secretscreen
Herramienta CLI y librería Python para detectar y redactar secretos en pares clave-valor, diccionarios y variables de entorno. Soporta formatos env, JSON, INI, YAML y DSN. Defensa en profundidad best-effort, no frontera de seguridad.
Ficha actualizada 22 sept 2026, 15:34 · upstream 21 sept 2026, 15:35 · release v0.6.0
Qué es secretscreen
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Secretscreen es una herramienta de detección y redacción de credenciales diseñada para integrarse en flujos de trabajo de desarrollo y CI/CD. Opera sobre pares clave-valor, diccionarios Python, variables de entorno y múltiples formatos estructurados sin dependencias externas, usando únicamente el estándar de la biblioteca Python.
La herramienta funciona mediante capas de detección: coincidencia por patrones en nombres de claves, análisis estructurado de valores (JSON, DSN, INI, URL) y detección de entropía en modo agresivo. Incluye soporte para archivos de configuración personalizados que permiten ajustar umbrales y listas de exclusión/inclusión sin perder la capacidad de auditoría.
El diseño prioriza la seguridad defensiva: el reemplazo es estructural no basado en líneas, preservando comentarios, indentación y formato original. Los valores por encima del límite de 64 KB se marcan como unescanned (no examinados) en lugar de pasarlos como limpios. El modo audit devuelve hallazgos sin mutar los datos y permite integración con pipelines existentes.
- Redacción automática de logs antes de enviarlos a terminales o sistemas de monitoreo
- Integración en CI/CD para limpiar variables de entorno en pipelines de GitHub Actions, GitLab CI o Jenkins
- Auditoría de archivos .env y compose.yaml antes de commit en repositorios Git
- Uso como librería Python en aplicaciones Next.js o servicios backend para sanitizar datos sensibles
- Filtrado de salida de grep o docker exec para evitar filtraciones accidentales en shells
- Cero dependencias externas, funciona con Python 3.11+ y stdlib únicamente
- Detección estructural que preserva formato original (INI, YAML, JSON) sin parsers pesados
- Soporte para múltiples formatos: env, JSON, INI, YAML, DSN, URL query params
- Configuración escalonada con ~/.config/secretscreen.toml y archivos .secretscreen.toml descubiertos
- Modo audit con salida sin mutación y códigos de salida semánticos (0/1/2)
- Detección de entropía en modo agresivo para identificar credenciales no obvias
- No es una frontera de seguridad: best-effort defense-in-depth, no debe usarse como único control
- Valores por encima de 64 KB se marcan como unscanned (no examinados), no como limpios
- El análisis YAML es lineal orientado, no parseo real (evita dependencias)
- Mixing de formatos en streams puede causar redacción wholesale del formato minoritario
- Modo agresivo genera más falsos positivos por detección de entropía
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar vía pip install secretscreen como librería o pipx/uv tool para CLI. Usar --audit en pipelines CI para detectar secretos antes de commit. Configurar ~/.config/secretscreen.toml con reglas globales y archivos .secretscreen.toml locales por proyecto. Evitar --trust-config en repositorios compartidos. Para streams mixtos usar grep separado o formatos explícitos con --format.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.