API-ключ может утечь даже без прямой записи в логи

Secret Serialization — open-source Skill от команды Sentry, который помогает Codex и Claude Code находить неочевидные утечки паролей, токенов и API-ключей.

Проблема возникает, когда приложение сериализует целый объект и случайно отправляет секретные поля в логи, мониторинг ошибок или API-ответы.

Что проверяет Skill: • Python: dataclass, asdict, Pydantic model_dump. • JSON.stringify, util.inspect. • Передачу объектов с секретами в логи и системы мониторинга. • Случаи, когда скрытие поля через repr=False не защищает от других способов сериализации.

💡 Пример применения

В Python-боте есть объект настроек с токеном Telegram. Разработчик скрывает токен через repr=False, но затем отправляет весь объект через asdict() в систему логирования.

Токен всё равно может оказаться в логах. Skill помогает найти такую цепочку, указать место утечки и предложить исправление.

Установка для Codex или Claude Code:

npx skills add getsentry/skills —skill secret-serialization

Попробуй запрос:

«Проверь проект с помощью secret-serialization. Найди пути утечки API-ключей и токенов через сериализацию, логирование и мониторинг. Укажи конкретные файлы, строки и способы исправления. Код пока не изменяй».

⚠️ Skill проводит анализ исходного кода, а не гарантирует обнаружение всех утечек во время выполнения приложения.

🔗 GitHub: https://github.com/getsentry/skills 🔗 Сам Skill: https://github.com/getsentry/skills/blob/main/skills/secret-serialization/SKILL.md