見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました

見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました SecretlintというAPIトークンなどの機密情報がファイル内に含まれているかをチェックできるツールを書いています。 Secretlintはコマンドラインツールとして動くので、主にCIやGitのpre-commit hookを利用して、リポジトリに機密情報が入るのを防止できます。 SecretlintでAPIトークンや秘密鍵などのコミットを防止する | Web Scratch 一方で、実際のウェブサービスなどは機密情報がファイルにハードコードされているわけではなく(Secrelint自体がこういうハードコードを防ぐツールです)、環境変数やDatabaseに保存していると思います。 このような場合にも、コードのミスなどによって公開するべきではない情報(秘密鍵、APIトークン、Sl

[zkangaroo]

懸念を表明している人たち。あのねソースコードがGitHubに公開されてるじゃないですか。じゃあ修正してPull Requestを送ったらいいじゃん。READMEに留意事項を追記するとか／文句ばっかりいうダメな上司かよ。

[Kmusiclife]

そのAPI KEYを抜いてはないだろうな？ちゃんとextensionのコード読んでから使ったほうがいい。

[programmablekinoko]

ブコメの"どこの馬の骨ともわからない拡張機能", jsprimerの筆者とも知らない素人か

[uehaj]

攻撃ツールにも使えそう。まあ攻撃者はコマンドラインでもともとつかっていて、開発者に取っての敷居を下げるなら全体としては安全

[makou]

逆に怖いんだが。

[spark7]

まあソース落としてきてローカルで機能拡張インストールすれば安心できるかも知らんね。ストアのは入れないが吉に思う。

[curaudon]

どこの馬の骨ともわからない拡張機能を素直に入れて、そこに出てくる情報を素直に受け取ってしまう人は、まさにカモにされそうですね。

[homarara]

Chrome版の現在のユーザー数4人。FireFox版1人。ブコメで褒めてる人より少ない。

[mohri]

「公開するべきではない情報が、APIレスポンスやレンダリングされたHTMLにJSONとして埋め込まれてしまうような一種の事故」って、noteの例のやらかしみたいなもののことだろうか？

[skam666]

“意図せずに公開されているのが問題となる情報を見つけるのが目的のブラウザ拡張機能です”

[yoshi-na]

これは有用だわ

[Falky]

有用

[fanjak2]

フロントラインエンジニアのセキュリティ脆弱性勉強不足って多いんだ。

[shinyy1980]

“MLにJSONとして埋め込まれてしまうような一種の事故をたまに見かけます。 ”

[gabari]

開発用なのは分かるがえてして他所のサイトに使ったりしないか

[saikyo_tongaricorn]

それな

[yositosi]

良さそう。

[buhoho]

Firefox向けにも公開してる

[efcl]

secretlintをブラウザで動かして、意図せずウェブページに埋め込めれた機密情報を見つけるブラウザ拡張。 ソース: https://github.com/secretlint/webextension

[aktkro]

すばら

[rkosaka]

これはいいな。

[shioki]

“ブラウザの開発者ツールを拡張して、"Secretlint"パネルに見つけた機密情報を表示します。 また、コンソールに同時に見つけた機密情報をログとして表示するオプションもあります”

[sharaku3eyes]

これはいい

[Cherenkov]

Secretlint

[sorosoronemui]

導入してみる

[burnworks]

試させていただく

[tofu-kun]

良さそう