GitLeaks

Définition

GitLeaks est un outil open source de détection de secrets et de credentials sensibles dans les dépôts Git, développé en Go par Zachary Rice. Reconnu pour sa rapidité, sa flexibilité de configuration, et son intégration native dans les pipelines CI/CD, GitLeaks analyse l'historique Git complet ou les diffs récents pour identifier les clés API, tokens d'accès, mots de passe, certificats privés et autres credentials exposés accidentellement dans le code source. GitLeaks fonctionne sur deux modes principaux. Le mode "detect" (gitleaks detect) scanne l'historique Git complet du dépôt ou un sous-ensemble de commits, idéal pour les audits complets d'un dépôt existant. Le mode "protect" (gitleaks protect) scanne le staging area actuel (les changements en cours avant commit), parfaitement adapté à l'utilisation comme pre-commit hook pour intercepter les secrets avant qu'ils n'atteignent le dépôt. La détection de GitLeaks repose sur un ensemble de règles (rules) définies dans un fichier de configuration TOML (.gitleaks.toml). Chaque règle combine une expression régulière (pattern pour identifier le type de secret), une description, un identifiant (rule ID), et des options de correspondance (entropy, path, stopwords). La distribution officielle inclut plus de 150 règles couvrant les patterns des principaux services cloud et SaaS : AWS, Google Cloud, Azure, GitHub, GitLab, Slack, Stripe, Twilio, JWT, et bien d'autres. La configuration de GitLeaks est hautement personnalisable : des règles additionnelles peuvent être définies pour les tokens propriétaires de l'organisation, des allowlists (fichiers ou patterns à ignorer, par exemple des clés de test documentées) permettent de réduire les faux positifs, et le format de sortie (JSON, SARIF, CSV) facilite l'intégration dans les dashboards et le ticketing. GitLeaks s'intègre dans les workflows GitHub Actions (action gitleaks/gitleaks-action), les pipelines GitLab CI, Jenkins, et peut être utilisé via Docker (docker run zricethezav/gitleaks). Son output SARIF peut être uploadé vers GitHub Code Scanning pour une visibilité centralisée.