Pemindaian Rahasia

Penting untuk mengelola rahasia Anda (variabel lingkungan) dengan benar. Cara paling umum orang mengekspos rahasia mereka ke dunia luar adalah dengan mengkodekan rahasia mereka secara langsung di file kode, yang memungkinkan pengguna jahat untuk memanfaatkan rahasia Anda dan layanan yang dapat diakses oleh rahasia tersebut.

Sebagai contoh, berikut adalah tampilan file app.py yang telah dikompromikan:

import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result

Untuk mencegah masalah ini, kami menjalankan TruffleHog pada setiap push yang Anda lakukan. TruffleHog memindai rahasia yang di-hard-code, dan kami akan mengirimkan email kepada Anda saat terdeteksi.

Anda hanya akan menerima email untuk rahasia yang telah diverifikasi, yaitu yang telah dikonfirmasi berfungsi untuk autentikasi terhadap penyedia masing-masing. Namun, perhatikan bahwa rahasia yang belum diverifikasi tidak selalu tidak berbahaya atau tidak valid: verifikasi dapat gagal karena alasan teknis, seperti dalam kasus kesalahan jaringan.

TruffleHog dapat memverifikasi rahasia yang berfungsi di berbagai layanan, dan tidak terbatas pada token Hugging Face.

Anda dapat memilih untuk tidak menerima notifikasi email tersebut dari pengaturan Anda.

Jika rahasia yang bocor adalah token akses Hugging Face, Anda dapat membatalkannya segera — termasuk token yang bukan milik Anda — lihat Membatalkan token yang bocor.