Gitleaks

Gitleaks は、コードやコミット履歴に入ってしまったパスワードや API キーを探すツールです。手元のリポジトリを調べるだけなので、まず自分のプロジェクトに 1 回かけてみるところから始められます。

この記事は、GitHub などでコードを管理している開発者に向けています。読み終えると、次のことができるようになります。

• 自分のリポジトリのコミット履歴から秘密情報を探す
• コミットする前に自動で秘密情報を止める（pre-commit）
• 誤検知を無視する設定を入れる

##Gitleaks でできること

Gitleaks には、調べる対象ごとにコマンドがあります。

見つかったものは、ファイル名、行番号、コミット、検出したルールの ID と一緒に表示されます。結果は JSON、CSV、JUnit、SARIF の形式でファイルに保存することもできます。

##安全な試し方：自分のリポジトリを調べる

1. リリース一覧から、使っている OS 用のファイルをダウンロードして展開します。Windows、macOS、Linux 用が用意されています。macOS では brew install gitleaks でも入ります。

2. 自分が管理しているリポジトリのフォルダに移動します。

3. 次のコマンドを実行します。--redact を付けると、見つかった秘密情報そのものは画面に出ず、伏せ字になります。

   gitleaks git -v --redact

4. 何も見つからなければ終了コード 0、見つかれば 1 で終わります。見つかった行は、ファイル名と行番号を手がかりに確かめます。

画面共有中や、ログが他人に見える環境で実行するときは、--redact を必ず付けてください。

##コミット前に止める：pre-commit

pre-commit という仕組みを使うと、git commit のたびに Gitleaks が動き、秘密情報が入ったコミットを止められます。

1. pre-commit を公式の手順でインストールします。

2. リポジトリの一番上に .pre-commit-config.yaml を作り、次の内容を書きます。

   repos:
     - repo: https://github.com/gitleaks/gitleaks
       rev: v8.24.2
       hooks:
         - id: gitleaks

3. pre-commit autoupdate を実行して、rev を最新の版に更新します。

4. pre-commit install を実行して、フックを有効にします。

このフックは、ステージした変更（git add した分）だけを調べます。秘密情報が見つかると、コミットは失敗します。

フックの ID は 3 種類あります。Go で Gitleaks を組み立てて動かす gitleaks、公式の Docker イメージで動かす gitleaks-docker、PC にインストール済みの Gitleaks を使う gitleaks-system です。

一時的にフックを飛ばしたいときは、SKIP=gitleaks git commit ... のように先頭に SKIP=gitleaks を付けます。

##誤検知を減らす

テスト用のダミーキーなど、わざと書いている値が引っかかることがあります。そのときは次の方法で除外します。

##注意点

##次に読む

• cd ../osv-scannerOSV-Scanner依存ライブラリの既知の脆弱性を調べるツール
• cd ../trivyTrivyコンテナイメージや依存関係をまとめて調べるツール