trufflesecurity/trufflehog

레포지토리와 클라우드 저장소에서 유출된 API 키, 비밀번호, 개인 키 등 800+ 종류의 인증 정보를 자동으로 탐지하고 검증하는 보안 스캐닝 도구

설치형 도구조건 있음 · AGPL-3.0보안난이도
26,779+1이번 주2,462260Go
데모·홈페이지 열기trufflesecurity.com
중간맛 분석

Go로 작성된 오픈소스 스캐닝 도구입니다(AGPL-3.0 라이선스). 800+ 탐지기로 AWS, Stripe, Cloudflare, Postgres, SSL 키 등을 분류하고, 각 서비스 API로 실제 유효성을 검증(Verification)합니다. GitHub/GitLab 레포, Docker 이미지, S3/GCS 버킷, Jenkins, Elasticsearch 등 다양한 소스 스캔을 지원합니다. Brew, Docker, 바이너리, 소스 컴파일 등 여러 방법으로 설치 가능하며, CLI로 곧바로 사용할 수 있습니다(예: trufflehog git https://github.com/user/repo --results=verified). 데모와 15개 이상의 Quick Start 사례가 제시되어 있습니다.

이런 레포예요

이럴 때 쓰면 좋아요

  • Git 리포지토리 커밋 히스토리에서 실수로 커밋된 AWS API 키, DB 비밀번호 탐지 및 검증
  • CI/CD 파이프라인에 통합하여 PR 병합 전 유출된 인증 정보 자동 차단
  • S3, GCS, Docker 이미지 등 클라우드 저장소에서 숨겨진 API 토큰과 SSH 개인 키 발견
  • GitHub 조직 전체 또는 특정 레포의 이슈·PR 댓글에서 민감한 정보 대량 스캔

핵심 기능

800+ 인증 정보 유형 자동 분류 및 서비스별 매핑실제 API 호출을 통한 검증(Verified 플래그로 활성 위협 판별)Git, GitHub, GitLab, S3, GCS, Docker, Jenkins, Elasticsearch 등 다양한 소스 지원

대안 대비 차별점

대부분의 유사 도구가 패턴 기반 탐지에 머물러 있을 때, TruffleHog는 각 인증 정보를 서비스 API로 실제 검증하고 권한·리소스 접근 범위까지 분석함으로써 거짓 경보를 줄이고 실제 보안 위협 수준을 정확히 판단할 수 있습니다.

준비물
  • Go 1.21+ (소스 컴파일 시)
  • Docker (Docker 설치 방식 이용 시)
  • Git (레포 스캔 시)
  • AWS/Stripe/GitHub 등 각 서비스 인증 정보 (검증 기능 활용 시)
바로 시작하기
  1. Homebrew로 설치합니다
brew install trufflehog
  1. 특정 GitHub 저장소를 검증된 시크릿만 스캔합니다
trufflehog git https://github.com/trufflesecurity/test_keys --results=verified
  1. GitHub 조직 전체를 스캔합니다
trufflehog github --org=trufflesecurity --results=verified
  1. JSON 형식으로 출력받습니다
trufflehog git https://github.com/trufflesecurity/test_keys --results=verified --json
  1. 로컬 디렉토리나 파일을 스캔합니다
trufflehog filesystem path/to/file1.txt path/to/dir
  1. CI 환경에서 PR 검사를 자동화합니다
trufflehog git file://. --since-commit main --branch feature-1 --results=verified,unknown --fail
별 추이 · 7일
26,779+1 / 7일
활용성 · 따라 만들기 좋은가
샘플 점수 30/100
  • 관대한 라이선스
  • 테스트 있음
  • 예제 디렉토리
  • 최근 활동
  • AGENTS.md
  • llms.txt
  • 템플릿

🟢 최근 활동 있음 · 2016년 생성

AI가 README 기반으로 요약했습니다 · 원문 보기