detecting-secrets

Rôle du skill detecting-secrets

Ce skill fait partie du plugin bitwarden-security-engineer, disponible dans le marketplace AI de Bitwarden (bitwarden/ai-plugins). Il est conçu pour assister Claude dans les missions de sécurité applicative liées à la gestion des secrets : détection de credentials exposés, audit de code, revue des alertes de secret scanning, et remédiation des fuites.

Ce que couvre ce skill

Le SKILL.md est entièrement fonctionnel et documenté. Il fournit à Claude un référentiel structuré couvrant plusieurs axes :

• Détection par patterns : tableaux de patterns haute et basse confiance (AWS, Google, GitHub PAT, OpenAI, Slack, connexions DB, clés privées…).
• Analyse contextuelle : critères pour distinguer un vrai secret d'un faux positif (fixtures de test, valeurs placeholder, mots de passe hachés).
• Localisation des secrets : inventaire des fichiers et emplacements typiques à auditer (appsettings.json, .env, docker-compose.yml, workflows CI/CD, etc.).
• Intégration GitHub Secret Scanning : commandes gh api pour lister et filtrer les alertes, notamment celles ayant contourné la push protection.
• Workflow de remédiation : rotation immédiate, suppression du code, réécriture de l'historique Git si nécessaire, et prévention via .gitignore et push protection.
• Alternatives sécurisées : dans le contexte Bitwarden, l'utilisation d'Azure Key Vault, des variables d'environnement et des GitHub Actions secrets est privilégiée.

Utilisation dans Claude Code

Ce skill s'active automatiquement lorsque l'utilisateur formule une demande relevant de son domaine : recherche de secrets hardcodés, audit de credentials, revue d'alertes de secret scanning, ou rotation d'un secret exposé. Il est conçu pour fonctionner dans le cadre du plugin bitwarden-security-engineer, installé via le marketplace avec /plugin install bitwarden-security-engineer@bitwarden-marketplace.

Règles critiques embarquées

Le skill impose des règles non négociables, notamment : tout secret commité est considéré comme compromis et doit être rotaté sans exception, les alertes ne doivent jamais être simplement supprimées sans rotation, et l'intégralité de l'historique Git doit être vérifiée, pas seulement l'état actuel du code.