TruffleHog nedir? Unutulmuş anahtar tarama, kurulum, ücretsiz mi, doğrulama özelliği ve lisans
TruffleHog'u bir Git deposuna, klasöre ya da bulut depolamaya çalıştırırsın; unutulmuş API anahtarı, parola ve belirteçleri bulur. Truffle Security'nin açık kaynak güvenlik aracı; ücretsiz ve AGPL-3.0 lisanslı, hesap gerekmez ama komut satırı bilgisi ister. Bulunan sırrın hâlâ geçerli olup olmadığını ilgili servise giriş yaparak denemesi varsayılan açıktır (--no-verification ile kapanır). Enterprise sürüm ücretli, fiyatı yayımlanmıyor. Yalnız kendi ya da izinli depolarında tara.
- Ne yapar
- Depolarda unutulmuş API anahtarı ve parolaları bulur
- Ücretsiz
- Evet; açık kaynak, AGPL-3.0
- Enterprise
- Fiyat yok (Contact us)
- Kodsuz
- Hayır; komut satırı
- Doğrulama
- Anahtarı canlı dener; kapatılabilir
TruffleHog ne işe yarar? Doğrulama özelliği nedir?
Bir Git deposuna yanlışlıkla commit edilmiş API anahtarı, parola ya da belirteç yazılım sızıntılarının sık sebebidir. TruffleHog depoyu (GitHub organizasyonu, dosya sistemi, S3, GCS, Docker imajı gibi kaynaklar da olur) bu sırlar için tarar.
TruffleHog bulduğu sırrı ilgili servise giriş yaparak hâlâ geçerli mi diye dener; sonuç verified (geçerli), unverified ya da unknown olur. Varsayılan açıktır, --no-verification ile kapanır, --results=verified yalnız doğrulananları gösterir. Bu, bulunan anahtarın ilgili servise gönderilmesi demektir.
!Bu rehberin uyarısı: aracı yalnız kendi ya da yazılı izin aldığın depolarda ve hesaplarda çalıştır; başkasına ait bir anahtarı doğrulamak yetkisiz erişim sayılabilir. Resmî README'de ayrı bir yasal uyarı yok.
Kime yarar: yazılım ekipleri, güvenlik sorumluları ve kendi depolarının temiz olduğundan emin olmak isteyen geliştiriciler. Detektör sayısı sayfalarda 700+ ile 800+ arasında farklı yazıyor; kesin sayı verilmiyor.
TruffleHog nasıl kurulur?
› brew install trufflehog› docker run --rm -it -v "$PWD:/pwd" trufflesecurity/trufflehog:latest github --repo https://github.com/trufflesecurity/test_keysGitHub Releases sayfasından işletim sistemine uygun ikili dosyayı indir, ya da kaynaktan go install ile derle. README ayrıca bir kurulum betiği veriyor. Windows ikili dosya adı ve Go sürüm gereksinimi için Releases sayfasına ve README'ye bak.
GitHub organizasyonu taraması yavaşsa --token ile kişisel erişim jetonu ekle. Program yalnız başlık mesajı yazıp bitiyorsa sızıntı bulunmamıştır. Pull request ve commit'lerde otomatik kontrol için GitHub Actions, pre-commit ve pre-receive hook'ları açık kaynak sürümde var.
TruffleHog ücretsiz mi? Lisans ve Enterprise
- GitHub, S3, GCS, dizin, Docker tarama
- GitHub Actions, pre-commit, pre-receive
- Özel regex
- Sürekli izleme paneli
- 20+ entegrasyon, sürekli izleme, panel
- SSO, RBAC, öncelikli destek
Lisans v3.0'dan beri AGPL-3.0 (öncesi GPL 2.0); katkı için CLA isteniyor. AGPL'nin ticari kullanıma etkisi ve ayrı bir ticari lisans olup olmadığı resmî kaynaklarda açık değil; şirket içi kullanımdan farklı olarak ürününe gömüyorsan hukuki görüş al. Enterprise fiyatı yazmıyor, TL fiyat yok.
TruffleHog verilerimi gönderiyor mu?
Tarama kendi bilgisayarında ya da CI'da yapılır; hesap gerekmez. Sonuçlar sende kalır.
Doğrulama açıkken bulunan anahtar ilgili servise gönderilir (README). İstemiyorsan --no-verification kullan.
TruffleHog bir yapay zekâ modeli değil, eğitim verisi söz konusu değil. Telemetri durumu ile gizlilik ve KVKK koşulları için Truffle Security'nin resmî sayfalarını kontrol et; izinli kaynaklarda tara.
Sık sorulan sorular
TruffleHog nedir, ne işe yarar?
Git depolarında ve bulutta unutulmuş API anahtarı, parola ve belirteçleri bulan açık kaynak güvenlik aracı.
TruffleHog ücretsiz mi?
Evet, açık kaynak sürüm ücretsiz ve AGPL-3.0 lisanslı. Enterprise sürüm ücretli, fiyatı yayımlanmıyor.
TruffleHog bulduğu anahtarı doğruluyor mu?
Varsayılan olarak evet: sırrı ilgili servise giriş yaparak dener ve verified, unverified ya da unknown der. --no-verification ile kapatılır.
TruffleHog nasıl kurulur?
macOS'ta brew install trufflehog, Docker ile trufflesecurity/trufflehog imajı, ya da GitHub Releases'tan ikili dosya.
TruffleHog CI'da kullanılır mı?
Evet, GitHub Actions, pre-commit ve pre-receive hook'ları açık kaynak sürümde var.
TruffleHog'u izinsiz depolarda kullanmak sorun mu?
Anahtar doğrulama başkasının servisine giriş denemesi demektir; yalnız kendi ya da izinli kaynaklarda kullan.
İlgili rehberler
Kaynaklar
Resmî kaynaklarda net olmayanlar: Enterprise fiyatı · AGPL'nin ticari kullanıma etkisi ve ayrı ticari lisans · Truffle Security'ye telemetri gönderilip gönderilmediği · Türkçe desteği · Windows ikili dosya adı ve Go sürüm gereksinimi · gizlilik ve koşullar sayfaları. Her biri ilgili bölümde ne yapabileceğinle birlikte yazılı.