Rehber
Yapay zekâ ile üretilen kodda sızmış gizli bilgiler nasıl taranır
Deponun anlık görüntüsünü tarayın, frontend’e sızmayı inceleyin, Git geçmişini ayrıca gözden geçirin. vetkit neyi tespit eder, bir kimlik bilgisi sızınca ne yapmalı?
· 5 dk okuma · Yazan: vetkit ekibi
Yapay zekâ ile üretilen kodda sızmış gizli bilgileri taramak için, yayına almayı planladığınız depo sürümüne karşı bir secret scanner çalıştırın, dosya ve satır kanıtlarını inceleyin ve açığa çıkan her kimlik bilgisini iptal edin. vetkit’te Security Quick Scan depo içi gizli bilgi tespitini içerir; Git geçmişi ve tarayıcı tarafında anahtar sızması ayrı kontroller gerektirir. Temiz bir rapor yalnızca gerçekten çalışan dosyaları ve kontrolleri kapsar.
1. Tarama kapsamını seçin
Üretilmiş kod kopyalanmış bir kimlik bilgisi, gerçekçi bir yer tutucu ya da bir anahtarı yalnızca uygulamayı build ettiğinizde açığa çıkaran bir kod içerebilir. Bunlar farklı sorunlardır. Sonucu yorumlamadan önce hangi kanıta ihtiyacınız olduğuna karar verin:
| Soru | İlgili kontrol | Sınır |
|---|---|---|
| Taranan depo dosyalarında bir kimlik bilgisi var mı? | Security Quick Scan’e dahil olan gizli bilgi kontrolü (gitleaks) | Checkout üzerinde desen tabanlı tespit; hiçbir kimlik bilgisinin bulunmadığının kanıtı değil |
| Bir kimlik bilgisi güncel dosyalardan silinmiş ama commit’lerde kalmış mı? | Seçilen denetim kapsamında mevcutsa ayrı secrets-history analizörü | Sınırlı geçmiş; Quick Scan’in parçası değil |
| Build zamanı yapılandırması bir sağlayıcı anahtarını tarayıcılara açabilir mi? | Desteklenen kod kalıpları için LLM uygulaması kontrolleri ve sizin kendi build incelemeniz | Quick Scan’in parçası değil; bir kaynak kodu denetimi yayındaki dosyalarınızı incelemez |
2. Deponun doğru sürümünü tarayın
- Depoyu vetkit’e bağlayın, ardından Security Quick Scan’i ya da gizli bilgi tespitini içeren mevcut bir denetim kapsamını seçin.
- Depoyu ve hedef ref’i doğrulayın. Uzak depo taramaları kaydedilmemiş editör içeriğini ya da push etmediğiniz yerel dosyaları göremez. Şüphelendiğiniz bir gizli bilgiyi sırf taranabilsin diye commit etmeyin.
- Taramanın bitmesini bekleyin ve bulguları okumadan önce analizör sonuçlarında hata ya da atlanan kontrol olup olmadığına bakın. Kullanılamayan bir tarayıcı, geçen bir kontrol demek değildir.
Bir asistan üzerinden çalışıyorsanız, Claude Code ve Cursor MCP rehberi bir deponun nasıl seçileceğini ve denetim sonuçlarının nasıl inceleneceğini anlatıyor. Prompt’larda yer tutucular kullanın; geçerli olup olmadığını sormak için gerçek bir kimlik bilgisini asla asistana yapıştırmayın.
3. Her bulguyu inceleyin
Kuralı, önem derecesini, dosya yolunu ve satır konumunu okuyun. vetkit’in gizli bilgi bulguları maskelenmiş kod parçaları kullanır; gerçek bir kimlik bilgisini yapay test verisinden ayırt etmek için kaynağı kendi ortamınızda inceleyin. Genel desenler yanlış pozitif üretebilir, alışılmadık biçimler de gözden kaçabilir. Tek başına bir eşleşme, kimlik bilgisinin hâlâ geçerli olup olmadığını göstermez.
Bulut kaynaklarına, depolara, paket yayımlamaya ya da production verisine erişim veren kimlik bilgilerine öncelik verin. Etkilenen servisi ve düzeltmeden sorumlu kişiyi, gizli bilgiyi bir ticket’a, ekran görüntüsüne ya da sohbete kopyalamadan kaydedin. Bir bulguyu sırf asistan o değere örnek dedi diye kapatmayın.
4. Tarayıcıya sızmayı ve geçmişi kontrol edin
Bir anahtar Git’in dışında kalıp yine de bir frontend build’i üzerinden kullanıcılara ulaşabilir. Public ortam değişkeni kullanımını, sağlayıcı SDK çağrılarını ve bundler yapılandırmasını gözden geçirin, ardından üretilen tarayıcı dosyalarını kendi kontrolünüzdeki bir ortamda inceleyin. Örnekler için frontend API anahtarı rehberine bakın. Depo taraması uygulamanızı deploy gizli bilgileriyle otomatik olarak build etmez ya da canlı sitenin paketlerini incelemez.
Bir kimlik bilgisi daha önce commit edilmiş olabilirse, denetim kapsamınızın izin verdiği yerlerde ayrı geçmiş kontrolünü de dahil edin. Bu kontrolün varsayılan penceresi en fazla 500 commit’tir ve checkout geçmişi daha sığ olduğunda daha küçük olabilir. Deponun her dalını, fork’unu ya da kopyasını kapsayan eksiksiz bir arama değildir.
5. Müdahale edin ve yeniden tarayın
- Açığa çıkan bir kimlik bilgisini sağlayıcısında iptal edin ya da yenileyin. Bir satırı silmek ya da bir commit’i yeniden yazmak, kopyalanmış bir anahtarı geçersiz kılmaz.
- Yeni değeri uygun bir sunucu tarafı gizli bilgi deposuna ya da çalışma zamanı ortamına taşıyın. Tarayıcı koduna paketlenemeyeceğinden ve loglara yazdırılamayacağından emin olun.
- Beklenmedik etkinlik için sağlayıcının erişim ve kullanım kayıtlarını inceleyin. Geçmiş temizliğini deponun diğer katkıcılarıyla koordine edin; anahtarı yenilemek yine de gereklidir.
- Düzeltilmiş sürüme karşı yeni bir tarama çalıştırın ve ilgili build ya da geçmiş kontrollerini tekrarlayın. Denetimin hedef sürümünü düzeltme kaydınızla birlikte saklayın.
Kaynaklar ve sınırlar
1 Kasım 2026’da vetkit’in Quick Scan yapılandırması ile gitleaks, secrets-history ve LLM uygulaması analizörlerinin implementasyonlarına karşı kontrol edilmiştir. Quick Scan; posture, gitleaks ve OSV çalıştırır, tam bir denetimdeki her analizörü içermez. gitleaks entegrasyonu varsayılan olarak 5 MB’tan büyük dosyaları atlar ve taramalar depo, dosya ve süre sınırlarına tabidir. Gerçek çalıştırmanın kapsamını ve uyarılarını gözden geçirin.
Dokümantasyon denetim akışını anlatır; herkese açık kontrol kataloğu ise birinci taraf kuralları belgeler. Bu katalog, üçüncü taraf gitleaks imzalarının eksiksiz bir listesi değildir. Bu rehber tespit ve düzeltme adımlarını anlatır; ne temiz bir tarama ne de yüksek bir puan bir uygulamanın güvenli olduğunu garanti eder.