Gitleaks
Narzędzie CLI skanujące historię gita i zmiany przed commitem pod kątem wyciekłych sekretów — kluczy API, tokenów JWT, prywatnych kluczy SSH, haseł jawnym tekstem.
Autor: Zachary Rice, 2018. Napisany w Go, reguły oparte na wyrażeniach regularnych (domyślnie ponad 100 dostawców: AWS, Stripe, tokeny GitHub, Slack…). Standardowy przepływ to hook pre-commit plus zadanie w CI. Plik allowlisty na fałszywe alarmy.
Konkurenci: TruffleHog (wyższa wykrywalność, więcej fałszywych alarmów), git-secrets (nacisk na AWS), Detect Secrets (Yelp). GitHub ma wbudowane „Push Protection” od 2023 roku, ale nie zastępuje ono lokalnego skanera w CI.