoutés à tout moment dans le tableau de bord
Limites
- Jusqu’à 10 analyses par mot-clé en parallèle
- Jusqu’à 10 analyses par mot-clé et 2 analyses de contributeurs lancées par minute
- Résultats par mot-clé plafonnés par source
- Nous ne recherchons que dans des sources publiques et n’avons jamais besoin d’accéder à vos dépôts
- Les résultats et l’historique des analyses appartiennent à votre espace de travail ; les autres espaces de travail ne les voient jamais
- Supprimez une analyse et ses résultats à tout moment
- Les données clients sont hébergées en Allemagne
- Sources publiques uniquement : les dépôts privés et les serveurs Git internes sont hors périmètre
- Les analyses GitLab lisent les projets gitlab.com sur leur branche principale
- Le Google dorking trouve ce que les moteurs de recherche ont indexé
- Le score aide à prioriser. Considérez toute clé réelle que vous trouvez comme compromise
Démarrer
Voyez ce que le code public dit de vous.
Démarrez un essai gratuit ou réservez une démo : nous vous montrons une analyse de code pour votre propre domaine.