Webinar em inglêsWebinar com Jason Lee, quarta, 14/10Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscreva-se

Segredos apanhados antes de prod.

Chaves e tokens encontrados no teu código e em todo o seu histórico, antes de chegarem a produção.

Experimentar a cloudVer o VibeDefend
checkout-apiDeteção de segredosProjeto de demonstração
  • CríticaChave de acesso AWSsrc/lib/s3.ts:4

    Verificada ativa junto do IAM. CWE-798.

    const accessKeyId = "AKIA****************";const accessKeyId = process.env.AWS_ACCESS_KEY_ID;

    Correção prontaLida a partir do ambiente. Roda a chave e marca a descoberta como ocultada após a rotação.

Todo o tipo de segredo, em qualquer sítio.

  • Chaves de cloud e de API

    • AKIA****************
    • sk_live_****************

  • Tokens e credenciais

    • ghp_****************
    • postgres://app:****@db:5432

  • Todo o histórico do Git

    • main a1f3c9e
    • release/2.4 7d02b41
    • feat/s3 c44e019

  • O ruído, posto de lado

    • test/fixtures/stripe.json
    • docs/auth.md

Uma chave ativa, não três alertas.

Cada correspondência

  • Alerta: Chave de acesso AWS
  • Alerta: Chave de teste da Stripe numa fixture
  • Alerta: JWT de exemplo na documentação

O que é real

  • Crítica: Chave de acesso AWSsrc/lib/s3.ts:4
  • Ruído: Chave de teste da Stripe numa fixturetest/fixtures/stripe.json
  • Ruído: JWT de exemplo na documentaçãodocs/auth.md

Apanhado no teu agente, antes do commit.

O teu agente lê estas falhas enquanto escreve, e cada alteração que faz é verificada antes do commit.

Ver o VibeDefend
  1. Deteção de segredosAnalisa o repositório em cada push.Detetada
  2. VibeDefendPassa a descoberta ao teu agente de código.Servida
  3. O teu agenteCorrige-a na sessão.Corrigida
  4. CommitEntra sem a falha.Limpo
  • Claude Code
  • Cursor
  • Windsurf
  • GitHub Copilot
  • OpenAI Codex

Começa por um repositório.

Liga o GitHub, o GitLab, o Bitbucket ou o Azure DevOps, escolhe um repositório e a primeira análise arranca.

Experimentar a cloudMarcar uma demo

Em detalhe

Chaves, tokens e palavras-passe, antes de produção.

  • Chaves de cloud e de API

    AWS, GCP, Azure, Stripe, Twilio, OpenAI, Anthropic, Slack, Datadog, Sentry e mais.

  • Tokens e credenciais

    Tokens do GitHub e do GitLab, tokens OAuth, JWT, chaves privadas PEM, strings de ligação a bases de dados.

  • Configs, não só código

    Ficheiros de ambiente, values do Helm, patches do Kustomize, variáveis de CI e templates IaC.

  • Todo o histórico do Git

    Cada ramo e cada commit na instalação, depois cada push.

  • O ruído, posto de lado

    O Cybe Analysis descarta fixtures de teste, valores de exemplo e tokens expirados.

Tudo o que verifica

Higiene de credenciais que fecha mesmo o ciclo.

Uma chave esquecida num .env é uma porta deixada aberta.

  • Assinaturas e entropia, combinadas

    As assinaturas de cada fornecedor apanham os formatos de token conhecidos. A entropia de Shannon, como rede de segurança, apanha o resto.

  • E ainda triagem por IA

    O Cybe Analysis revê cada correspondência para descartar o ruído evidente (fixtures de teste, valores de exemplo, tokens expirados) e agrupar os padrões recorrentes.

  • As descobertas, onde já trabalhas

    Seguem para o Jira, o GitHub Issues, o GitLab Issues e o Slack.

Cinco camadas entre uma chave e a produção.

Assinaturas por fornecedor, entropia como rede de segurança, varrimento completo do histórico do Git e triagem com IA.

  • Regras de alta precisão

    As assinaturas específicas de cada fornecedor cobrem as credenciais que aparecem em bases de código reais: AWS, GCP, Azure, GitHub, GitLab, Stripe, Twilio, OpenAI, Anthropic, Slack, Datadog, Sentry, cadeias de ligação do Postgres, JWT, chaves PEM e muito mais.

  • Varrimento completo do histórico do Git

    Na primeira instalação, é feito um varrimento de todos os branches e commits, não só da working tree.

  • Cobertura ampla de credenciais

    Chaves de API, palavras-passe, tokens de autenticação, tokens OAuth, JWT, certificados privados e cadeias de ligação a bases de dados.

  • Código e configuração, a fundo

    Código-fonte, ficheiros de configuração, variáveis de ambiente, valores Helm, patches Kustomize, variáveis de CI e templates IaC, tudo analisado pelo mesmo motor.

  • Triagem por IA para eliminar o ruído

    O Cybe Analysis volta a pontuar cada correspondência, descarta os falsos positivos evidentes, como fixtures de teste e valores de exemplo, e agrupa os padrões recorrentes para que toda uma classe de descobertas seja triada num só clique.

Da fuga à revogação

  • A chave está ativa.

    Verificada junto do fornecedor, não adivinhada.

  • Travada no commit.

    O commit para antes de a chave sair.

  • Revogada e rodada.

    Revogada no fornecedor, guardada no cofre.

Perguntas frequentes sobre o CybeDefend Secrets.

Que fornecedores são cobertos?
Fornecedores cloud (AWS, GCP, Azure), plataformas de código (PAT e fine-grained tokens do GitHub, tokens do GitLab), pagamentos (chaves live e test da Stripe), comunicações (Twilio, Slack, Discord, Mailgun, SendGrid), fornecedores de IA (OpenAI, Anthropic, Cohere, Hugging Face), observabilidade (Datadog, Sentry), bases de dados (cadeias de ligação do Postgres, MongoDB Atlas), credenciais genéricas (JWT, chaves privadas PEM, tokens OAuth) e muito mais. A lista de fornecedores está sempre a crescer. O que fica fora do catálogo de assinaturas passa para a deteção por entropia.
Como são tratados os falsos positivos?
Em duas camadas. O motor de assinaturas dá prioridade a padrões de fornecedor de alta precisão, para que as correspondências em bruto já sejam exatas. Depois, o Cybe Analysis volta a pontuar cada descoberta para descartar o ruído evidente (fixtures de teste, valores de exemplo, tokens expirados) e agrupa os padrões recorrentes. Só fazes a triagem da fila que passou os dois filtros.
O histórico do Git é analisado na primeira instalação?
Sim. Na primeira instalação é feito um varrimento de todos os branches e commits, não só da working tree. As ocorrências históricas têm uma ação de um clique, 'mark redacted after rotation', para deixarem de gerar alertas assim que a credencial for rodada. Depois desse varrimento inicial, cada push é analisado de forma incremental.