TruffleHog

Définition

TruffleHog est un outil open source de détection de secrets et de credentials exposés dans les dépôts Git, les fichiers, les systèmes de fichiers, les buckets S3, et d'autres sources de données. Développé initialement par Dylan Ayrey, puis maintenu par Trufflehog Security (acquis par Truffle Security), il est devenu l'un des outils de référence pour la détection de secrets fuités dans les pipelines DevSecOps. TruffleHog v3 (réécriture complète en Go) se distingue de ses concurrents par plusieurs caractéristiques. Sa détection est basée sur des vérificateurs actifs (active verification) qui non seulement identifient les patterns correspondant à des secrets potentiels (tokens API, clés SSH, certificats, mots de passe), mais tentent activement de vérifier si ces secrets sont encore valides en appelant les APIs correspondantes. Ainsi, un token AWS identifié comme secret est effectivement testé contre l'API AWS pour confirmer qu'il est actif, réduisant drastiquement les faux positifs. TruffleHog supporte plus de 700 types de détecteurs couvrant les principaux services cloud et SaaS : AWS (clés d'accès, tokens de session), GitHub (tokens personnels, fine-grained tokens), Google Cloud (service account keys, OAuth tokens), Slack (webhooks, bot tokens), Stripe, Twilio, Sendgrid, et des centaines d'autres. La base de détecteurs est extensible via des plugins Go pour les services internes. En termes d'intégration DevSecOps, TruffleHog peut être utilisé en pré-commit (via le hook git pre-commit), dans les pipelines CI/CD (scan du dépôt complet ou des diffs de PR), en surveillance continue des dépôts GitHub/GitLab, et en audit ponctuel des systèmes de fichiers ou buckets S3. L'action GitHub officielle trufflesecurity/trufflehog facilite l'intégration en CI. La distinction avec GitLeaks, son principal concurrent, réside dans la vérification active : TruffleHog confirme la validité des secrets trouvés (au prix d'appels réseau vers les APIs tierces), tandis que GitLeaks se concentre sur la détection par pattern sans vérification. Pour des pipelines CI où la latence est importante, GitLeaks peut être préférable pour un premier niveau de détection rapide, TruffleHog pour les audits approfondis.