Quét thông tin bí mật (khóa API, token)
Tìm khóa API, token, khóa riêng tư, giá trị giống mật khẩu và email lẫn trong tệp cấu hình hay log, kèm số dòng và tô sáng. Xử lý hoàn toàn trên trình duyệt, không lưu và không gửi đi.
- Xử lý trên trình duyệt (không tải lên)
Tìm khóa API, token, khóa riêng tư, email… trong văn bản đã dán. Văn bản chỉ được xử lý trên trang này, không bị lưu hay gửi đi.
Kết quả không bao giờ được lưu hay tải lên. Việc phát hiện dựa trên mẫu nên không thể tìm ra mọi bí mật và có thể nhận nhầm chuỗi vô hại. Nếu có khóa hoặc token thật, đừng chỉ xóa đi — hãy thu hồi hoặc đổi (xoay vòng) nó tại dịch vụ đã cấp.
Kết quả quét
Tìm thấy 11 mục nghi vấn (mức độ: cao 7, trung bình 2, thấp 2).
Các vị trí phát hiện
- #1CaoID khóa truy cập AWSDòng 2, cột 19
AKIA…MPLE - #2CaoKhóa truy cập bí mật AWSDòng 3, cột 25
wJal…EKEY - #3CaoToken GitHubDòng 4, cột 14
ghp_…xxxx - #4CaoToken SlackDòng 5, cột 17
xoxb…xxxx - #5CaoKhóa bí mật Stripe (live)Dòng 6, cột 19
sk_l…0000 - #6CaoKhóa API GoogleDòng 7, cột 17
AIza…xxxx - #7Trung bìnhGiá trị giống mật khẩu hoặc khóa bí mật (DB_PASSWORD)Dòng 8, cột 14
Ex…d! - #8Trung bìnhJWT (token truy cập)Dòng 9, cột 23
eyJh…xxxx - #9CaoKhóa riêng tư (PEM)Dòng 10, cột 1
-----BEGIN RSA PRIVATE KEY----- … - #10ThấpĐịa chỉ emailDòng 14, cột 12
ta…om - #11ThấpSố điện thoạiDòng 14, cột 31
+8…00
Giá trị trong danh sách chỉ hiển thị một phần (từ 20 ký tự: 4 ký tự đầu và cuối; 12–19 ký tự: 2 ký tự đầu và cuối; ngắn hơn thì che toàn bộ).
Văn bản được tô sáng
# Tệp cấu hình mẫu (mọi giá trị đều là giả)
AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE#1 ID khóa truy cập AWS
aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY#2 Khóa truy cập bí mật AWS
GITHUB_TOKEN=ghp_EXAMPLExxxxxxxxxxxxxxxxxxxxxxxxxxxxx#3 Token GitHub
SLACK_BOT_TOKEN=xoxb-000000000000-0000000000000-EXAMPLExxxxxxxxxxxxxxxxx#4 Token Slack
STRIPE_SECRET_KEY=sk_live_EXAMPLE00000000000000000#5 Khóa bí mật Stripe (live)
GOOGLE_MAPS_KEY=AIzaSyEXAMPLExxxxxxxxxxxxxxxxxxxxxxxxxx#6 Khóa API Google
DB_PASSWORD="Ex4mple-Pa55w0rd!#7 Giá trị giống mật khẩu hoặc khóa bí mật (DB_PASSWORD)"
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJzYW1wbGUtdXNlciIsIm5hbWUiOiJFeGFtcGxlIiwiaWF0IjoxNzAwMDAwMDAwfQ.EXAMPLE-signature-xxxxxxxxxxxxxxxxxxxxxxxx#8 JWT (token truy cập)
-----BEGIN RSA PRIVATE KEY-----#9 Khóa riêng tư (PEM)
MIIEowIBAAKCAQEAexampleEXAMPLEexampleEXAMPLEexampleEXAMPLEexample
EXAMPLEexampleEXAMPLEexampleEXAMPLEexampleEXAMPLEexampleEXAMPLE00
-----END RSA PRIVATE KEY-----
# Liên hệ: taro@example.com#10 Địa chỉ email / +81 90-0000-0000#11 Số điện thoại
Cách sử dụng
- Dán tệp cấu hình, log hoặc mã nguồn cần kiểm tra (ban đầu có sẵn một mẫu chỉ gồm giá trị giả).
- Chọn đối tượng cần tìm: khóa và token, giá trị khó đoán, email và số điện thoại.
- Xem số dòng và loại trong danh sách, rồi sao chép kết quả đã che hoặc văn bản đã thay thế bí mật nếu cần.
Câu hỏi thường gặp
Văn bản đã dán có bị gửi đi đâu không?
Không. Việc quét diễn ra hoàn toàn trên trình duyệt; văn bản và kết quả không bị lưu, gửi đi hay ghi log, và khóa không bao giờ được kiểm tra với dịch vụ bên ngoài.
"Giá trị khó đoán" được nhận diện thế nào?
Giá trị từ 8 ký tự trở lên được gán cho các tên như secret, token, password, api_key sẽ được báo nếu entropy Shannon đạt ít nhất 3,0 bit mỗi ký tự. Tham chiếu biến như ${VAR}, lời gọi hàm và URL được bỏ qua.
Nếu phát hiện khóa thì nên làm gì?
Nếu đó là khóa hoặc token thật, chỉ xóa khỏi văn bản là chưa đủ vì nó có thể đã bị sao chép, chia sẻ hoặc commit. Hãy thu hồi nó tại dịch vụ đã cấp và chuyển sang khóa mới.
Lưu ý & giới hạn
- Nội dung bạn nhập chỉ được xử lý trên trang này và không gửi đến máy chủ của YUCTS.
- Việc phát hiện dựa trên mẫu: khóa có định dạng lạ hoặc bị tách dòng có thể bị bỏ sót, và chuỗi vô hại có thể bị báo nhầm.
- Công cụ không kiểm tra khóa có thật hay còn hiệu lực (không kết nối dịch vụ bên ngoài nào).
- Văn bản bạn nhập và kết quả không bị lưu, gửi đi hay ghi log.
Nguồn dữ liệu
- GitHub Docs: About authentication to GitHub — GitHub's token formats(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- AWS IAM User Guide: IAM identifiers — unique ID prefixes (AKIA, ASIA)(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- Slack developer docs: Tokens(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- Stripe Docs: API keys(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- Google Cloud: Manage API keys(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- RFC 7468 — Textual encodings of PKIX, PKCS and CMS structures (PEM)(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- RFC 7519 — JSON Web Token (JWT)(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
Công cụ liên quan
- Tạo mật khẩu an toàn (ngẫu nhiên mật mã, không thiên lệch)Tạo mật khẩu ngẫu nhiên ngay trong trình duyệt bằng bộ sinh số ngẫu nhiên an toàn về mật mã (crypto.getRandomValues), không thiên lệch. Chọn độ dài, loại ký tự, loại bỏ ký tự dễ nhầm và xem entropy.
- Kiểm tra độ mạnh mật khẩu (mức dễ đoán và thời gian bẻ khóa)Ước tính mức độ dễ đoán của mật khẩu từ độ dài, loại ký tự, mật khẩu phổ biến, dãy phím, chuỗi và ngày tháng, kèm thời gian bẻ khóa. Chạy trong trình duyệt, không gửi hay lưu mật khẩu.
- Tạo và kiểm tra UUID (tạo hàng loạt UUID v4)Tạo cùng lúc tối đa 10.000 UUID ngẫu nhiên phiên bản 4 bằng crypto.randomUUID(), sao chép hoặc tải tệp TXT. Dán một UUID để xem phiên bản, biến thể và thời điểm được nhúng.
- Tính checksum tệp (SHA-256 / SHA-512)Tính giá trị băm SHA-256, SHA-512 của tệp hoặc văn bản ngay trong trình duyệt và đối chiếu với checksum đã công bố. Tệp không bị tải lên.
- Mã hóa và giải mã văn bản (AES-256-GCM bằng mật khẩu)Mã hóa và giải mã văn bản bằng mật khẩu với AES-256-GCM và PBKDF2 ngay trong trình duyệt. Muối và nonce ngẫu nhiên, phát hiện chỉnh sửa, không gửi hay lưu gì.
- Che dữ liệu cá nhân trong văn bảnTìm và che email, số điện thoại, số thẻ, My Number Nhật Bản, số căn cước Đài Loan, địa chỉ IP và URL trong văn bản. Xử lý hoàn toàn trên trình duyệt, không gửi đi và không lưu lại.