Gitleaks
CLI che analizza la cronologia git e l'area di staging pre-commit alla ricerca di segreti trapelati: chiavi API, JWT, chiavi private SSH, password in chiaro.
Creato da Zachary Rice nel 2018. Scritto in Go, con regole basate su regex (oltre 100 provider di default: AWS, Stripe, PAT di GitHub, token Slack, …). Il flusso standard è un hook pre-commit più un job di CI. Un file di allowlist gestisce i falsi positivi.
Concorrenti: TruffleHog (recall più alto, più falsi positivi), git-secrets (orientato ad AWS), Detect Secrets (Yelp). GitHub offre dal 2023 la «Push Protection» integrata, che però non sostituisce uno scanner locale in CI.