gitleaks action Download - gitleaks action herunterladen

gitleaks action

Andere Kategorien

v2.3.7

Herunterladen

Gitleaks Action


  ┌─○───┐
  │ │╲  │
  │ │ ○ │
  │ ○ ┌─┴───────────────────┐
  └─░─┤  4 github actions   │
      └─────────────────────┘

Gitleaks ist ein SAST -Tool zum Erkennen und Verhindern von hartcodierten Geheimnissen wie Passwörtern, API -Schlüssel und Token in Git -Repos. Gitleaks ist eine benutzerfreundliche All-in-One-Lösung zum Erkennen von Geheimnissen in Vergangenheit oder Gegenwart in Ihrem Code. Aktivieren Sie, dass Gitleaks-Action in Ihren Github-Workflows alarmiert werden kann, wenn Geheimnisse durchgesickert sind, sobald sie auftreten. Schauen Sie sich unsere Demos hier (.gif) und hier (.png) an oder sehen Sie, was hier neu ist. Vergessen Sie nicht, unser Blog zu überprüfen, in dem Gitleaks-Action für Organisationen und Unternehmen konfiguriert und eingerichtet wird.

Nutzungsbeispiel

 name : gitleaks
on :
  pull_request :
  push :
  workflow_dispatch :
  schedule :
    - cron : " 0 4 * * * " # run once a day at 4 AM
jobs :
  scan :
    name : gitleaks
    runs-on : ubuntu-latest
    steps :
      - uses : actions/checkout@v4
        with :
          fetch-depth : 0
      - uses : gitleaks/gitleaks-action@v2
        env :
          GITHUB_TOKEN : ${{ secrets.GITHUB_TOKEN }}
          GITLEAKS_LICENSE : ${{ secrets.GITLEAKS_LICENSE}} # Only required for Organizations, not personal accounts.

Umgebungsvariablen:

GITHUB_TOKEN : Diese Variable wird automatisch von GitHub zugewiesen, wenn eine Aktion gestartet wird. Sie können hier mehr über das Token lesen. Gitleaks-Action verwendet dieses Token, um eine Github-API aufzurufen, um PRS zu kommentieren.
GITLEAKS_LICENSE (für Organisationen erforderlich, nicht für Benutzerkonten erforderlich): Eine Gitleaks-Action- Lizenz kann unter gitleaks.io erhalten werden. Es sollte als verschlüsseltes Geheimnis für das Repo oder der Organisation hinzugefügt werden.
GITLEAKS_NOTIFY_USER_LIST (optional): Eine Liste von Github-Konten, die alarmiert werden sollten, wenn Gitleaks-Action ein Leck erkennt. Eine E -Mail wird von GitHub an den Benutzer gesendet, wenn ihre GitHub -Benachrichtigungseinstellungen dies zulassen. Das Format sollte mit jedem mit @ vorangestellten Benutzernamen gesetzlich getrennt werden. Ex: @octocat,@zricethezav,@gitleaks . Räume sind auch in Ordnung.
GITLEAKS_ENABLE_COMMENTS (optional): Booleaner Wert, der PR -Kommentar ein- oder ausschaltet. Standardwert ist true . Auf false einstellen, um Kommentare zu deaktivieren.
GITLEAKS_CONFIG (optional): Pfad zu einer Gitleaks -Konfigurationsdatei.
GITLEAKS_ENABLE_UPLOAD_ARTIFACT (optional): Booleaner Wert, der ein Sarif -Artefakt einschalten oder ausschaltet, wenn Gitleaks Geheimnisse erkennt. Standardmäßig true .
GITLEAKS_ENABLE_SUMMARY (optional): Booleaner Wert, um die Auftragszusammenfassung von Gitleaks zu aktivieren oder zu deaktivieren. Standardmäßig true .
GITLEAKS_VERSION (optional): Eine bestimmte Gitleaks -Version (z. B. 8.15.3 , kein v -Präfix) oder latest , um immer die neueste verfügbare Version zu verwenden. Standardeinstellungen zu einer hartcodierten Versionsnummer.

Fragen

Benötige ich einen kostenlosen Lizenzschlüssel?

Wenn Sie Repos scannen, die zu einem Organisationskonto gehören, müssen Sie einen kostenlosen Lizenzschlüssel erhalten

Wenn Sie Repos scannen, die zu einem persönlichen Konto gehören, ist kein Lizenzschlüssel erforderlich.

Wie bekomme ich einen kostenlosen Lizenzschlüssel?

Sie können Gitleaks.io besuchen, um sich für einen kostenlosen Lizenzschlüssel anzumelden. Wenn Sie auf "Anmeldung" klicken, werden Sie zu einem Google -Formular führen, in dem Sie Namen, E -Mail und Firma angeben müssen. Eine E -Mail mit einem Lizenzschlüssel wird kurz nach der Einreichung angezeigt.

Kann ich eine benutzerdefinierte Gitleaks -Konfiguration verwenden?

Du kannst! Diese Github -Aktion folgt einer ähnlichen Vorrangsreihenfolge wie das Gitleaks -CLI -Tool. Sie können GITLEAKS_CONFIG verwenden, um einen Konfigurationsweg explizit festzulegen oder eine gitleaks.toml am Stammerwesen des Repo zu erstellen, das automatisch von Gitleaks-Action erkannt und verwendet wird.

Sendet diese GitHub -Aktion Daten an Dritte?

Die einzigen Daten, die Gitleaks-action an Dritte sendet, sind Daten, die sich auf die Lizenzschlüsselvalidierung (nämlich GITLEAKS_LICENSE , Repo-Name und Repo-Eigentümer) beziehen, der an den Lizenzschlüssel-Validierungsdienst Keygen gesendet wird. Ihr Code verlässt nie GitHub, da das Scannen innerhalb der GitHub -Aktionen Docker -Container stattfindet.

Kann ich Gitleaks-Action als Tool von Drittanbietern zum Scannen von Github-Code verwenden?

Sie können, aber es wird nicht empfohlen, da es ein falsches Sicherheitsgefühl vermittelt. Wenn ein Geheimnis in einem Komitee durchgesickert ist und in einem nachfolgenden Commit entfernt wird, wird die Sicherheitswarnung im Github Security Dashboard als gelöst angezeigt, obwohl das Geheimnis in der Geschichte der Commit noch immer noch sichtbar ist. Um das Leck wirklich anzusprechen, sollten Sie das Geheimnis drehen (und auch in Betracht ziehen, die Git-Geschichte neu zu schreiben, um das Leck insgesamt zu entfernen).

Warum scheitert mein Gitleaks-Action-Job plötzlich?

21.06.2022

Am 21. Juni 2022 haben wir Gitleaks Action V2 in den master -Zweig zusammengefasst. Dies war ein Breaking -Update, und wir haben uns bemüht, über Github, Social Media usw. so viele unserer Benutzer wie möglich zu kontaktieren. Wenn Sie nicht wussten, dass dieses Breaking -Update kommt, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten. Die gute Nachricht ist, dass es unkompliziert ist, den Jobversagen zu beheben! Sie können entweder:

Upgrade auf v2 oder
Pin zu einer älteren Version

Bitte beachten Sie, dass Sie, wenn Sie Repos scannen, die einer Organisation angehören, eine Gitleaks_license erwerben müssen, um v2 zu verwenden (kostenlose "Testlizenz verfügbar). Das könnte für meine Benutzer, die es gewohnt sind, kostenlos Gitleaks-Action zu verwenden, eine Überraschung sein. Deshalb schrieb ich einen Blog-Beitrag, in dem ich erklärte, wie/warum ich beschlossen habe, dieses Projekt zu monetarisieren: https://blog.gitleaks.io/gitleaks-lc-anement-d7d06a52e8011111

Schließlich finden Sie oben oben eine Zusammenfassung, warum ich denke, Sie werden die neue V2 -Veröffentlichung lieben: V2 -Vorteile

Wie kann ich ein Gitleaks -Abzeichen auf meinem Readme bekommen?

Aktivieren Sie diese Gitleaks-Action und kopieren Sie <img alt="gitleaks badge" src="https://img.shields.io/badge/protected%20by-gitleaks-blue"> zu Ihrem Readme.

Lizenzänderung

Seit V2.0.0 von Gitleaks-Action hat sich die Lizenz vom MIT zu einer kommerziellen Lizenz geändert. Frühere Versionen zu V2.0.0 von Gitleaks-Actions bleiben unter der MIT-Lizenz.