YUCTS Tools
繁體中文（台灣）語言

敏感資訊掃描器（API 金鑰、權杖偵測）

找出設定檔或記錄檔中的 API 金鑰、權杖、私密金鑰、疑似密碼的值與電子郵件，並標示行號與位置。全部在瀏覽器內處理，不儲存也不傳送。

  • 在瀏覽器內處理（不上傳）

在貼上的文字中尋找 API 金鑰、權杖、私密金鑰、電子郵件等。文字只在這個頁面中處理，不會儲存也不會傳送。

偵測對象

結果不會被儲存或上傳。本工具以規則比對偵測，無法找出所有機密，也可能誤判無害的字串。若出現真正的金鑰或權杖，請不要只是刪除，務必到發行的服務撤銷或更換（輪替）。

掃描結果

找到 11 個可能的項目（風險：高 7、中 2、低 2）。

偵測到的位置

  1. #1高AWS 存取金鑰 ID第 2 行第 19 個字元
    AKIA…MPLE
  2. #2高AWS 秘密存取金鑰第 3 行第 25 個字元
    wJal…EKEY
  3. #3高GitHub 權杖第 4 行第 14 個字元
    ghp_…xxxx
  4. #4高Slack 權杖第 5 行第 17 個字元
    xoxb…xxxx
  5. #5高Stripe 正式環境密鑰第 6 行第 19 個字元
    sk_l…0000
  6. #6高Google API 金鑰第 7 行第 17 個字元
    AIza…xxxx
  7. #7中疑似密碼或密鑰的值（DB_PASSWORD）第 8 行第 14 個字元
    Ex…d!
  8. #8中JWT（存取權杖）第 9 行第 23 個字元
    eyJh…xxxx
  9. #9高私密金鑰（PEM）第 10 行第 1 個字元
    -----BEGIN RSA PRIVATE KEY----- …
  10. #10低電子郵件地址第 14 行第 9 個字元
    ta…om
  11. #11低電話號碼第 14 行第 28 個字元
    +8…00

清單中的值只顯示一部分（20 個字元以上顯示前後各 4 個字元，12～19 個字元顯示前後各 2 個，更短的值完全遮蔽）。

標示結果

# 範例設定檔（所有值都是虛構的）
AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE#1 AWS 存取金鑰 ID
aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY#2 AWS 秘密存取金鑰
GITHUB_TOKEN=ghp_EXAMPLExxxxxxxxxxxxxxxxxxxxxxxxxxxxx#3 GitHub 權杖
SLACK_BOT_TOKEN=xoxb-000000000000-0000000000000-EXAMPLExxxxxxxxxxxxxxxxx#4 Slack 權杖
STRIPE_SECRET_KEY=sk_live_EXAMPLE00000000000000000#5 Stripe 正式環境密鑰
GOOGLE_MAPS_KEY=AIzaSyEXAMPLExxxxxxxxxxxxxxxxxxxxxxxxxx#6 Google API 金鑰
DB_PASSWORD="Ex4mple-Pa55w0rd!#7 疑似密碼或密鑰的值（DB_PASSWORD）"
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJzYW1wbGUtdXNlciIsIm5hbWUiOiJFeGFtcGxlIiwiaWF0IjoxNzAwMDAwMDAwfQ.EXAMPLE-signature-xxxxxxxxxxxxxxxxxxxxxxxx#8 JWT（存取權杖）
-----BEGIN RSA PRIVATE KEY-----#9 私密金鑰（PEM）
MIIEowIBAAKCAQEAexampleEXAMPLEexampleEXAMPLEexampleEXAMPLEexample
EXAMPLEexampleEXAMPLEexampleEXAMPLEexampleEXAMPLEexampleEXAMPLE00
-----END RSA PRIVATE KEY-----
# 聯絡方式: taro@example.com#10 電子郵件地址 / +81 90-0000-0000#11 電話號碼

使用方式

  1. 貼上要檢查的設定檔、記錄檔或程式碼（一開始會放入只含虛構值的範例）。
  2. 選擇偵測對象：金鑰與權杖、難以猜測的值、電子郵件與電話號碼。
  3. 在清單中確認行號與種類，需要時複製已遮蔽的結果或已取代機密的文字。

常見問題

貼上的文字會被傳送出去嗎？

不會。掃描全部在瀏覽器內進行，文字與結果不會被儲存、傳送或記錄，也不會向外部服務查詢金鑰是否有效。

「難以猜測的值」是怎麼判斷的？

指定給 secret、token、password、api_key 等名稱、長度 8 個字元以上的值，若每個字元的夏農熵達 3.0 位元以上就會列出。${VAR} 這類變數參照、函式呼叫與網址會排除。

找到金鑰時該怎麼辦？

如果是真正的金鑰或權杖，只從文字中刪除並不夠，因為它可能已被複製、分享或提交。請到發行的服務撤銷並改用新的金鑰。

注意事項與限制

  • 你輸入的內容只在此頁面處理，不會傳送到 YUCTS 的伺服器。
  • 以規則比對偵測，格式不明或被拆開的金鑰可能漏掉，也可能把無害的字串判為可疑。
  • 不會確認金鑰是否真實或仍然有效（不會連線到任何外部服務）。
  • 輸入的文字與結果不會被儲存、傳送或記錄。

資料來源